縲宣℃蜴ｻ蝠剰ｧ｣隱ｬ縲第ュ蝣ｱ蜃ｦ逅螳牙ｨ遒ｺ菫晄髪謠ｴ螢ｫ 莉､蜥鯉ｼ門ｹｴ蠎ｦ譏･蟄｣縲仙壕蠕 蝠擾ｼ薙
syun032024蟷ｴ4譛21譌･螳滓命縺ｮ諠蝣ｱ蜃ｦ逅螳牙ｨ遒ｺ菫晄髪謠ｴ螢ｫ隗｣遲秘溷ｱ
豈主ｹｴ縺ｮ縺薙→縺ｪ縺後ｉｼ暦ｽ橸ｼ伜牡縺ｮ豁｣隗｣邇縺九→諤昴＞縺ｾ縺吶る俣驕輔＞繧荳肴守せ縺斐＊縺縺ｾ縺励◆繧峨さ繝｡繝ｳ繝医￥縺縺輔＞縲
- 1. 蝠擾ｼ 繧ｻ繧ｭ繝･繧｢繝励Ο繧ｰ繝ｩ繝溘Φ繧ｰ
- 1.1. 險ｭ蝠1 [XSS 縺ｫ縺､縺縺ｦ]縺ｫ縺､縺縺ｦ遲斐∴繧医
- 1.1.1. (1) 譛ｬ譁荳ｭ縺ｮ荳狗ｷ1縺ｫ縺､縺縺ｦ, 蝗ｳ3 荳ｭ縺ｮ繝ｪ繧ｯ繧ｨ繧ｹ繝亥縺ｮ繧ｹ繧ｯ繝ｪ繝励ヨ縺悟ｺ蜉帙＆繧後ｋ縺ｮ縺ｯ縺ｩ縺ｮ讖溯ｽ縺九 陦ｨ1縺ｮ隧ｳ邏ｰ讖溯ｽ縺ｫ蟇ｾ縺吶ｋ鬆逡ｪ繧帝∈縺ｳ遲斐∴繧医
- 1.1.2. (2) 譛ｬ譁荳ｭ縺ｮ荳狗ｷ 2縺ｫ縺､縺縺ｦ,謾ｻ謦閠縺ｯ縺ｩ縺ｮ繧医≧縺ｪ謇矩縺ｧ蛻ｩ逕ｨ閠諠蝣ｱ繧貞叙蠕励☆繧九°縲ょｷ菴鍋噪縺ｫ遲斐∴繧医
- 1.2. 險ｭ蝠2 [CSRF 縺ｫ縺､縺縺ｦ]縺ｫ縺､縺縺ｦ遲斐∴繧医
- 1.2.1. (1) 譛ｬ譁荳ｭ縺ｮ荳狗ｷ3縺ｫ縺､縺縺ｦ, 陲ｫ螳ｳ繧剃ｸ弱∴繧区判謦縺ｮ謇矩繧貞ｷ菴鍋噪縺ｫ遲斐∴繧医
- 1.2.2. (2) 陦ｨ3荳ｭ縺ｮa,d縺ｫ蜈･繧後ｋ驕ｩ蛻縺ｪ蜀螳ｹ繧,窶廾窶晏処縺ｯ"x"縺九ｉ驕ｸ縺ｳ遲斐∴繧医
- 1.3. 險ｭ蝠3 [隱榊庄蛻ｶ蠕｡縺ｮ荳榊ｙ縺ｫ縺､縺縺ｦ]縺ｫ縺､縺縺ｦ遲斐∴繧医
- 1.3.1. (1) 譛ｬ譁荳ｭ縺ｮ荳狗ｷ4縺ｫ縺､縺縺ｦ, 縺ｩ縺ｮ繧医≧縺ｪ謾ｻ謦謇区ｳ輔ｒ逕ｨ縺繧後ｰ謾ｻ謦縺梧仙粥縺吶ｋ縺九 30蟄嶺ｻ･蜀縺ｧ遲斐∴繧医
