２章－７

［WEBアプリケーションにおける脅威］

HTTP特有のセキュリティホールに対しては
FW/IDSは効果が無い

クロスサイトスクリプティング
SQLコマンドインジェクション
パストラバース
セッションハイジャック
OSコマンドインジェクション
バッファオーバーフロー
設定ミス，デフォルト設定に起因する問題

［クロスサイトスクリプティング］
フォームから悪意のあるスクリプトを仕込む
HTMLを読み込んだ利用者のPCが感染
危険な文字を置換，除去する行為が必要

サニタイジング
危険な文字を置換／除去する

実体参照
HTMLに表示する前に，危険な文字を実体参照に置換する

［SQLコマンドインジェクション］
SQLコマンドの挿入
WEBアプリケーションが発行するSQLコマンドが改ざんされる
不正なパラメータがDBに送られることにより
不正な処理が可能になる

ユーザが入力したパラメータ値の入力チェックを正しく処理する
エスケープすべき文字を取り除く
デリミタ（区切り文字）

［OSコマンドインジェクション］
WEBアプリケーションで利用可能なOSコマンドを利用して
不正な入力を行う．
入力値をチェックする必要

［デフォルト設定］
デフォルトアカウントの流用しない
ログイン処理がバイパスできる開発者向けファンクションが
残されていないか確認する

２章－６

［Bot］
ゾンビPCによって構成される
Botネットワーク
DDoS攻撃やメール送信

目的や意思を持った不正なネットワーク
ボットの背後には人間の意志が存在する
感染したPCをどう悪用するかという行為を
常に行っている．

2004年ごろ，ボットネットワークによるDDoS攻撃や
メール送信が一般化．

［ボットへの対策］
ウイルス対策製品
セキュリティーホール対策
パーソナルファイアウォール
パスワード運用／ユーザのセキュリティ意識の徹底

２章－５

［コードレッド］
セキュリティホールを狙ったはじめてのＮＷワーム

［ニムダ］
ＷＥＢページ閲覧によって感染
一日に２万台に感染
セキュリティホールを攻撃

［ネットワーク型ワーム］
大量のパケットが流され，ＮＷ利用不能になることも
ルートＤＮＳやプロバイダのサーバが被害に

［ＭＳブラスタ］

［ＳＱＬスラマー］
ＳＱＬＤＢに感染してＤＤｏｓ攻撃を．
急激なトラフィック増に．

［コードレッドの攻撃］
感染期－ＮＴ／２０００のＩＩＳバッファオーバーフローの
脆弱性を利用
攻撃期－利用者が何もしなくても感染する
バッファオーバーフローやＤＤｏＳなど複数の攻撃
ＷＥＢサーバからＷＥＢサーバに感染してゆく，
最終的にホワイトハウスのＷＥＢなどを攻撃

［ニムダ］
ホームページ改ざんと感染
ＷＥＢサーバに侵入，ＪａｖａＳｃｒｉｐｔでファイル書き換え
ＷＥＢページ改ざん．
ＷＥＢページ閲覧でＰＣに感染
アドレス取得
ウイルスをメール送信
データ破壊
感染メールが届く
アドレス帳と受信メールを取得し，ウイルスばらまき
ＰＣ内データ破壊

復習

昨日，午後１問題やったけど
結構難しかった．その考えは無かったわ．って感じで．
何が必要なんだろう．本の大筋よりも，
内容を重視したほうがいいかも．

眠気

ジムから帰宅してビール一杯飲んだら
末期的な眠気で，でも横になったら９時まで寝そうなので
折衷案として机につっぷした．
そのまま枕かかえてブログ書く．
これから勉強，２章の復習を．

今日の

バイク５０Ｍｉｎ
マシン（胸中心）
スイム５０ＭＩｎ
今日は気をつけたのでＤｅｌａｙしませんでした．
１時から４時までがっつり．楽しかった．

でも水泳いまいち，乗れなかった．周りのペースが
微妙で．そう考えると時間帯の割りに混んでいたのだ．

旅行の予定

一日目（札幌）
サッポロビール園（昼）
時計台
旧北海道庁
大通り公園とテレビ塔

二日目（小樽）
ガラスとオルゴール

三日目（小樽）