Security)について簡単に紹介しました。今回は静的にPHPソースコードを分析しセキュリティ脆弱性を検査するツールの紹介です。scriptshttp://www.php-security.org/2010/05/24/mops-submission-09-rips-a-static-source-code-analyser-for-vulnerabilities-in-php-scripts/index.html昨年発見された脆弱性のおよそ3割がPHPアプリケーション関連の脆弱性とされています。PHPは簡単にWebアプリケーションが作れるため,セキュリティに十分留意したWeb開発フレームワークを利用しなくてもアプリケーションが作れてしまいます。Webアプリケーションが簡単に作れることはよいことですが,これが多くの脆弱性を生む原因になっています。Dahse氏はこのような状況を改善するためにRIPSと呼ばれる,オープンソースのPHPソースコード分析ツールを開発しました。http://www.sourceforge.net/projects/rips-scanner/この記事を執筆するにあたり,筆者は執筆時点の最新版rips-0.32.zipを利用しました。5.3で実行してみたところ一見動作しているように見えますが正常に動作しませんでした。5.2で動作させると期待通りの正常に動作しました。5.3では動作しない可能性があるので注意してください。$_ENVのユーザ入力をソースとするデータがPVFに渡されると脆弱性があるとレポートします。RIPSは構文解析を行いPVFを見つけ,PVFへ渡されたパラメータが危険なパラメータでないか,変数の遷移を確認します。構文解析にはPHPスクリプトを解析しトークンに分解するモジュールであるTokenizerを利用しています。TokenizerはPHPのパーサを利用しているので正確にPVFや変数を識別できます。論文執筆時点で,RIPSはpreg_replace_callback関数やhilight_file関数など危険性がよく知られていない関数を含め139のPVFを識別するそうです。RIPSのスクリーンショット静的なソースコード脆弱性スキャナと聞くとコマンドラインアプリケーションを想像するかも知れませんが,RIPSはWebアプリケーションとして実装されています。UIが作りやすいからでしょう。スキャンするファイルをWebサーバ上に置いてスキャンします。脆弱性スキャンRIPSが脆弱性を検出する過程を簡単なスクリプトで解説します。$ret);?>Tokenizerでトークンに分解されたスクリプト情報から,system関数が利用されていることが検出されます。次にsystem関数は危険な関数なのでPVFとして識別されます。同時にパラメータ$bが追跡すべき変数として認識され,その変数ソースが危険なソースでないか追跡されます。変数のソースが危険なソースであれば脆弱性として識別します。スキャン結果のスクリーンショット危険なデータソースである$_GET['a']と危険な関数であるsystem関数が識別され,脆弱性として正しくレポートされています。今度は危険でないサンプルコードをスキャンしてみます。スキャン結果のスクリーンショット期待通りに脆弱性はレポートされませんでした。次にもう少し複雑なサンプルコードをスキャンしてみます。$ret);?>脆弱性はないので,対策済みのコードも表示されるレベルに変えると次のような結果となります。スキャン結果のスクリーンショット3行目で対策が取られていることがわかります。escapeshellcmd関数だと登録されているため,このような結果になります。"escapeshellcmd"));実際にはconfig/PVF.phpファイルでPVFが,config/securing.phpで対策用の関数が定義されています。config/securing.phpを見たところ対応しているデータベースはMySQLのみで,まだPostgreSQLやSQLiteには対応していませんでした。PostgreSQLやSQLiteサポートを追加することは簡単にできそうでした。0.34以降はPostgreSQL,SQLiteもサポートしています⁠)⁠。