第10回■保険的対策として欠かせない入力値の検証
これまではアプリケーション開発以前の基盤の話題を説明してきたが，今回からいよいよ具体的な設計・開発におけるセキュリティ対策について説明する。まずは，Webアプリケーションへの入力値の取り扱いについてだ。 Webアプリケーションにおける「入力」とは，主にHTTPリクエストに含まれるクエリー文字列（Query Strings），POSTデータ（Post Data），クッキー（Cookie），その他のHTTPリクエスト・ヘッダー（Refererなど）といったものを指す。入力源としてはこれら以外にも，電子メール，ファイル，データベース参照などが挙げられる。 ぜい弱性はどこで発生するか 具体的なセキュリティ対策の説明を始めるに当たって，ここで改めてWebアプリケーションの基本構造と，様々なぜい弱性がどこで発生するかを示しておこう。図1は，Webアプリケーションの動作を「入力/処理/出力」という古典的
@IT: 「ぼくはまちちゃん」 ――知られざるCSRF攻撃
ある日、大手SNS（Social Networking Site）のmixiの日記にこのような書き込みがあった。それも1人だけでなく、同日に数多くのユーザーの日記に同じ文面が掲載されていた。 これは、単にこのような文章がはやり、ユーザー自身が意図して掲載したのではなく、ある仕掛けによってユーザー自身が気付かないうちに引き起こされた現象なのである。その仕掛けとは、CSRF（Cross-Site Request Forgeries）と呼ばれる攻撃手法の一種だ。 編集部注： 現在、「はまちちゃん」トラップは、mixi運営者により対策されています。上記のサンプルは、mixi風に再構成したものです。 本稿の内容を検証する場合は、必ず影響を及ぼさない限られた環境下で行って下さい。また、本稿を利用した行為による問題に関しましては、筆者およびアイティメディア株式会社は一切責任を負いかねます。ご了承ください
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
処理を実行中です
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
