まだ初心者です。クラッキングという物について教えてください。

Question

例えば、自分の作ったhtml、css、javascriptだけを使ったホームページを悪意のあるユーザーがクラッキングできたりするのでしょうか？
PHPなどはドットインストールなどでCSRF対策？というものをやっていますが、PHPを使わないときは、大丈夫なのでしょうか？
そこのところがいつもあいまいで、「脆弱性」などで調べても書いてある事が難しくていつも意味がわかりません。
初心者で申し訳ありませんが、ご教授ください。よろしくお願いします。

Answer 1

例えば、自分の作ったhtml、css、javascriptだけを使ったホームページを悪意のあるユーザーがクラッキングできたりするのでしょうか？

どこにおいているかによるんじゃないかと思います

PHPなどはドットインストールなどでCSRF対策？というものをやっていますが、PHPを使わないときは、大丈夫なのでしょうか？

CSRF対策はPHP固有のものではないです。

Comments

[gomatan1258]

どこにおいているかというのも当方は理解が怪しいですが、ffftpというものを使っていてマスターパスワードを入力して入るようにしています。これは大丈夫でしょうか？よろしくお願いします。

[退会済みユーザー]

マスターパスワードを設定することで安全性が向上するので、マスターパスワードを設定すること自体は悪いことではないです

[gomatan1258]

ご回答、アドバイスありがとうございます。

Answer 2

var url = decodeURIComponent(location.search.substring(3));
if (url) {
	document.write(url + 'へ飛びます');
	setTimeout(function(url) { location.href = url; }, 5000, url);
}

たとえばリファラをごまかすために中間ページを作り、そこにこんなスクリプトを書いておくとします。
しかしこれにはXSS脆弱性があり、Firefoxなどで任意のスクリプトを実行される可能性があります。
静的なページのみとしても気を付けておいたほうがいいのではないでしょうか？

Comments

[think49]

なるほど。悪意あるページへユーザを誘導すれば、CSRF+XSSで攻撃が可能ですね。
この場合、XSS対策を行う事で良しとするか、CSRF対策まで行う(各ページでセッションIDを発行して照合する)べきかは判断が分かれそうですが…。
(そもそも、HTTPリダイレクタをJavaScriptで実装する事に問題がある気がしなくもないです)

[gomatan1258]

ご回答ありがとうございます。詳しく教えていただいてありがとうございます。このjavascriptをhtmlのscriptタグにしこんで実行してみたらどうなるのでしょうか？当方がやっても何も変化が起きなかったです。

[x_x]

挙げたのはただの例です。
外部からの値を信用して書き込んでいるところに問題があります。
ではどうすればいいのか？ 考えてほしいところです。

[gomatan1258]

現段階では、よくわかってないところもあるのですが、なんにせよ、気をつけないといけないということですね。XSS脆弱性というものもネットで一生懸命勉強させていただきます。ありがとうございました。

Answer 3

クラッキングと言うのはハッキングの一部を指し、
悪意をもってコンピューター内のデータ（プログラムを含む）を消したり書き換えたりすることです。
クラッキングには、コピープロテクトなど製品に施された利用制限を取り除く行為も含まれているため、最近は後者の意味で使われることが多く、前者は単にハッキングと呼ばれているように思います。

そして、あなたが作ったデータだけでホームページを作った場合でも、
クラッキングが行われる可能性はゼロではありません。
あなたが使っているＩＤとパスワードがばれてしまったり、
利用しているサーバーやホームページサービスにセキュリティホールがあったりするかもしれないからです。

でも、よく言われる基本的なセキュリティ対策をきちんとやっていれば、
そう簡単にクラッキングされる事はありません。

コンピューターのセキュリティアップデートを行い、最新の状態を保つこと。
自分でインストールしたソフトがあれば、そのアップデートも忘れずに。
パスワードの管理をきちんと行う。
（簡単にバレるような簡単なものにしたり、短いパスワードにしない。人に教えないなど）
ウィルスチェックソフトを利用する（有効期限が切れていないこと）。
怪しいサイトを見ない。
怪しいソフトをインストールしない。
などです。
もちろんこれは、ホームページを設置したサーバーだけでなく、
ホームページ作成に利用しているあなたのパソコンにも必要な対策です。

尚、ＣＳＲＦと言うのは、ＷＥＢの仕組みを悪用し、
利用者に本人が想定しない操作を強制的に行わせることです。
例えば銀行のネットサービスがＣＳＲＦ対策を行っていないと、
その銀行のホームページを開いていないのに勝手に送金されてしまったり
掲示板がＣＳＲＦ対策を行っていないと、
その掲示板を開いてもいないのに勝手に知らない文章が自分の名前で投稿されたりします。
会員制のサービスでは、被害に遭うのは正規の利用者になります。
なので、ＣＳＲＦ対策は、
あなたが作ったホームページにログインや投稿の機能がある場合に施す必要がある対策になります。

ＣＳＲＦ被害の実例
http://d.hatena.ne.jp/keyword/%A4%DC%A4%AF%A4%CF%A4%DE%A4%C1%A4%C1%A4%E3%A4%F3%A1%AA

Comments

[gomatan1258]

詳しく教えていただいてありがとうございます。パスワードが絶対に知られないようにしたいと思います。ウィルスチェックもして、怪しいサイトも避けたいと思います。CSRFのご説明もありがとうございます。

Answer 4

「脆弱性」などで調べても書いてある事が難しくていつも意味がわかりません

調べましょう、としか言えません。
何が難しく感じるのか分かりませんが、日本語の記事もたくさんあるので理解しようと思えばプログラムコードを読み解くよりは楽だと思います。

まずはそこを理解することから初めてはいかがでしょうか。
最近出た質問で様々なセキュリティ対策についてどんなタイミングで対応すれば良いのか
表にまとまめて回答をしてくれている人がいます。

セキュリティーどれだけチェックしとけばよいのか？？

Comments

[gomatan1258]

ご回答ありがとうございます。セキュリティ対象一覧が見れてすごくわかりやすかったです。

Answer 5

webサーバへの攻撃にはCSRF、XSS、SQLインジェクション、DoS、バッファオーバーランなどが考えられますが、前者3つはご提示の構成ですと攻撃を受けないと思われますし、後者2つについてはおそらくレンタルサーバだと思うので質問者が対策をするのは難しいでしょう。

今のところ、あまり気にする必要はないと思います。
サーバにDBを持ちコードが走るようなもの、たとえばwordpressなどを導入した時に改めて調べてみるといいかと思います。

Comments

[gomatan1258]

ご回答ありがとうございます。