Q&A
本読んだ人の質問に思えないですね。
本を読む前に必要な基礎部分がないので進んでいないのが明らかです。
要約すると「出直して」
これまでの回答もあなたのレベルを考慮されたものでさえも理解できている様子がないので、自身をもう少し低く見積もられた方が学習は進みます。
私の指摘を無視し続けたところで、身に付かない時間が延びているだけです。
体系的に学ぶwebアプリケーションの作り方第2版の「4-2」入力処理とセキュリティの部分を読んでいたのですが、分からない部分があり質問させて頂きました。
ヌルバイト攻撃に対する対策についてなのですが、下記のように記述されていました。
「ヌルバイト攻撃に対する根本的な対策は、バイナリセーフの関数のみを用いてアプリケーションを開発することですが、現実にはそれは困難です。なぜなら、ファイル名のように仕様上ヌルバイトを許容しないパラメータがあるからです。この為、アプリケーションの入り口でバイナリセーフの関数を用いて入力値のヌルバイトをチェックし、ヌルバイトがあればエラーにする」ここの部分なのですが、具体的にどのようなケースのことなのかが、分かりません。「仕様上ヌルバイトを許容しないパラメータ」があった方が、処理する側ではヌルバイトを気にする必要がない為、バイナリセーフでない関数を使用しても問題がないように思えます。
ここの部分について、少し混乱してしまっているため、どなたか詳しい方がいましたら、教えて頂けましたら幸いです。
回答1件
0
ベストアンサー
「仕様上ヌルバイトを許容しないパラメータ」があった方が、処理する側ではヌルバイトを気にする必要がない為、バイナリセーフでない関数を使用しても問題がないように思えます。
意味が正反対です。「仕様上ヌルバイトを許容しない」というのは、「ヌルバイトが送られた場合に正常動作しない」という意味です。
投稿2019/09/30 00:44
総合スコア145183
「ヌルバイトを許容しない」場合にエラーで止まってくれるのであればまだマシとも言えますが、それにしたって意図した動作ではないかもしれません。
いちばん厄介なのは、「ヌルバイトが入った場合に、想定外の動作で動いてしまう」状況です。
ご回答ありがとうございます。
まだ、少し理解しきれない部分があるのですが、「ファイル名のように仕様上ヌルバイトを許容しない」とは、ファイル名にヌルバイトを指定することができないということなのでしょうか...?
> ファイル名にヌルバイトを指定することができないということなのでしょうか...?
はい、そのとおりです。Unix系でも、ファイル名に指定できない数少ない文字の1つがヌルバイトです。
ご返信ありがとうございます。
一部質問を追記させて頂いたのですが、そもそもファイル名にヌルバイトを指定することができないのならば、「アプリケーションの入り口でバイナリセーフの関数を用いて入力値のヌルバイトをチェック」する必要がないのではないでしょうか...？
ファイル名としてヌルバイトを指定した場合に、指定した関数がどのような挙動をするかきちんと定義されていて、その動作でいいと言うのであれば、チェックせずに素通ししても問題ないかもしれません
「動作は未定義」のようになっている場合、何かの気まぐれで挙動が変わる危険があるので、ヌルバイトを渡してはいけないということになります。
（それ以前の問題として、ユーザー入力された値をそのまま使うような形でファイル名を定めるということ自体が、一般には避けるべきです）
>ファイル名としてヌルバイトを指定した場合に
ここなんですが、「ファイル名は仕様上ヌルバイトを許容しない」のであれば、そもそも指定することができないのではないのでしょうか？
> そもそも指定することができないのではないのでしょうか？
関数の引数はただの文字列ですので、ヌルバイトを含む文字列であろうが渡せてはしまいます（攻撃者の存在を前提とする以上、「コード上可能なことは全て起きうる」という前提で考える必要があります）。
＞関数の引数はただの文字列ですので、ヌルバイトを含む文字列であろうが渡せてはしまいます
もしかしたら、勘違いしてしまっていたかもしれないのですが、自分はformなどからファイルを選択し、サーバー側へ渡す際のファイル名だと思っていたのですが、そういった意味ではないのでしょうか...?
> 自分はformなどからファイルを選択し、サーバー側へ渡す際のファイル名だと思っていたのですが、そういった意味ではないのでしょうか...?
それも攻撃者の手にかかればいくらでも改変可能です。
すみません。ちょっと整理させてください。
そもそも、ファイル名にヌルバイトを指定できないというのは、画像ファイルなどを保存する際、画像ファイル名にヌルバイトを指定することができないという理解をしているのですが、その点はあっていますでしょうか？
> 画像ファイルなどを保存する際、画像ファイル名にヌルバイトを指定することができない
はい、そのとおりです。ただ、ファイルをPOSTする際の「ファイル名」は、その気になればディスクのファイル名と無関係に設定することが可能です。
>その気になればディスクのファイル名と無関係に設定することが可能です
そういうことだったのですね。そこで、「攻撃者の手にかかれば」といった訳だったのですね。
「アプリケーションの入り口でバイナリセーフの関数を用いて入力値のヌルバイトをチェック」こちらの部分にもつながり、理解することができました。
長々とご説明頂き、ありがとうございました。
入力フォームで限定されているように見えるもの（hidden、selectの選択肢、各種バリデーション属性など）も、ブラウザで少し触ればかんたんにその枠を突破した値を投げることができます。
入力値のチェックは、サーバサイドで行う必要があります。
補足頂きありがとうございます。
formを実装する際は、気をつけたいと思います。
あなたの回答
tips
プレビュー