- 1.3.2. (2) 譛ｬ譁荳ｭ縺ｮ荳狗ｷ5縺ｫ縺､縺縺ｦ繧ｵ繧､繝X縺ｮWeb繧｢繝励Μ縺ｫ霑ｽ蜉縺吶∋縺榊ｦ逅繧,60蟄嶺ｻ･蜀縺ｧ蜈ｷ菴鍋噪縺ｫ遲斐∴繧医
- 1.4. 險ｭ蝠4 [SSRF 縺ｫ縺､縺縺ｦ]縺ｫ縺､縺縺ｦ遲斐∴繧医
- 1.4.1. (1) 譛ｬ譁荳ｭ縺ｮ荳狗ｷ6縺ｫ縺､縺縺ｦ 繝ｭ繧ｰ繧､繝ｳ縺後〒縺阪↑縺縺ｮ縺ｯ縺ｪ縺懊°縲 SSRF謾ｻ謦縺ｮ迚ｹ蠕ｴ繧貞渕縺ｫ, 35蟄嶺ｻ･蜀縺ｧ遲斐∴繧医
- 1.4.2. (2) 譛ｬ譁荳ｭ縺ｮ荳狗ｷ7縺ｫ縺､縺縺ｦ, 繧ｯ繝ｬ繝繝ｳ繧ｷ繝｣繝ｫ諠蝣ｱ繧貞叙蠕励☆繧区婿豕輔ｒ蜈ｷ菴鍋噪縺ｫ遲斐∴繧医
- 1.4.3. (3) 譛ｬ譁荳ｭ縺ｮ荳狗ｷ8縺ｫ縺､縺縺ｦ,譁ｹ豕膝繧堤畑縺縺ｦ繧ｯ繝ｬ繝繝ｳ繧ｷ繝｣繝ｫ諠蝣ｱ繧貞叙蠕励☆繧区婿豕輔ｒ,蜈ｷ菴鍋噪縺ｫ遲斐∴繧医
- 1.4.4. (4) 譛ｬ譁荳ｭ縺ｮ荳狗ｷ9縺ｫ縺､縺縺ｦ,繧ｵ繧､繝Y縺ｮWeb繧｢繝励Μ縺ｫ霑ｽ蜉縺吶∋縺榊ｦ逅繧,35蟄嶺ｻ･蜀縺ｧ蜈ｷ菴鍋噪縺ｫ遲斐∴繧医
- 2. 縺翫☆縺吶ａ蜿り譖ｸ
蝠擾ｼ 繧ｻ繧ｭ繝･繧｢繝励Ο繧ｰ繝ｩ繝溘Φ繧ｰ
險ｭ蝠1 [XSS 縺ｫ縺､縺縺ｦ]縺ｫ縺､縺縺ｦ遲斐∴繧医
(1) 譛ｬ譁荳ｭ縺ｮ荳狗ｷ1縺ｫ縺､縺縺ｦ, 蝗ｳ3 荳ｭ縺ｮ繝ｪ繧ｯ繧ｨ繧ｹ繝亥縺ｮ繧ｹ繧ｯ繝ｪ繝励ヨ縺悟ｺ蜉帙＆繧後ｋ縺ｮ縺ｯ縺ｩ縺ｮ讖溯ｽ縺九 陦ｨ1縺ｮ隧ｳ邏ｰ讖溯ｽ縺ｫ蟇ｾ縺吶ｋ鬆逡ｪ繧帝∈縺ｳ遲斐∴繧医
隗｣遲
ｼ
隗｣隱ｬ