include/require文にも対応しており,複数のファイルにまたがるアプリケーションでもスキャンは可能です。アプリケーションを実際に実行していないので,正確にインクルードするファイルが特定できる訳ではありません。このため,スキャン結果が不正確になる場合もあります。同校にてコンピュータサイエンスとビジネスを学ぶ。株式会社シーエーシーを経て,エレクトロニック・サービス・イニシアチブ有限会社を設立。オープンソース製品は比較的古くから利用し,Linuxは0.9xのころから利用している。オープンソースシステム開発への参加はエレクトロニック・サービス・イニシアチブ設立後から。PHPプロジェクトでは,PostgreSQLモジュールのメンテナンスを担当している。URL:http://blog.ohgaki.net/著書Webアプリセキュリティ対策入門〜あなたのサイトは大丈夫?Amazon楽天ブックスhontoヨドバシ.com[改訂版]PHPポケットリファレンスAmazon楽天ブックスhontoヨドバシ.comこの記事に関連する書籍Webアプリセキュリティ対策入門〜あなたのサイトは大丈夫?本書は,Webサイトのセキュリティ確保のために必要な基礎知識と,安全なコードを書くために必要な基礎知識を解説しています。Webアプリケーションは比較的簡単に作成で...はじめてのPHP言語プログラミング入門Webアプリケーション構築ツールとしてPHPを取り上げた書籍は数多くありますが,言語の解説・入門書としての書籍はあまりありません。2019」を開催しました。DAY1・DAY2の様子を注目セッションとともにお伝えします。LINEのエンジニア3名がイベントに先駆けて見どころを紹介します。コードの安全性・安定性を高める開発サイクル~テスト管理の効率を上げ,脆弱性診断を自動で行う~本連載では,連載「業務を改善する情報共有の仕掛け」を受けつつ,安全性・安定性を加えた開発サイクルについて考えていきます。若者世代から圧倒的な人気を誇るライブ配信&動画投稿コミュニティアプリ「MixChannel」(ミクチャ)の裏側(レコメンドシステムやサーバサイド開発など)について解説していきます。その他の連載CSS3アニメーションでつくるインターフェイス表現CSS3によるアニメーション表現を紹介していきます。その中でも,幅広い読者に応用してもらえるだろうインターフェイスを主なお題とします。MySQL道普請便り本連載では,MySQLを使ったアプリ開発・運用に関するノウハウをご紹介していきます。RecipeUbuntuの強力なデスクトップ機能を活用するための,いろいろなレシピをお届けします。JavaScriptセキュリティの基礎知識JavaScriptに関するセキュリティ上の問題はどこで発生し,どうすれば防ぐことができるのか?について解説していきます。〜システムをきちんと運用するための基礎知識システムは「作って終わり」ではなく,運用の中でさまざまな問題が発生します。問題の発生に備えて事前にどのような対応をしておくべきなのか,問題発生時に何をしなければならないのか,ポイントを解説していきます。きたみりゅうじの聞かせて珍プレーソフトウェア開発の現場で体験したトホホな失敗,思わずうなる珍プレーをきたみりゅうじ氏が四コママンガで紹介。Linuxのメンテナンスの傍ら,Linuxやオープンソースソフトと日々を過ごす著者が,その魅力とつきあい方を,エッセイ風味でお届けします。PRESS特別編集部員,さわやか笑顔のスーパーハカーはまちちゃんとネット大好き14歳わかばちゃんが,毎号,読者の皆さんから寄せられたおたよりを紹介します。皆さんの日頃の悩みにも答えちゃいますよ。]メールでのお知らせメールで次の案内をお送りしております。メールの配信を希望する方は,利用したい項目をチェックしてメールアドレスを入力し,[登録]ボタンをクリックしてください。UPDATES[ほぼ週間に1回]新刊メールマガジン[ほぼ週間に1回]電脳会議の各号案内[ほぼ1ヵ月半に1回]※変更する場合や停止する場合は,登録情報変更ページをご覧ください。※登録いただいたメールアドレスには,そのお知らせ以外,配信いたしません。Ltd.ページ内容の全部あるいは一部を無断で利用することを禁止します。個別にライセンスが設定されている記事等はそのライセンスに従います。