安全でないPHPプログラムの作り方

ログインフォームの脆弱性(4)

脆弱性のあるログインフォームの解説です。ソースコードをまだ見られていない方は、まず、脆弱性のあるログインフォームをご覧ください。

この脆弱性を取り除くには、

<form method="POST" action="<?php echo $_SERVER['PHP_SELF']; ?>">

の部分は、以下のようにするのがよいと思います。

<form method="POST" action="">

あるいは、$_SERVER['PHP_SELF'] を htmlspecialchars() でエスケープ処理する方法もあるかと思います。

<form method="POST" action="<?php echo htmlspecialchars($_SERVER['PHP_SELF'], ENT_QUOTES, 'UTF-8'); ?>">

また、以下のユーザ名の入力値を表示する部分は、

<input type="text" name="username" value="<?php echo $_POST['username']; ?>

以下のように、htmlspecialchars() でエスケープ処理します。

<input type="text" name="username" value="<?php echo htmlspecialchars($_POST['username'], ENT_QUOTES, 'UTF-8'); ?>

htmlspecialchars() でエスケープ処理する場合は、必ず、第2引数に ENT_QUOTES を指定しましょう。デフォルトでは、シングルクオート(')がエスケープされませんので、シングルクオートでインジェクションできるケースでは脆弱性が残る可能性があります。

このブログの目的

このブログの目的は、意識的に、自由自在に、効率的に、安全でない(脆弱性のある) PHPプログラムを作成できるようになることです。無意識に脆弱性のあるプログラムを作るという状態がなくなることを目指しています。意識的に脆弱性を入れられるようになれば、今までと同じ作業時間でも多くの脆弱性を作れるようになるでしょう。そのような状態になれれば、脆弱性は、すべて意識されたものとなります。もし望むなら、脆弱性のない安全なプログラムを作ることもできるでしょう。そんなことを望む人がいるかどうかはわかりませんが。(笑) ただし、そのような状態になるのは、正直言って簡単ではありません。

ログインフォームの脆弱性(3)

脆弱性のあるログインフォームの解説です。ソースコードをまだ見られていない方は、まず、脆弱性のあるログインフォームをご覧ください。

補足ですが、コメントにあったように URL を

http://localhost/this.php?username=%22%3E%3Cscript%20type=
%22text/javascript%22%3Ealert('xss')%3C/script%3E%3Ca%20name=%22a

のように入力したとしても、このログインフォームでは、クロスサイトスクリプティングはできません。実際にそのように入力しても警告は表示されません。

これは、username の表示に、

$_POST['username']

と $_POST を使っているために、GETリクエストで値を送信しても無視されるためです。これを上記のように GET でも攻撃可能にするには、$_POST を $_REQUEST に変更すれば ok です。具体的には、

ユーザ名: <input type="text" name="username" value="<?php echo $_REQUEST['username']; ?>"><br>

です。

こうすれば、inputタグは、以下のようになり、スクリプトが実行可能になります。

<input type="text" name="username" value=""><script type="text/javascript">alert('xss')</script><a name="a">

ログインフォームの脆弱性(4) へ続く。

コメントのタイトル

いろいろコメントが付くようになったのですが、このブログサービスでは、コメントを記入されるとき、タイトルを入れないと「無題」と付くようです。ということで、タイトルを入れないと全部「無題」で新しいコメントかどうかの区別が付きにくいです。コメントをご記入の場合は、できるだけ何かタイトルを入れるようにお願いします。

脆弱性のあるコマンド実行

exec()関数で、外部コマンドを実行しています。OSコマンドインジェクションを防ぐために「"」をエスケープしています。

どこが脆弱でしょうか？

ログインフォームの脆弱性(2)

脆弱性のあるログインフォームの解説です。ソースコードをまだ見られていない方は、まず、脆弱性のあるログインフォームをご覧ください。

すでにコメントでほぼ明らかになっていますが、このコードの二つ目の脆弱性は、

<form method="POST" action="<?php echo $_SERVER['PHP_SELF']; ?>">

の $_SERVER['PHP_SELF'] をそのまま表示していることです。$_SERVER['PHP_SELF'] は現在実行しているスクリプトのファイル名ですが、この値には PATH_INFO も含まれます。

例えば、URL に「http://localhost/this.php/%22%3E%3Cscript%3Ealert('xss')%3C/script%3E%3Ca%20name=%22a」と入力すると、この form タグは、

<form method="POST" action="/this.php/"><script>alert('xss')</script><a name="a">

となります。

実際にやってみるとすぐにわかりますが、この時、警告ダイアログがブラウザの画面に表示されます。入力した JavaScript のコードがブラウザで実行されていることがわかります。

これで、ユーザが自由に JavaScript コードをページに埋め込むことができることがわかります。これも、クロスサイトスクリプティング(XSS)脆弱性です。

ログインフォームの脆弱性(3) へ続く。

もっと脆弱性のあるメール送信フォーム

よくあるメール送信フォームです。このフォームを使い迷惑メールを送ってみてください。

なお、表示の関係でソースコード中の textarea タグを textarea_ としています。

問題のある認証付きページ

ログイン済みのユーザのみアクセスできるページの処理です。ログインしているかどうか判定する関数 loggedin() の中身は省略しています。ログインしていないユーザはログインページにリダイレクトします。

このコードのどこが問題でしょうか？

このブログの対象読者

このブログの対象読者を書いていませんでした。このブログの対象読者は「PHP初心者〜」です。なので、PHP初心者の方も含まれています。初心者からの疑問やコメントなども歓迎します。

ログインフォームの脆弱性(1)

脆弱性のあるログインフォームの解説です。ソースコードをまだ見られていない方は、まず、脆弱性のあるログインフォームをご覧ください。

すでにコメントでほぼ明らかになっていますが、このコードの脆弱性のひとつは、

ユーザ名: <input type="text" name="username" value="<?php echo $_POST['username']; ?>"><br>

の $_POST['username'] をそのまま表示していることです。$_POST['username'] はユーザが POSTメソッドで送信した usernameフィールドの値ですね。

例えば、ユーザ名に「"><script>alert('xss')</script><a name="a」と入力すると、この inputタグは、

<input type="text" name="username" value=""><script>alert('xss')</script><a name="a">

となります。

実際にやってみるとすぐにわかりますが、この時、警告ダイアログがブラウザの画面に表示されます。入力した JavaScript のコードがブラウザで実行されていることがわかります。

これで、ユーザが自由に JavaScript コードをページに埋め込むことができることがわかります。これは、典型的なクロスサイトスクリプティング(XSS)脆弱性です。

これが何故、危険かわからない人がいましたら、コメントにその旨ご記入ください。

続きは、ログインフォームの脆弱性(2)