(2) 譛ｬ譁荳ｭ縺ｮ荳狗ｷ 2縺ｫ縺､縺縺ｦ,謾ｻ謦閠縺ｯ縺ｩ縺ｮ繧医≧縺ｪ謇矩縺ｧ蛻ｩ逕ｨ閠諠蝣ｱ繧貞叙蠕励☆繧九°縲ょｷ菴鍋噪縺ｫ遲斐∴繧医
隗｣遲
蝠上＞蜷医ｏ縺帙ｮname繝代Λ繝｡繝ｼ繧ｿ縺ｫ繧ｻ繝繧ｷ繝ｧ繝ｳ諠蝣ｱ繧呈判謦閠縺ｮ繧ｵ繝ｼ繝舌↓騾∽ｿ｡縺吶ｋjavascript繧剃ｻ戊ｾｼ繧縲
邂｡逅逕ｻ髱｢縺ｮ蝠上＞蜷医ｏ縺帶ｩ溯ｽ縺御ｽｿ繧上ｌ繧九→繧ｵ繝ｼ繝舌↓繧ｻ繝繧ｷ繝ｧ繝ｳ諠蝣ｱ縺碁∽ｿ｡縺輔ｌ繧九◆繧√∵判謦閠縺ｯ繧ｻ繝繧ｷ繝ｧ繝ｳ諠蝣ｱ繧貞茜逕ｨ縺励※邂｡逅逕ｻ髱｢縺ｫ繧｢繧ｯ繧ｻ繧ｹ縺嶺ｼ壼藤諠蝣ｱ繧貞盾辣ｧ縺吶ｋ縲
隗｣隱ｬ
隧ｦ鬨灘ｯｾ遲也噪縺ｪ隗｣遲疲婿豕
縺ｩ縺縺吶ｌ縺ｰ蛻ｩ逕ｨ閠諠蝣ｱ繧貞叙蠕励〒縺阪ｋ縺九′繝昴う繝ｳ繝医↓縺ｪ繧翫∪縺吶よ悽譁荳ｭ縺ｫ縺ｯHTML繝ｪ繧ｯ繧ｨ繧ｹ繝医ｄ繧ｻ繝繧ｷ繝ｧ繝ｳ邂｡逅縺ｪ縺ｩ縺ｮ諠蝣ｱ縺梧淵繧翫ｰ繧√ｉ繧後※縺縺ｾ縺吶ゅ＠縺九＠縲∵ュ蝣ｱ蜿門ｾ励ｮ繧ｫ繧ｮ縺ｨ縺ｪ繧汽B縺ｸ縺ｮ繧ｯ繧ｨ繝ｪ菴懈舌↑縺ｩ縺ｯ荳蛻險倩ｿｰ縺輔ｌ縺ｦ縺縺ｾ縺帙ｓ縲
荳願ｨ倥ｮ縺薙→縺九ｉ縲ヾQL繧､繝ｳ繧ｸ繧ｧ繧ｯ繧ｷ繝ｧ繝ｳ縺ｪ縺ｩ逶ｴ謗･DB縺ｮ諠蝣ｱ繧呈誓蜿悶☆繧区判謦謇区ｳ輔〒縺ｯ縺ｪ縺縺ｨ謗ｨ貂ｬ縺ｧ縺阪∪縺吶
縺ｻ縺九↓菴ｿ縺医◎縺縺ｪ險倩ｿｰ縺後↑縺縺区爾縺励※縺ｿ繧九→縲√そ繝繧ｷ繝ｧ繝ｳ邂｡逅縺ｧ險倩ｿｰ縺後≠繧翫∪縺吶
繧ｵ繧､繝X縺ｮ繝ｭ繧ｰ繧､繝ｳ繧ｻ繝繧ｷ繝ｧ繝ｳ邂｡逅縺ｯ, cookie繝代Λ繝｡繝ｼ繧ｿ縺ｮSESSIONID縺ｧ陦後≧縲４ESSIONID縺ｫ縺ｯ縲∝､縺ｨSecure螻樊ｧ縺縺代′繧ｻ繝繝医＆繧後ｋ縲
