ぷ~ろぐぷ~ろぐ身辺雑記、アニメ・マンガ、Jリーグ(特に新潟)のこととか。影響を受けるページWebアプリケーションの特定ページが影響を受けるわけではなく、フィッシング手法により重要情報が盗まれることで利用者が被害を受ける。影響の種類フィッシングサイトに誘導され重要情報が入力させられる。デバイスドライバやパッチと称してマルウェアを配布される。利用者の関与の度合い大(リンクのクリックおよび情報の入力)概要Webアプリケーションにおいて、パラメータにより指定したURLにリダイレクトする機能をリダイレクタと呼ぶ。任意のドメインにリダイレクトできるものをオープンリダイレクタと呼ぶ。利用者が信頼しているドメイン上にオープンリダイレクタ脆弱性があると、利用者は自分が信頼しているサイトを閲覧しているつもりでも知らない間に罠のサイトに誘導される可能性がある。攻撃者はメールやブログなどで利用者が以下のURLを閲覧するように仕向ける。https://example.jp/login.php?url=<罠サイトのURL>利用者の多くはドメインが本物でありHTTPSの場合も証明書のエラーが表示されないので、安心してIDとパスワードを入力する。利用者がログインすると罠サイトにリダイレクトされる。罠サイトで「ログインエラー。IDとパスワードを際入力してください。」などと表示されると、やはり多くの利用者は入力ミスしたものと思いIDとパスワードを入力してしまう。このようにして重要情報が収集される。以下の2点をともに満たす場合にオープンリダイレクト脆弱性が存在する。リダイレクト先のURLを外部から指定できる。リダイレクト先のドメインのチェックがない。以下の2点をともに満たす場合、オープンリダイレクタではあるが脆弱性とはならないもともと外部のドメインに遷移する仕様であること。利用者にとっても外部のドメインに遷移することが自明であること。この条件を満たす例としてはバナー広告がある。対策オープンリダイレクタ脆弱性の対策は以下のいずれかを実施することである。リダイレクト先のURLを固定にする。リダイレクト先のURLを直接指定せず番号指定にする。リダイレクト先のドメインをチェックする。リダイレクト先のURLのドメインチェックの実装にはミスが起こりやすい。含まれていればすり抜ける。チェックOK}これはURLがスラッシュで始まっていること、すなわちパスの指定のみのURLであることを確認している。"//trap.example.com/trap.phpがすり抜ける。始まるURLは「ネットワークパス参照」と呼ばれる形式で、ホスト名(FQDN)以下を指定するものであり、外部ドメインへの遷移を防ぐことはできない。始まっていることを確認している。これだけではHTTPヘッダインジェクション攻撃に対して脆弱な場合がある。HTTPヘッダインジェクション攻撃で別ドメインにリダイレクトされる場合があるので、この方法ではオープンリダイレクタ脆弱性を防げない可能性がある。始まること、その後はURIで使用できる文字の身からなることを確認している。httpとhttpsの両方に対応するためである。クッションページオークションサイトやSNSなど利用者がURLを書き込むとリンクが生成されるサイトでは、その機能がフィッシングサイトに誘導するのに使用される可能性がある。これを防止する方法として、外部ドメインに対しては直接リンクせず、クッションページと呼ばれるページをはさむ手法がある。クッションページで外部のドメインに遷移することを利用者に告知することによりフィッシングの被害を防止しようという手法である。外部ドメインへのリダイレクトを許可しているリダイレクタの場合にも、クッションページをはさむことによるフィッシング被害の防止を検討するとよい。携帯電話向けWebアプリケーションの場合は、セッションIDの漏洩防止を目的としてクッションページを使う。テクノポップのカリスマ。