ウェブ入力を悪用する攻撃

1入力した値を、命令として実行させない

SQL（関係データベースの定義や操作などを記述する言語）は、データベースからデータを探したり更新したりする言語です。利用者が入力した文字列を命令文へそのまま混ぜると、その一部を不正な命令として解釈させられる場合があります。これがSQLインジェクションです。

例えば商品検索欄に書かれた文字は、検索したい値として扱う必要があります。命令に組み込んで実行させないため、プレースホルダという値を入れる場所を先に決め、後から値を対応付けるバインドなどを使います。命令と値を分けることが要点です。

有害な文字列などを無害化する処理をサニタイジングといいます。ただし、これだけを万能なSQL対策と考えず、入力形式の検証と、用途に応じた安全な処理を組み合わせます。

SQLはStructured Query Languageの略です。複数の記憶装置へデータを分けて書くストライピングは、保存の仕組みであり、入力文字列への対策とは目的も対象も異なります。

2対策が扱う対象を、場面から選ぶ

似た選択肢が並んだら、「何を安全に扱いたいのか」を確かめます。用語の響きではなく、対象を合わせましょう。

• 投稿や検索欄の文字を安全に扱いたい：文字列の無害化を指すのがサニタイジングです。SQLでは命令と値の分離を基本に考え、表示先に合った処理も必要です。
• 接続できる機器を絞りたい：MACアドレスによる接続制限は、入力文字列でなく機器に着目します。
• 複数の記憶装置へ分けて書きたい：ストライピングは、保存の方法です。
• 人をだまして情報を得ようとしている：ソーシャルエンジニアリングは、人の心理や行動を狙う手口です。

例えば「掲示板へ入力した文字を処理する」相談に、記憶装置へ分散して保存する方法を答えても、困りごとを解決できません。選択肢を選んだ後に、対象が一致する理由も一言で説明してみましょう。

2表示した文字を実行させない

XSS（Cross-Site Scripting：クロスサイトスクリプティング）は、ウェブページへ不正なスクリプトが混ざり、閲覧者のブラウザで実行される攻撃です。掲示板の投稿など外部入力を表示するときは、出力先の文脈に合ったエスケープなどでデータとして表示します。

ディレクトリトラバーサルは、想定したフォルダの外のファイルにアクセスさせる攻撃です。ファイル名・経路を安全に扱い、許された範囲に限定します。データベース操作か、ブラウザ実行か、ファイル経路かを分けます。

3操作の意思を確かめる

CSRF（Cross-Site Request Forgery：クロスサイトリクエストフォージェリ）は、ログイン中の利用者に意図しない要求を送らせる攻撃です。重要な処理では、正しい画面からの要求か確かめるトークンなどを使います。

クリックジャッキングは透明な画面などを重ね、見えているボタンとは別の操作を押させる攻撃です。画面の埋込みを制限するなど、提供側の対策も必要です。どちらも利用者がクリックした事実だけでは意思を保証できません。