前回に引き続き,今回も文字エンコーディングとセキュリティをテーマに解説します。前回は壊れた文字エンコーディングを利用した攻撃,文字エンコーディングを誤認識させる攻撃を紹介しました。今回はSJIS特定の問題を簡単に紹介します。文字エンコーディングのエスケープ方式を利用する方法ほとんどの文字エンコーディングは,マルチバイト文字の中に“⁠\⁠”などの特殊文字を含みません。Shift_JISでは“⁠\⁠”がマルチバイト文字に含まれるので,これが原因で脆弱性が発生する場合あります。?>出力%95%5C“%5C⁠”は“⁠\⁠”です。“⁠\⁠”は文字列のエスケープなどに利用される特殊文字です。addslashes関数は,マルチバイト文字列の処理を考慮していないので,マルチバイト文字中の“⁠\⁠”は\でエスケープされます。その結果,“⁠表⁠”は“⁠表\⁠”となってしまいます。PHPユーザの場合,php.iniでmagic_quotes_gpc=on(すべての入力にaddslashesを適用するオプション)と設定されているシステムも多いので,SJISエンコーディングを使っている場合に不必要な“⁠\⁠”が現れて困った方も少なくないと思います。これは,マルチバイト文字の中に“⁠\⁠”が含まれていることが原因で発生している問題です。この動作は無害のように思えるかもしれませんが,PHPやJavascriptなど,“⁠\⁠”がエスケープ文字になっているシステムでは重大な問題となります。......※下線部がそれぞれ$name,$ageの値のような攻撃が可能になり,不正なJavaScriptやHTMLを埋め込まれてしまいます。MySQLや古いPostgreSQLの場合も同様の攻撃が可能でした。MySQLは現在でも文字列のエスケープに“⁠\⁠”が利用可能です。8.X以降では文字列のエスケープ文字は“⁠'⁠”(シングルクオート)になっています。文字列中の“⁠'⁠”(シングルクオート)は,シングルクオートでエスケープして“⁠''⁠”とします(※1⁠)⁠。8.1.4以降からエスケープAPIは文字エンコーディングを考慮したエスケープを行っています。対策:文字列をエスケープする場合,マルチバイト文字列と文字エンコーディングを考慮したエスケープ関数を利用する。ereg関数,addslashes関数,mysql_escape_string関数はマルチバイト文字列や文字エンコーディングを考慮していません。通常の文字列関数もマルチバイト文字例を処理できません。現在は対策済みですが,古いライブラリ(2005年春頃より古いライブラリ)を利用しているmysql_real_escape_string関数やpg_escape_string関数もマルチバイト文字列と文字エンコーディングを正しく考慮したエスケープ処理をしていません。古いシステムでは脆弱性が残ったままである場合も少なくないので注意が必要です。SJISに対する攻撃SJISに対しては今まで紹介した脆弱性と異なる脆弱性が発生する場合があります。アプリエーションが不正な文字エンコーディングをチェックせず,不適切なエスケープ処理を行っていると,文字列の出力先のシステムが不正な文字エンコーディングをチェックしていてもまったく役に立たなくなります。最近のPostgreSQLやMySQLは,文字エンコーディングを利用した攻撃への対策が施され,文字列型データの場合,文字エンコーディングが正しくないとエラーとなります。SJISを利用している場合,文字エンコーディングのバリデーション不足と不適切なエスケープ処理が重なると,生成されたSQL文に不正な文字エンコーディングが含まれないため,攻撃をまったく検出できません。“⁠表⁠”を使った例を紹介します。“⁠表⁠”はURLエンコードすると“⁠%95%5C⁠”ですが,攻撃者は“⁠%95%27⁠”を利用します。“⁠%27⁠”はASCIIの“⁠'⁠”(シングルクオート)です。“%95%27⁠”をaddslashes関数やmysql_escape_string関数でエスケープすると“⁠%95%5C%27⁠”となり,SJISでは“⁠表'⁠”となります。,%95%27の後に攻撃用の文字列を挿入でき,不正な文字エンコーディングも無いため,サーバ側で正規のクエリなのか,不正なクエリなのかまったく判別できません。......最近では中国語もサポートしたアプリケーションを作る方も少なくないと思いますが,BIG5などSJISと同様の仕組みを持つアジアの文字エンコーディングでは同様の脆弱性が発生する可能性があります。この攻撃には不正な文字エンコーディングが必要であるため,既に解説済みの「すべての文字列の文字エンコーディングが正しい文字エンコーディングであるか確認する」対策を取っていれば防御できます。