縺薙ｮ險倩ｿｰ縺ｧ縲HttpOnly螻樊ｧ縺御ｻ倅ｸ弱＆繧後※縺縺ｪ縺縲阪％縺ｨ縺ｫ豌嶺ｻ倥¢繧九°縺後昴う繝ｳ繝医〒縺吶
HttpOnly螻樊ｧ縺御ｻ倅ｸ弱＆繧後※縺縺ｪ縺縺ｨ縺縺縺薙→縺ｯ縲）avascript縺九ｉ繧ｻ繝繧ｷ繝ｧ繝ｳ諠蝣ｱ縺悟叙蠕励〒縺阪∪縺吶
XSS縺ｨ邨縺ｿ蜷医ｏ縺帙※縲邂｡逅逕ｻ髱｢縺九ｉ繧｢繧ｯ繧ｻ繧ｹ縺励◆髫帙↓謔ｪ諢上ｮ縺ゅｋjavascript繧貞ｮ溯｡後＠繧ｻ繝繧ｷ繝ｧ繝ｳ諠蝣ｱ繧呈判謦閠縺ｮ繧ｵ繝ｼ繝舌↓騾∽ｿ｡縺吶ｋ縺薙→縺ｧ謾ｻ謦謌仙粥縺ｧ縺吶
XSS繧堤畑縺縺溘そ繝繧ｷ繝ｧ繝ｳ繝上う繧ｸ繝｣繝繧ｯ縺ｧ縺吶ｭ縲
萓九∴縺ｰ縲∽ｸ玖ｨ倥ｮ繧医≧縺ｪ謾ｻ謦繧ｳ繝ｼ繝峨′邂｡逅逕ｻ髱｢縺ｧ螳溯｡後＆繧後ｋ繧医≧縺ｫ蝓九ａ霎ｼ縺ｿ縺ｾ縺吶
縺薙ｮ繧ｳ繝槭Φ繝峨′螳溯｡後＆繧後ｋ縺ｨ縲《yuntech.net縺ｮ繝峨Γ繧､繝ｳ縺ｫGET繝代Λ繝｡繝ｼ繧ｿ縺ｧ繧ｻ繝繧ｷ繝ｧ繝ｳ諠蝣ｱ莉倥″繧｢繧ｯ繧ｻ繧ｹ繝ｭ繧ｰ縺梧ｮ九ｊ縺ｾ縺吶
縺薙ｮ諠蝣ｱ繧偵ｂ縺ｨ縺ｫ邂｡逅逕ｻ髱｢縺ｫ繧｢繧ｯ繧ｻ繧ｹ縺嶺ｼ壼藤諠蝣ｱ繧貞盾辣ｧ縺励∪縺吶
險ｭ蝠2 [CSRF 縺ｫ縺､縺縺ｦ]縺ｫ縺､縺縺ｦ遲斐∴繧医
(1) 譛ｬ譁荳ｭ縺ｮ荳狗ｷ3縺ｫ縺､縺縺ｦ, 陲ｫ螳ｳ繧剃ｸ弱∴繧区判謦縺ｮ謇矩繧貞ｷ菴鍋噪縺ｫ遲斐∴繧医
隗｣遲
諢丞峙縺励↑縺莨壼藤諠蝣ｱ繧呈峩譁ｰ縺吶ｋ鄂繧ｵ繧､繝医ｒ險ｭ鄂ｮ縺吶ｋ縲CSRF繝医ｼ繧ｯ繝ｳ縺ｯ謾ｻ謦閠縺ｮ豁｣隕上ｮ蛟､繧貞茜逕ｨ縺吶ｋ縲
X繧ｵ繧､繝医↓繝ｭ繧ｰ繧､繝ｳ迥ｶ諷九ｮ蛻ｩ逕ｨ閠繧定ｪ伜ｰ弱＠縲∽ｼ壼藤讖溯ｽｼ育ｷｨ髮ｼ峨↓POST繝ｪ繧ｯ繧ｨ繧ｹ繝医ｒ騾∽ｿ｡縺吶ｋ縲
