第5回 レスポンスヘッダ＋改行コード＝脆弱性？！


杉山 俊春
株式会社ユービーセキュア
技術本部　テクニカルサービス部
セキュアオーディットコンサルタント
2008/4/8
（Illustrated by はるぷ）
日常会話までパーセントエンコードができるようになってしまったクウ、まだまだ覚えなくてはならないことだらけ。HTTP知識の基礎を固める本連載、今回ターゲットとなったのは「レスポンスヘッダ」のようです（編集部）

　基礎を固めて褒めてもらおう！


ユウヤ 「おはよ」
クウ 「おは……、えと……」
ユウヤ 「ん？」
クウ 「むう、この気持ちをパーセントエンコードで伝えたい」
ユウヤ 「なにそれ」

　パーセントエンコードについていろいろ勉強したばかりのクウは、ユウヤに対して、HTTPでのパーセントエンコードについて熱弁を振るっていた。すると、その話に興味を持ったナツさんが話し掛けてきた。

ナツ 「なになに？ なんか面白そうじゃん？」
ユウヤ 「興味ないっていってるんですけどね……。ナツさん、こいつ引き取ってやってくださいよー」
クウ 「最近HTTPとか勉強してるんすよ。いま、パーセントエンコードについて語ってるとこっす！」
ナツ 「おー。なるほどなるほど」
クウ 「やっぱ基礎は大事すね！ 勉強してると実は意外といろいろ知らなかったなーって思って」
ナツ 「うんうん。そういうとこ把握しとくのは大事だよね。感心、感心♪」

　ナツさんは、開発チームのリーダーで、分からないことがあると丁寧に教えてくれる、クウの尊敬する人の1人である。

クウ 「まだ基本でつまずいているようじゃ、まだまだナツさんのレベルまで到達できないっすね」
ナツ 「そうでもないよ。……クウって、今日時間あるんだっけ？」
クウ 「あ、なんか先方と調整つかなくて、待ち状態っぽいです」
ナツ 「なるほど。ちょうど今日は俺も結構時間空いているから教えてあげよう。感謝したまえ。用意できたら声掛けるよー」
クウ 「おおおっ？！」

　はい、じゃあ脆弱性探してみて！

　そういうとナツは、自席に戻りなにやら準備を始めた。

ナツ 「できたよー。いまからいうURLにアクセスしてみて」
クウ 「了解っす！」
ナツ 「http://192.168.0.……」
クウ 「……お、アクセスできました」
ナツ 「うん。それそれ。前に、私が作ってたやつでうっかり脆弱性作り込んじゃったやつ」
クウ 「えええ！ ナツさんでもそんなことあるんすね」
ナツ 「幸いリリース前に自分で気付いて直したんだけどね。戒めのために手元に残しておいたんだ」
クウ 「そうなんですか」
ナツ 「ここで問題！ どこに脆弱性があるでしょーか？」
クウ 「おおおっ？！」
ナツ 「HTTPが理解できてないとこれはよく分かんないだろうな。長く時間とっても無駄だから制限時間は30分！」
クウ 「30分！ 短いけど頑張るっす！」


ナツ 「時間切れー。残念」
クウ 「くーっ。分からなかった……」

　クウはSQLインジェクションやクロスサイトスクリプティングを試してみたり、パーセントエンコードを用いて制御文字を挿入したりといろいろやってみたものの、特に脆弱性と呼べるような挙動を見つけることはできなかった。

ナツ 「残念賞にアメくらいはあげよう。はい」
クウ 「ありがたくちょうだいいたします！」

　そういってアメをクウに渡すとナツは、自席に戻って行った……。

1/3

Index
レスポンスヘッダ＋改行コード＝脆弱性？！
Page1
基礎を固めて褒めてもらおう！
はい、じゃあ脆弱性探してみて！
  Page2
答えはレスポンスヘッダにあった？

 

 Page3
ヘッダを分断して起こす「レスポンスヘッダインジェクション」
対策、改行をはじけばOK……？

もいちどイチから！ HTTP基礎訓練中 バックナンバー


もいちどイチから！ HTTP基礎訓練中 連載インデックス

TechTargetジャパン

Security&Trust フォーラム 新着記事

＠ITメールマガジン　新着情報やスタッフのコラムがメールで届きます（無料）

RSSフィード

＠IT 新着記事

キャリアアップ

- PR -
＠IT Sepcial
→ ＠IT Special ヘ

イベントカレンダー

PickUpイベント

- PR -
もっと見る
- PR -

お勧め求人情報

ホワイトペーパー（TechTargetジャパン）

＠IT Sepcial
→ ＠IT Special ヘ
ソリューションFLASH