Q&A
Q3>いちばん原始的なパターンとして、バーチャルホスト（など、どのホストへアクセスされたかの情報）を使わないWebサーバの場合はなんの影響もありません。
概要
例えば Yahoo! Japan と Google を例に挙げますが、
- (1) https://www.yahoo.co.jp/
- (2) https://www.yahoo.co.jp./
- (1) https://www.google.co.jp/
- (2) https://www.google.co.jp./
通常、(1) のような一般的なURLを使うと思いますが、(2) のように「ドメイン名の末尾にドットをつけたURL」でもアクセスを試みることが可能です。そして、名前解決は期待通り実行されるため、目的のWebサーバからHTTPレスポンスを得ることが可能です。
しかしこのとき、ドメイン名の末尾にドットを付けているせいで、意図せぬ結果になることがあります。Yahoo! がその一例でエラーページになってしまっています。一方 Google はドットを取り除いたURLにリダイレクトするような挙動となっていて、この問題に対して適切な対応が採られているように見えます。
質問
- (Q1) 「ドメイン名の末尾にドットをつけたURL」で HTTP リクエストすることについて、何か名称はあるでしょうか。（この問題について調べたいので名称を知りたいと思っています）
- (Q2) 「ドメイン名の末尾にドットをつけたURL」による HTTP リクエストによって生じる問題（特に脆弱性につながるような攻撃）はあるでしょうか。（間接的な DoS に繋がることは想像できますが、それ以外に何か興味深い攻撃に繋がるといった情報があれば知りたいです）
- (Q3) Google の挙動のように、この問題を簡単に回避する Web サーバ側での対策や設定について一般的に知られているものはあるでしょうか。（例えば Apache であれば .htaccess にこんな風に書けばいいよといったものなど）
- (Q4) その他、この件について補足情報があれば教えてください。
全てについて回答できない場合でも、何かご存知の方がいればぜひご回答いただければ助かります。
回答2件
0
Q2)HSTSがバイパスされてしまう脆弱性がいくつかありました
https://curl.se/docs/CVE-2022-30115.html
投稿2023/03/07 13:52
総合スコア871
0
ベストアンサー
ちょうど、その問題について語ったWebサイト（http://www.dns-sd.org./trailingdotsindomainnames.html、ドメイン最後のドットはなしでもアクセス可能）を見つけました。
簡単にまとめれば、
- DNSレベルでは、ドットはあるのが正式（ない場合には相対的な探索とみなされる）
- 現実には、ブラウザもWebサーバもドットの有無で正規化を行わず、両者を別物として扱う
ということで、バーチャルホストを設定する場合にドット付きを処理できるようにしていないと、どのホストにアクセスするのか不明として扱われてしまう、という状況です。
投稿2023/03/07 05:56
総合スコア145183
提示いただいた記事を読んでみました。確かにDNSの世界では末尾のドットは意味を持っていますが、ウェブブラウジングにおいてアドレスバーに打つURLが末尾にドットを持っているかどうかをどう扱うかについては明確な言及がないようですね。
私自身、バーチャルホストを設定して運用しているWebサーバがありますが、特別な対策はしていないものの、この問題によって不具合が生じたことはありません（ドット付きでも特に問題なくサイトを閲覧できます）。
Webアプリケーション側でドメイン名のマッチングなどを行っているような場合には不具合が生じそうですね。
Q3 へのコメントもありがとうございます。確かにバーチャルホストを設定しないような場合（Webアプリケーション側でもドメイン名のマッチングを行わない場合）には、何の対策も不要そうですね。
関連するものとして The danger of the trailing dot in the domain name と第される記事 http://www.hitechyo.ga/2013/03/danger-of-trailing-dot-in-domain-name.html を見つけました。Q3 に関する具体的な設定例が載っているようです（が、その設定が適切かどうかは分かりません。もう少しスマートな設定方法があるような気もします）。
関連情報です。
2020年に「URLに「.」を追加するだけでウェブサイトの広告を回避できる可能性があるという指摘」 https://gigazine.net/news/20200611-dot-host-error/ という内容でこれに関連する問題が話題になっていたようです。
（自身で回答をつけようとしましたが、そうすると自己解決になってしまうようなので、こちらにコメントしておきます。）
あなたの回答
tips
プレビュー
バッドをするには、ログインかつ
こちらの条件を満たす必要があります。
2023/03/07 14:32