隗｣隱ｬ
(2) 陦ｨ3荳ｭ縺ｮa,d縺ｫ蜈･繧後ｋ驕ｩ蛻縺ｪ蜀螳ｹ繧,窶廾窶晏処縺ｯ"x"縺九ｉ驕ｸ縺ｳ遲斐∴繧医
隗｣遲
| GET | POST | |
| strict | a : ﾃ | b : ﾃ |
| lax | c : 縲 | d : ﾃ |
隗｣隱ｬ
lax縺ｯ繧ｯ繝ｭ繧ｹ繧ｵ繧､繝医ｮ蝣ｴ蜷医；ET繝ｪ繧ｯ繧ｨ繧ｹ繝域凾縺ｮ縺ｿcookie諠蝣ｱ繧帝∽ｿ｡縺励∪縺
險ｭ蝠3 [隱榊庄蛻ｶ蠕｡縺ｮ荳榊ｙ縺ｫ縺､縺縺ｦ]縺ｫ縺､縺縺ｦ遲斐∴繧医
(1) 譛ｬ譁荳ｭ縺ｮ荳狗ｷ4縺ｫ縺､縺縺ｦ, 縺ｩ縺ｮ繧医≧縺ｪ謾ｻ謦謇区ｳ輔ｒ逕ｨ縺繧後ｰ謾ｻ謦縺梧仙粥縺吶ｋ縺九 30蟄嶺ｻ･蜀縺ｧ遲斐∴繧医
隗｣遲
豕ｨ譁逡ｪ蜿ｷ縺ｮ闍ｱ螟ｧ譁蟄6譯√ｒ邱丞ｽ薙◆繧頑判謦縺ｧ繧｢繧ｯ繧ｻ繧ｹ縺吶ｋ
隗｣隱ｬ
(2) 譛ｬ譁荳ｭ縺ｮ荳狗ｷ5縺ｫ縺､縺縺ｦ繧ｵ繧､繝X縺ｮWeb繧｢繝励Μ縺ｫ霑ｽ蜉縺吶∋縺榊ｦ逅繧,60蟄嶺ｻ･蜀縺ｧ蜈ｷ菴鍋噪縺ｫ遲斐∴繧医
隗｣遲
SESSIONID縺ｧ謖螳壹＆繧後◆繧｢繧ｫ繧ｦ繝ｳ繝医↓邏蝉ｻ倥￥豕ｨ譁諠蝣ｱ縺ｮ縺ｿ蜿らｧ縺ｧ縺阪ｋ繧医≧縺ｫ縺吶ｋ
隗｣隱ｬ
險ｭ蝠4 [SSRF 縺ｫ縺､縺縺ｦ]縺ｫ縺､縺縺ｦ遲斐∴繧医
(1) 譛ｬ譁荳ｭ縺ｮ荳狗ｷ6縺ｫ縺､縺縺ｦ 繝ｭ繧ｰ繧､繝ｳ縺後〒縺阪↑縺縺ｮ縺ｯ縺ｪ縺懊°縲 SSRF謾ｻ謦縺ｮ迚ｹ蠕ｴ繧貞渕縺ｫ, 35蟄嶺ｻ･蜀縺ｧ遲斐∴繧医
隗｣遲
繝ｭ繧ｰ繧､繝ｳ逕ｻ髱｢縺ｯ陦ｨ遉ｺ縺ｧ縺阪ｋ縺後∫判髱｢縺ｫ蟇ｾ縺吶ｋ謫堺ｽ懊ｒ陦後≧縺薙→縺ｯ縺ｧ縺阪↑縺縺溘ａ
隗｣隱ｬ