マルチバイト文字を考慮しないエスケープ関数で余分な文字が追加されると問題が発生します。余分な“⁠\⁠”が追加されると,入力も処理結果も正しい文字エンコーディング,出力結果も正しい文字エンコーディング,となっても攻撃が可能となることもあります。問題を防ぐには,マルチバイト文字の処理にはマルチバイト文字に対応した関数を必ず利用しなければなりません。まとめSJISを利用していると,壊れた文字エンコーディングを利用しなくても,不適切なエスケープ処理が行われていると攻撃されてしまうことを理解頂けたと思います。SJISだけが危険な文字エンコーディングとは言えませんが,別のリスクがあることは理解していたほうがよいでしょう。同校にてコンピュータサイエンスとビジネスを学ぶ。株式会社シーエーシーを経て,エレクトロニック・サービス・イニシアチブ有限会社を設立。オープンソース製品は比較的古くから利用し,Linuxは0.9xのころから利用している。オープンソースシステム開発への参加はエレクトロニック・サービス・イニシアチブ設立後から。PHPプロジェクトでは,PostgreSQLモジュールのメンテナンスを担当している。URL:http://blog.ohgaki.net/著書Webアプリセキュリティ対策入門〜あなたのサイトは大丈夫?Amazon楽天ブックスhontoヨドバシ.com[改訂版]PHPポケットリファレンスAmazon楽天ブックスhontoヨドバシ.comこの記事に関連する書籍Webアプリセキュリティ対策入門〜あなたのサイトは大丈夫?本書は,Webサイトのセキュリティ確保のために必要な基礎知識と,安全なコードを書くために必要な基礎知識を解説しています。Webアプリケーションは比較的簡単に作成で...はじめてのPHP言語プログラミング入門Webアプリケーション構築ツールとしてPHPを取り上げた書籍は数多くありますが,言語の解説・入門書としての書籍はあまりありません。2019」を開催しました。DAY1・DAY2の様子を注目セッションとともにお伝えします。LINEのエンジニア3名がイベントに先駆けて見どころを紹介します。コードの安全性・安定性を高める開発サイクル~テスト管理の効率を上げ,脆弱性診断を自動で行う~本連載では,連載「業務を改善する情報共有の仕掛け」を受けつつ,安全性・安定性を加えた開発サイクルについて考えていきます。若者世代から圧倒的な人気を誇るライブ配信&動画投稿コミュニティアプリ「MixChannel」(ミクチャ)の裏側(レコメンドシステムやサーバサイド開発など)について解説していきます。その他の連載CSS3アニメーションでつくるインターフェイス表現CSS3によるアニメーション表現を紹介していきます。その中でも,幅広い読者に応用してもらえるだろうインターフェイスを主なお題とします。MySQL道普請便り本連載では,MySQLを使ったアプリ開発・運用に関するノウハウをご紹介していきます。RecipeUbuntuの強力なデスクトップ機能を活用するための,いろいろなレシピをお届けします。JavaScriptセキュリティの基礎知識JavaScriptに関するセキュリティ上の問題はどこで発生し,どうすれば防ぐことができるのか?について解説していきます。〜システムをきちんと運用するための基礎知識システムは「作って終わり」ではなく,運用の中でさまざまな問題が発生します。問題の発生に備えて事前にどのような対応をしておくべきなのか,問題発生時に何をしなければならないのか,ポイントを解説していきます。きたみりゅうじの聞かせて珍プレーソフトウェア開発の現場で体験したトホホな失敗,思わずうなる珍プレーをきたみりゅうじ氏が四コママンガで紹介。Linuxのメンテナンスの傍ら,Linuxやオープンソースソフトと日々を過ごす著者が,その魅力とつきあい方を,エッセイ風味でお届けします。PRESS特別編集部員,さわやか笑顔のスーパーハカーはまちちゃんとネット大好き14歳わかばちゃんが,毎号,読者の皆さんから寄せられたおたよりを紹介します。皆さんの日頃の悩みにも答えちゃいますよ。]メールでのお知らせメールで次の案内をお送りしております。メールの配信を希望する方は,利用したい項目をチェックしてメールアドレスを入力し,[登録]ボタンをクリックしてください。UPDATES[ほぼ週間に1回]新刊メールマガジン[ほぼ週間に1回]電脳会議の各号案内[ほぼ1ヵ月半に1回]※変更する場合や停止する場合は,登録情報変更ページをご覧ください。※登録いただいたメールアドレスには,そのお知らせ以外,配信いたしません。Ltd.ページ内容の全部あるいは一部を無断で利用することを禁止します。個別にライセンスが設定されている記事等はそのライセンスに従います。