攻撃が成功した時のHTTPレスポンスコードについて

Question

Webサイトの脆弱性を突いた攻撃が成功した時のHTTPレスポンスコードは1xx, 2xx, 3xxでしょうか。成功した場合でも、4xx, 5xxで応答する場合はあるのでしょうか？

Answer 1

少し前に、「404ページを使った脆弱性」というのが発生しました。これは、ファイル認証でチェックを行うSSLについて、

• 置くべきファイル名と、その内容として含むべきコードが同じだった
• サーバの404ページに、リクエストしたファイル名が出る
• 置いたファイルの（ステータスコードを含めて）チェックコードが不十分

ということで、404ページを正式な認証コードと誤認してしまった、と言うものです（徳丸さんのブログ）。

また、極端な例ですが、脆弱性を使ってデータベースを破壊するような攻撃が成功すれば、それ以降は500しか返さなくなるでしょう。

脆弱性ではありませんが、DoS攻撃は相手のサーバが「応答しない」もしくは「503 Service Temporarily Unavailableを返す」状態になればそれが攻撃成功で、200を返している分には攻撃が通用していない、ということになります。

「本来できないこと」を「攻撃者が成功させられてしまう」のが脆弱性ですので、HTTPのステータスコードは本質的に無関係です。

Answer 2

例えばクロススクリプティングなどの攻撃を検知して「エラー応答を返す」ようにサーバー側が設計されていれば5xxが応答されるでしょうし、そのような攻撃でダメージ受けないようにそれを単に受け流し、「結果が空であるような振る舞いをする」サーバー設計なら2xxを応答することになるのではないですか？

攻撃の種類によっても判断基準が違うと思います。極端な話、サーバーをダウンさせる目的の攻撃ならば2xxが返らなくなるというのが判断になることもあるでしょうが・・・

テストのために攻撃をしかけて結果がOK/NGかを判断しようとしているのだと想像しますが、サーバー設計がどうなっているか、どんな攻撃のテストなのかの前提なしに応答だけで云々する問題ではないと思います。

Answer 3

皆さま、ご回答ありがとうございます。有意義に活用させていただきます。