(2) 譛ｬ譁荳ｭ縺ｮ荳狗ｷ7縺ｫ縺､縺縺ｦ, 繧ｯ繝ｬ繝繝ｳ繧ｷ繝｣繝ｫ諠蝣ｱ繧貞叙蠕励☆繧区婿豕輔ｒ蜈ｷ菴鍋噪縺ｫ遲斐∴繧医
隗｣遲
繝代Λ繝｡繝ｼ繧ｿ縺ｫIMDS縺ｮ繝励Λ繧､繝吶ｼ繝IP繧｢繝峨Ξ繧ｹ繧堤畑縺縺欟RL繧定ｨｭ螳壹☆繧九
繝ｬ繧ｹ繝昴Φ繧ｹ諠蝣ｱ縺ｮ繧ｯ繝ｬ繝繝ｳ繧ｷ繝｣繝ｫ諠蝣ｱ繧貞茜逕ｨ縺吶ｋ縲
隗｣隱ｬ
(3) 譛ｬ譁荳ｭ縺ｮ荳狗ｷ8縺ｫ縺､縺縺ｦ,譁ｹ豕膝繧堤畑縺縺ｦ繧ｯ繝ｬ繝繝ｳ繧ｷ繝｣繝ｫ諠蝣ｱ繧貞叙蠕励☆繧区婿豕輔ｒ,蜈ｷ菴鍋噪縺ｫ遲斐∴繧医
隗｣遲
繝医ｼ繧ｯ繝ｳ繧堤匱陦後☆繧偽RL縺ｫPUT繝｡繧ｽ繝繝峨〒繧｢繧ｯ繧ｻ繧ｹ縺吶ｋ
Web繧ｵ繝ｼ繝榛縺ｸ縺ｮ繝ｪ繧ｯ繧ｨ繧ｹ繝医ヱ繝ｩ繝｡繝ｼ繧ｿ縺ｫ謾ｹ陦梧枚蟄励ｒ蜈･繧後※繝ｪ繧ｯ繧ｨ繧ｹ繝医ｒ蛻蜑ｲ縺吶ｋ
蛻蜑ｲ蠕後ｮ繝ｪ繧ｯ繧ｨ繧ｹ繝医↓蜿門ｾ励＠縺溘ヨ繝ｼ繧ｯ繝ｳ繧偵Μ繧ｯ繧ｨ繧ｹ繝医倥ャ繝縺ｫ蜷ｫ繧√※騾∽ｿ｡縺吶ｋ
隗｣隱ｬ
(4) 譛ｬ譁荳ｭ縺ｮ荳狗ｷ9縺ｫ縺､縺縺ｦ,繧ｵ繧､繝Y縺ｮWeb繧｢繝励Μ縺ｫ霑ｽ蜉縺吶∋縺榊ｦ逅繧,35蟄嶺ｻ･蜀縺ｧ蜈ｷ菴鍋噪縺ｫ遲斐∴繧医
隗｣遲
繝ｪ繧ｯ繧ｨ繧ｹ繝医→縺励※蜿励¢莉倥¢繧九ヱ繝ｩ繝｡繝ｼ繧ｿ縺ｯ險ｱ蜿ｯ縺輔ｌ縺溘ラ繝｡繧､繝ｳ縺ｫ髯仙ｮ壹☆繧
隗｣隱ｬ
繧ｨ繧ｹ繧ｱ繝ｼ繝励→縺句ｯｾ遲悶ｯ縺繧阪＞繧阪≠繧翫◎縺
菴捺─閾ｪ蛻縺ｮ蝗樒ｭ斐→縺ｻ縺ｼ縺ゅ▲縺ｦ縺縺溘ｮ縺ｧ縲∝ｮ牙ｿ縺励∪縺励◆縲ゆｻ雁ｹｴ縺ｯ髮｣縺励￥縺九▽蝠城｡悟驥上′螟壹￥縺ｦ驕ｸ謚槫撫鬘後ｮ荳蝠冗岼縺ｧ縺九↑繧企ｭ菴ｿ縺｣縺ｦ縲∽ｺ悟撫逶ｮ縺後♀縺ｼ縺､縺九↑縺九▲縺溘〒縺 縲