2月4日(水)3コマ目

今日、やったこと

  • 同一オリジンポリシー
  • CORS(Cross Origin Resource Sharing)
  • プリフライトリクエスト
  • CSRF(Cross Site Request Forgeries)

 今日のホワイトボード

今日も今日とて、日がな一日座学でした。

眠いし、つまらんし。

同一オリジンポリシー

前回終盤にちょこっと解説。

ダウンロードしたコンテンツ(HTMLやJavaScript、cssなど）から、ダウンロード元と異なるサイト（クロスオリジン）へのアクセスを制限する仕組み。

実際は、リクエストは送信されるが、レスポンスの受け取りをブラウザが拒否する。


同一オリジンポリシーの例外

同一オリジンポリシーに従うと、クロスサイトの画像を表示できないように思える。

が、これは例外扱い。画像の埋め込みやcss、JavaScriptファイルの埋め込みはできる。

図　埋め込み系は同一オリジンポリシーによる制限の例外

CORS（Cross Origin Resource Sharing)

まったく悪意が無い場合、この同一オリジンポリシーはかえって問題。

悪意のないサイトのページ内で、悪意のないサイトのサービスを利用したくてもできない。

そこで、同一オリジンポリシーの制限（クロスオリジンからのレスポンスを受け取らない）を緩める仕組みがCORS（Cross Origin Resource Sharing）。

図　CORS

クロスオリジンからのレスポンスの中に、

　Access-Control-Allow-Origen：ドメイン名

が含まれていたら、ブラウザはレスポンスを受け取る。


プリフライトリクエスト

同一オリジンポリシーはまだつづく。

クロスオリジンからのレスポンスは受け取らないが、リクエスト自体はしてしまう。

図　クロスサイトにリクエストはしてしまう

リクエスト自体に悪意がある場合、問題。

そこで、リクエストを送信する前に、プリフライトリクエストを送信。

プリフライトリクエストを受信したサーバーは

　Access-Control-Allow-Origin

を送信する。クライアント(Webブラウザ)はダウンロード元がリクエスト先に許可されているか確認してリクエスト送信する。


CSRF(Cross Site Request Forgeries)

リクエスト先とCookieのDomain属性が一致すれば、リクエスト時にCookieを送信する仕組みを悪用した攻撃手法。

図　CSRF
最近のWebブラウザにはCookieのSameSite属性が使えるようになっている。
デフォルトの設定は、たとえCookieのDomain属性とリクエスト先が一致しても、GETコマンドの時しか送信しない。

次回は

クロスサイトスクリプティング(XSS)。
まだまだ、座学はつづく。



このブログの人気の投稿

1月13日(火)3コマ目

イメージ
今日、やったこと バッファオーバーフロー2（戻りアドレス書き換え） 今日のホワイトボード 前回はバッファオーバーフローの脆弱性を使って、関数の戻り値を変更した。 今回はバッファオーバーフローの脆弱性を使って、関数の戻りアドレスを変更する。 そもそもプログラムは コンパイルしてできた実行ファイルはメモリ上のコードエリアにロードされる。 関数を呼び出すと、コードエリアにロードされた命令を1つずつ、順に実行していく。 関数内の変数や引数のためのエリアは、関数呼び出し時にスタックエリア上に確保される。 サンプルプログラム２を実行する 前回のサンプルプログラム１の問題点を修正したサンプルプログラム２を実行する。 コマンドライン引数は、バッファオーバーフローが発生して、変数auth_flagのエリアを上書きしてしまう”12345678901234567890123456789"。 〇strcpy()実行前 変数auth_flagと配列pass_buffの位置を確認。 図　strcpy()実行後 〇return auth_flag実行前 前回のプログラムでは、変数auth_flagが上書きされているが、プログラムを修正したため、0になっている。 図　return auth_flag実行前 プログラムの実行コードを確認 デバッガのdisasコマンドを使って、実行ファイルからmain()関数をアセンブラに変換。 図　disasコマンドでアセンブラに変換 check()関数を呼び出す、main()関数に戻る 関数を呼び出す＝関数がロードされている位置から実行する。 アセンブラで確認すると、main()関数でcheck()関数の呼び出すと、callqコマンドでcheck()関数がロードされているアドレスに移動している。 check()関数の実行が終わると、再びcallqコマンドの次のコマンドから順に実行する。 ここに戻ってこれるように、スタックエリアに戻るべきアドレス番地が記録されている。 これが戻りアドレス。 図　check()関数呼び出し、main()関数に戻る 戻りアドレスを書き換える main()関数にて、check()関数の戻り値に関わらず、下図のように別に位置から実行させたい。 図　check()関数から戻る位置を変える check()関数から戻る位置 下図のように...
続きを読む

