【PHP】作成したフォームに脆弱性がないか、アドバイスをして頂けませんか

Question

二箇所の<input>内に数値を入力して、同一ページの下部にて与えられた数値を出力したいです。

フォームは最大で3文字しか入力できません。

行った対策
0. CSRF対策(秘密トークンの発行)

//トークン発行
$_SESSION['ticket'] = sha1(uniqid(mt_rand(), TRUE));

//post受け取り時にトークンの一致を確認
  if (isset($_POST['under'], $_SESSION['ticket']) && hash_equals($_POST["ticket"], $_SESSION["ticket"])) {
//trueの場合進める

1. セッションハイジャック
2. エスケープ処理
3. クリックジャッキング
4. 数値のみ入力可能なバリデーション

if (!preg_match('/^([0-9]{1,3})$/', $under)) {
      $error['under'] = '3桁以内の数字で入力してください';
    }

※セキュリティの関係からコードは割愛してる場合あります。

・秘密トークンの発行により外部ページのpostは受け取らない

・フォームへの入力は3文字が最大であり、エスケープ処理もしている。

上記の点からphp初心者の私からすると脆弱性はないようにも思えるのですが、どうなんでしょうか？

これ以外にも考えられる脆弱性はありますか？

ECサイト内のプログラムなのでセキュリティには気を遣ってます。

よろしくお願いします

Answer 1

ソースコードが提示されていませんが、脆弱性は細部に宿るものであり、概要だけでは脆弱性のありなしは示せません。例えば、よくある脆弱性としては、CSRF対策トークンにuniqidやmt_rand等を使ってしまうケースがあります。正しくは、暗号論的に安全な乱数生成器（random_bytesなど）を使う必要があります。

Comments

[kkkkk13n]

ソースコード一部分提示しました。

そうなのですね、ガッツリuniqidやmt_rand等使っていました。。。

[ockeghem]

preg_match('/^([0-9]{1,3})$/', $under)) の部分ですが、添削すると以下のような感じですね。

preg_match('/\A[0-9]{1,3}\z/', $under))

元のままだと末尾の改行を許可してしまいます。また、丸括弧はこのケースでは必要ないので、必要ないものはつけないようにしましょう。
部分的にソースを開示いただきましたが、やはり問題ないという確認はできませんし、ソースコードまるごとの開示も難しいでしょうし、仮に開示いただいてもそれの確認は「お仕事」になってしまいますので、このあたりでとどめたいと思います。

[kkkkk13n]

ありがとうございます。
ご指摘頂いた箇所、訂正致します。

Answer 2

入力値がエスケープされているようなので、基本的な脆弱性対応はできているのではと思います。
あまり、言いたくないのですが、このようにQAサイトで脆弱性診断をしていること自体が
脆弱性のような気もします。
当然、業務コードそのままでは無いとは思うのですが。。。

Comments

[kkkkk13n]

なるほどです。
関係のないコードに関しては削除します。