回答編集履歴
4
追記
answer
CHANGED
|
@@ -3,6 +3,8 @@
|
|
|
3
3
|
とりあえず、[体系的に学ぶ 安全なWebアプリケーションの作り方](https://www.hash-c.co.jp/wasbook/)を読んでみてください。脆弱性の仕組みをきちんと学んでからもう一度コード全体を見直してみると良いでしょう。
|
|
4
4
|
|
|
5
5
|
---
|
|
6
|
+
(以下の内容は「安全なWebアプリケーションの作り方」を読めばわかることですので、是非書籍をお読みください)
|
|
7
|
+
|
|
6
8
|
どうも「メールフォームの機能はメールを送ることだけだから、攻撃の重点はメール送信に限られる」と考えられてる方がいるようです。大きな間違いです。
|
|
7
9
|
|
|
8
10
|
メールフォームであっても、入力の漏洩、他のアプリケーションを攻撃するための踏み台、など、メール送信機能を使わない攻撃もあり得ます。とくに、他のアプリケーションと同居して使われる場合、そのアプリケーションが単体では安全であっても、同じホストに脆弱なアプリケーションがあれば危険にさらされます。
|
|
@@ -19,4 +21,6 @@
|
|
|
19
21
|
|
|
20
22
|
また、私の回答のせいで「安全なWebアプリケーションの作り方」という良書に対し誤った宣伝をする場を与えてしまったのは残念ですが、そのような事実は無いこと、**メールフォームも含めた**多くの領域のWebアプリケーションを作る上でベースとなる知識を学ぶために非常に参考になる本だということはお伝えしたいと思います。
|
|
21
23
|
|
|
22
|
-
|
|
24
|
+
|
|
25
|
+
--
|
|
26
|
+
下記のコメント欄のte2jiなる自物の投稿のうち、「安全なWebアプリケーションの作り方」についての記述は、当該書籍の内容を目次のみから妄想して書かれたものです。実際の書籍の内容を反映したものではなく、技術的な裏付けは全くありませんので、十分注意してお読みください。
|
3
追記編集
answer
CHANGED
|
@@ -3,7 +3,7 @@
|
|
|
3
3
|
とりあえず、[体系的に学ぶ 安全なWebアプリケーションの作り方](https://www.hash-c.co.jp/wasbook/)を読んでみてください。脆弱性の仕組みをきちんと学んでからもう一度コード全体を見直してみると良いでしょう。
|
|
4
4
|
|
|
5
5
|
---
|
|
6
|
-
どうも「メールフォームの機能はメールを送ることだけだから、
|
|
6
|
+
どうも「メールフォームの機能はメールを送ることだけだから、攻撃の重点はメール送信に限られる」と考えられてる方がいるようです。大きな間違いです。
|
|
7
7
|
|
|
8
8
|
メールフォームであっても、入力の漏洩、他のアプリケーションを攻撃するための踏み台、など、メール送信機能を使わない攻撃もあり得ます。とくに、他のアプリケーションと同居して使われる場合、そのアプリケーションが単体では安全であっても、同じホストに脆弱なアプリケーションがあれば危険にさらされます。
|
|
9
9
|
|
|
@@ -14,3 +14,9 @@
|
|
|
14
14
|
このあたりの感覚も、きちんと勉強していればだんだん身についてくると思います。おかしなアドバイスにも気づけるようになるでしょう。
|
|
15
15
|
|
|
16
16
|
(かくいう私も空トークンのすり抜けによるCSRFは見落としてたので勉強不足ですね)
|
|
17
|
+
|
|
18
|
+
参考までに、Webアプリケーションのセキュリティについて、ものすごく大雑把な絵を描いてみました。安全なWebアプリケーションを作るには体系的な知識が必要であること、アプリケーション固有の機能だけを気にするのだけでは無意味だということが伝わるでしょうか。
|
|
19
|
+
|
|
20
|
+
また、私の回答のせいで「安全なWebアプリケーションの作り方」という良書に対し誤った宣伝をする場を与えてしまったのは残念ですが、そのような事実は無いこと、**メールフォームも含めた**多くの領域のWebアプリケーションを作る上でベースとなる知識を学ぶために非常に参考になる本だということはお伝えしたいと思います。
|
|
21
|
+
|
|
22
|
+
|
2
的外れなコメントに対する追記
answer
CHANGED
|
@@ -1,3 +1,16 @@
|
|
|
1
1
|
セッション管理の問題がありそうなのはわかりましたが、セキュリティについての知識が不足したままでは、今後修正などした時に再度脆弱性を作り込んでしまいます。なので具体的な指摘はしません。
|
|
2
2
|
|
|
3
3
|
とりあえず、[体系的に学ぶ 安全なWebアプリケーションの作り方](https://www.hash-c.co.jp/wasbook/)を読んでみてください。脆弱性の仕組みをきちんと学んでからもう一度コード全体を見直してみると良いでしょう。
|
|
4
|
+
|
|
5
|
+
---
|
|
6
|
+
どうも「メールフォームの機能はメールを送ることだけだから、脆弱性があっても被害はメール送信に限られる」と考えられてる方がいるようです。大きな間違いです。
|
|
7
|
+
|
|
8
|
+
メールフォームであっても、入力の漏洩、他のアプリケーションを攻撃するための踏み台、など、メール送信機能を使わない攻撃もあり得ます。とくに、他のアプリケーションと同居して使われる場合、そのアプリケーションが単体では安全であっても、同じホストに脆弱なアプリケーションがあれば危険にさらされます。
|
|
9
|
+
|
|
10
|
+
メールフォームだからといってメールのことだけ気にしているとこのように失敗します。
|
|
11
|
+
|
|
12
|
+
もちろん、メールのことも気にしなければなりませんが、「大量メール送信」など以前に気にしなければならないことがまずたくさんあります。「大量メール送信」対策をしていても足下に脆弱性があれば無意味になります。
|
|
13
|
+
|
|
14
|
+
このあたりの感覚も、きちんと勉強していればだんだん身についてくると思います。おかしなアドバイスにも気づけるようになるでしょう。
|
|
15
|
+
|
|
16
|
+
(かくいう私も空トークンのすり抜けによるCSRFは見落としてたので勉強不足ですね)
|
1
蛇足の追記
answer
CHANGED
|
@@ -1,1 +1,3 @@
|
|
|
1
|
+
セッション管理の問題がありそうなのはわかりましたが、セキュリティについての知識が不足したままでは、今後修正などした時に再度脆弱性を作り込んでしまいます。なので具体的な指摘はしません。
|
|
2
|
+
|
|
1
|
-
とりあえず、[体系的に学ぶ 安全なWebアプリケーションの作り方](https://www.hash-c.co.jp/wasbook/)を読んでみてください。脆弱性の仕組みをきちんと学んでからもう一度コード全体を見直してみると良いでしょう。
|
|
3
|
+
とりあえず、[体系的に学ぶ 安全なWebアプリケーションの作り方](https://www.hash-c.co.jp/wasbook/)を読んでみてください。脆弱性の仕組みをきちんと学んでからもう一度コード全体を見直してみると良いでしょう。
|