第27回 見過ごされているWebアプリケーションのバリデーションの欠陥 | gihyo.jp

今回解説するWebアプリケーションのバリデーションの欠陥はPHPに限った問題ではありません。多くのプラットフォームのWebアプリケーションで見過ごされているバリデーション仕様の欠陥です。それは文字エンコーディングのチェックです。 文字エンコーディングバリデーションの必要性 筆者の知る限りでは、2004年に相次いで今まで知られていなかったアタックベクタ（攻撃経路）が見つかりました。2004年に多く見つかった新しいアタックベクタとは不正な文字エンコーディングを利用した攻撃です。不正な文字列を利用したJavaScriptインジェクションやSQLインジェクションの攻撃手法が公開されました。 文字エンコーディングを利用した攻撃自体は当時でも新しい攻撃手法ではありませんでした。文字エンコーディングを利用した攻撃は、少なくとも2000年から広く知られていた攻撃手法でした。ブラウザが文字エンコーディングを

[kana321]

見過ごされているWebアプリケーションのバリデーションの欠陥

[kogawam]

Javaや.NETだとアプリ側で意識する必要多分ない、ですよね？全然知らないけどPHP6だったら意識しなくて済む？Ruby1.9は？／JavaScriptのバッファオーバーフローて何だろう？？

[MinazukiBakera]

「JavaScriptのバッファーオーバーフロー」って聞いたことがないのですが、そういうものがある?「XML処理系のバッファオーバーフロー（XSLTなど）」これは処理系の脆弱性?

[iso_27001]

HTTPヘッダで文字エンコーディングを指定する，データベースシステムで利用する文字エンコーディングを正しく設定する，不正な文字エンコーディングを検出した場合は絶対に処理を継続させない，などの対策も不可欠

[moriyoshi]

mbstring.encoding_translation=on にして、internal_encoding と http_input を同じにする方がしあわせになれるよ

[ockeghem]

相変わらず雑な記事。_validate_encodingの$key, $valが逆。mb_check_encodingの第二引数は省略可能だが明示した方がよい。省略時動作の説明もない/文字エンコーディングをホワイトリストやブラックリストで検証できるか?

[ys0000]

バリデーションは大切ですよ、という話。

[mumincacao]

確かに UTF8 だからだいじょ～ぶなかんじでまるちばいと無視したものってよく見かけるなぁ．．．〆（・ｘ・。【みかん　って 1P 目に『XPath いんじぇくしょん』の『い』が抜けちゃってるとこないですか？