[お勉強]ぴよぴよセキュアWebアプリ制作(6)

ここからは当分脆弱性の解説で

◇既知の脆弱性
開発されたWEBアプリではなく、
OSやWEBサーバ(Apache/IIS)、DB、FTP、SSH、SMTP、DNSなどのサービス
の脆弱性をつく攻撃。

被害：
サービス妨害、サーバののっとり、踏み台、DBからの情報流出など。

基本的にパッチ適応やバージョンアップによって対応できる。

◇製品の誤設定
OS、サーバ、アプリケーションサーバの設定ミスを利用した攻撃。
構築時の設定ミスだけではなく、設定変更時のミスにも注意。
ー>バージョンアップしたときに設定ファイルがデフォルトで上書きされることもある！

被害：
データファイルを見つけられて、情報がもれる
CGIが実行されずにファイルの内容が表示されてしまう
（適切な実行権限が与えられていなかったり、拡張子が.php.txt、.php.hogeなどに
なっていたりするとCGIとして実行されずにファイルの中身がみえてしまう)

◇パスワード攻撃
＜方法＞

• 総当たり攻撃（全数件数）
• 辞書攻撃

ともにWEBアプリだけでなくSSHなどOSやパスワード認証を行っている
サービスすべてに行われる一般的な攻撃手法

☆リバース攻撃
総当たり攻撃の中には、１つのIDに対するパスワードの総当たりではなくて
特定のパスワードをもつユーザのIDを総当たりで調べるリバース攻撃もある。
例)
  「AAAAA」というパスワードをもつユーザをすべて調べる

またログイン失敗の場合にアカウントをロックする仕様の場合、
任意のアカウントをロックされる可能性もある。

＜対策＞
○総当たり攻撃
英数字６文字以上になると実質的に総当たりは不可能
ユーザ登録する場合、英数字６文字、数字１０文字以上の制限をつけて
☆☆長さの制限はつけない☆☆

○辞書攻撃
あらかじめ用意した辞書をつかったパスワード攻撃。
パスワードが英数字６文字以上でも辞書にはいった単語を使っていた場合、
辞書攻撃は有効な攻撃手段となる。
攻撃に必要な時間は辞書攻撃よりも小さい。