Webの脆弱性入門｜SQLインジェクション・XSSのしくみ

Webサービスを作る・使う人が知っておきたい、代表的なWebの脆弱性。攻撃のしくみが分かれば、防ぎ方も見えてきます。

代表的な3つ

SQLインジェクションのイメージ

ログイン欄に、パスワードのつもりでデータベースへの命令を紛れ込ませる攻撃です。入力をそのままDBに渡すと、「全員のデータを見せろ」といった命令が実行されてしまうことも。

開発者の基本対策

自前で頑張るより、実績あるフレームワークの安全機能を使うのが確実。加えて更新で既知の穴をふさぎます。

もう少し詳しく（背景と理論）

Webの脆弱性を体系的に学ぶ出発点が OWASP Top 10 です。世界中の実データを基に、影響の大きいWebアプリの脆弱性カテゴリを数年ごとに更新して公開しています¹。2021年版では、アクセス制御の不備（Broken Access Control）が最上位に上がり、インジェクションや認証の不備、設定ミスなどが並びます。個々の脆弱性は CWE（Common Weakness Enumeration） で分類され、実際に見つかった脆弱性は CVE として採番・公開されます²。重要なのは、どれも「入力を信用しない」「最小権限」「多層防御」「安全なデフォルト」という共通原則の適用で大半が防げること³。個別の対策を暗記するより、この原則を身につける方が応用が効きます。

つぎに読むなら

• HTTPSのしくみ
• アップデートの重要性
• ゼロトラスト

Footnotes

1. OWASP Top 10 は Web アプリの重大な脆弱性カテゴリを実データから選定・公開する事実上の標準リスト。定期的に改訂される。 ↩

2. CWE は脆弱性の「種類」を分類する辞書、CVE は個別に発見された脆弱性の識別子。両者を使い分けてリスクを管理する。 ↩

3. 多くの脆弱性は「入力を信用しない・最小権限・多層防御・安全なデフォルト」の原則で防げる。個別対策の丸暗記より原則の理解が有効。 ↩