2月2日(月)4コマ目

イメージ
今日、やったこと [Webアプリケーションのセキュリティ]Cookie 今日のホワイトボード 前回までに作成したxss検証用サイトアプリケーションを使って、Webアプリケーション構築時に知っておかなければならない、セキュリティ知識を紹介。 座学メインで進めます。眠い、つまらん、ダルいと思いますが、最後に紙のテストをしますので、しっかり理解をしてください。 Cookieとは クライアント(Webブラウザ)がデータを保存する仕組み。 サーバーから Set-cookie で送信されたデータを保存する。 クライアントはサーバーにリクエストする際、Cookie保存データを送信する。 図　クライアントがCookieを保存する、サーバーに送信する SessionオブジェクトとCookie 〇Sessionオブジェクト Webアプリケーションにおいて、リクエストを跨いでデータを共有できるのが、Sessionオブジェクト。 Sessionオブジェクトはクライアント毎に生成し、ユニークなセッションIDで識別する。 〇セッションID クライアントとサーバー間で同じセッションIDを保持し、クラインとはサーバーにリクエスト送信する際に、セッションIDを送信することで、サーバー側はクライアントのセッションオブジェクトを識別している。 図　セッションオブジェクトとセッションID 〇クライアントのセッションID保存先 クライアントのセッションID保存先はCookie。 サーバーがセッション開始後、クライアントにset-cookieでセッションIDを送信。 図　セッションIDをset-cookieで送信 クライアント側で、Cookieは簡単に書き換えできる。 CookieのセッションIDを書き換えて、他人のセッションを乗っ取ることもできる。（セッションハイジャック） クライアントはサーバーにCookieを送信する(Domain属性) クライアントはサーバーにリクエスト送信する際、Cookieを送信する。 が、なんでもかんでも送るわけではない。 CookieのDomain属性がリクエスト先のサーバー名と一致するなら送信。 図　CookieのDomain属性とリクエスト先サーバー名が一致するなら送信 Domain属性とリクエスト先サーバー名が一致する、しないは 後方一致 で判断。 ”後方一致する”を簡単...
続きを読む

2月10日(火)3コマ目

イメージ
今日、やったこと クロスサイトスクリプティング(XSS) 今日のホワイトボード クロスサイトスクリプティング(XSS) スクリプトがいつ、どこで埋め込まれるかで3種類に分類される。 サーバー側で埋め込まれるのは、反射型と蓄積型。 反射型はリクエストするURLにスクリプトが含まれる。 蓄積型はスクリプトはサーバー側に保存されている。 クライアント側で埋め込まれるのは、DOM-base型。 図　3種類のクロスサイトスクリプティング クロスサイトスクリプティングを防ぐには ブラウザにHTMLとして認識されないように、<や>をそのままブラウザに送らない。 この置き換えを サニタイジング と呼ぶ。 図　サニタイジング ユーザーが入力したデータを出力する際は、サニタイジングを行う。 次回は Webのセキュリティの残り（SQLインジェクション、その他） 次々回に紙のテストをします。 
続きを読む