Coders Conquer Security: Share & Learnシリーズ - コードインジェクション

コードインジェクション攻撃は、多くのウェブサイトやアプリケーションが直面する最も一般的かつ危険な脅威の一つです。その手法の巧妙さや危険性は多岐にわたりますが、ユーザー入力を受け付けるサイトやアプリであれば、ほぼすべてが脆弱性を抱えている可能性があります。実際、この種の攻撃は、サイバーセキュリティに携わる者であればキャリアのどこかで必ず直面するものであり、おそらく何度も対応を迫られることになるでしょう。

コードインジェクション攻撃は、アプリケーションやウェブサイトがユーザーからの入力を受け付ける際に発生します。これは、検索機能の提供や、ユーザーに識別情報の入力を求めるような単純なものでも起こり得ます。攻撃は、悪意のあるユーザーが通常のテキスト入力の代わりにコードを入力することで実行されます。攻撃者の目的は、サーバーにその入力を有効なコードとして誤認させ、攻撃者が望む機能を実行させることにあります。

コードインジェクション攻撃は非常に一般的ですが、それを防ぐための対策も確立されています。本エピソードでは、以下の内容を学びます。

• 仕組み
• なぜこれほど危険なのか
• どのように防御策を講じるべきか

攻撃者はどのようにコードインジェクションを利用するのか？

コードインジェクション攻撃の詳細は使用するプログラミング言語によって異なりますが、ユーザーがデータを入力できる場所がある限り、あらゆるアプリやウェブサイトが標的となり得ます。コードインジェクション攻撃は、SQL、HTML、XML、CSSなど、一般的なあらゆるプログラミング言語で発生しています。

まず、攻撃者はアプリケーション内の脆弱なコード、通常はユーザーが独自の入力を許可されている箇所を見つけ出す必要があります。例えば、以下のコードはPHPのeval()関数を使用しており、戻り値の文字列に対する検証を行わずに、ユーザーが変更可能な状態で渡しています。

$myvar = "varname";
$x = $_GET[arg];
eval("\$myvar = \$x;");

巧妙な攻撃者であれば、eval関数に独自の文字列を簡単に追加でき、必要に応じてシステムコマンドを実行することさえ可能です。

/index.php?arg=1; system(id)

重要な点として、コードインジェクション攻撃にはシステムコマンドの送信が含まれることもありますが、それだけに限定されるわけではありません。実際、コードインジェクション攻撃において、ハッカーの能力は使用する言語の機能によってのみ制限されます。この例では、攻撃者はPHPフレームワークで許可されているほぼすべての操作を標的システムに行わせるようプログラムすることが可能です。

なぜコードインジェクション攻撃はこれほど危険なのか？

コードインジェクション攻撃は、攻撃者のスキル次第で極めて危険なものとなります。攻撃者はプログラミング言語が許容するあらゆる操作を実行できるため、アプリの開発者と同等の権限を持つことになります。攻撃者は実質的に独自のアプリを作成し、標的の環境内で実行させることができてしまうのです。

スキルが低い攻撃者であっても脅威となります。彼らは独自のアプリケーションやコード文字列を作成する代わりに、標的システムに対してあらかじめプログラムされたマルウェアを受け入れ、インストールするよう命令するだけで済みます。これにより、サイトの改ざんやランサムウェア攻撃が発生したり、サイトのユーザーを狙ったフィッシングキャンペーンの踏み台にされたりする可能性があります。

多くの場合、コードインジェクション攻撃はユーザーリストやパスワードの窃取、あるいはさらなる侵害を目的としたシステム偵察のために利用されます。しかし、熟練したコーダーであればコードインジェクション攻撃を使ってほぼ何でもできてしまうという点に注意が必要です。そのため、環境内に存在する可能性のあるすべての脆弱性を発見し、排除することが極めて重要です。

誰も信用するな！（少なくとも、ユーザーは）

コードインジェクション攻撃の脆弱性を排除する際、まず確認すべき場所は、ユーザー入力を求める、あるいは許可しているすべての箇所です。ユーザーが入力したものは、いかなる状況であっても信用してはなりません。フィルタリングや検証を行わずにユーザー入力を許可することは、攻撃者に対してシステムやネットワークを侵害する隙を自ら与えているようなものです。

常に可能とは限りませんが、コードインジェクション攻撃を防ぐ最善の方法は、ユーザーの入力を直接実行したり解釈したりする機能を排除することです。ユーザーに自由な入力を許可するのではなく、あらかじめ用意された選択肢から選ばせるようにし、アプリケーション側ではそれらの限定された選択肢のみを有効として受け付けるようにプログラムできるかもしれません。常に適切な手法とは言えませんが、可能な場所で採用することで、コードインジェクションを未然に防ぐことができます。

ユーザーが独自に入力を行う領域では、そのデータに対して厳格な制御を適用する必要があります。すべての入力が攻撃の可能性があると想定することが、対策の第一歩です。クライアント側とサーバー側の双方で、読み取り専用アクセスなどの最小権限の原則を徹底することで、コードの実行を未然に防ぐことができます。

もう一つの有効な防御策は、ユーザーからのあらゆる入力に対して、アプリケーション全体でフィルタリングとサニタイズを実装することです。開発者の間ではコードインジェクション攻撃への対策は長年周知されており、あらゆるフレームワークや言語で実績のあるフィルタライブラリが利用可能です。これらのフィルタを適用する際は、目立つ入力フォームやGET/POSTコマンドといった一般的なパラメータだけでなく、CookieやHTTPヘッダーに対しても確実に行うようにしてください。

コードインジェクションへの修正適用

環境から不要な入力領域を排除し、最小権限の原則を徹底し、最新のフィルタリングおよびサニタイズツールを使用して潜在的な攻撃を検知・検査することで、この危険な脆弱性を封じ込めることができます。「ユーザー入力を決して信頼しない」という姿勢を持つことも、今後の対策において非常に重要です。これらを実践することで、この危険な攻撃手法に対して常に一歩先んじることができるでしょう。

詳細については、OWASPによるコードインジェクションの解説をご覧ください。また、サイバーセキュリティチームを究極のサイバー戦士へと育成するSecure Code Warriorプラットフォームの無料デモで、習得した防御知識を試すことも可能です。この脆弱性やその他の脅威への対策について詳しくは、Secure Code Warriorブログをご覧ください。

今すぐコードインジェクションに立ち向かいましょう。ゲーミフィケーションを取り入れた当社のトレーニングプラットフォームで、ぜひ挑戦してみてください：[こちらから開始]