web制作代行【インタフェ】 web制作は、システム開発技術を強みにするマーケティングカンパニー：インタフェ株式会社へ http://intafe.net/:1 Nucleus CMS v3.41 2012-02-03T10:35:29Z http://intafe.net/nucleus/logo3f.png http://intafe.net/nucleus/sitelogo.jpg <![CDATA[webセキュリティ]]> intafe 2012-02-03T10:35:29Z 2012-02-03T19:35:29+09:00 脆弱性を持つwebアプリケーションをインターネットに公開して被害が発生した場合、損害賠償という事態に発展することもあるかも知れません。企業の場合は信用問題にも関わってきます。
webアプリケーションを開発する以上、セキュリティを意識して適切な対応をすることは必須事項です。
webセキュリティ

webセキュリティの基本

掲示板やユーザーからの投稿を許可しているサイト・メールフォームなど、外部から入力されるすべてのデータは汚染されている可能性があります。
データの妥当性をチェック（バリデーション）し、妥当なデータ以外は不正な入力であると見なすことはwebセキュリティの基本中の基本です。
「不正なデータ」の条件を定義するのではなく、「妥当なデータ」の条件を定義し、その条件を満たさないデータはすべて無効なデータとして扱うべきです。

クロスサイトスクリプティング（XSS or CSS）

サイト訪問者に対してJavaScriptやVBScriptなどの悪意あるコードを実行させる攻撃方法です。

クロスサイトスクリプティング（XSS or CSS）例

プログラムの入力部分より挿入された悪意あるコードがそのまま出力（表示）され、第三者がそのコードをクリックすることによって、ウィルスに感染させるような悪意あるサイトにリダイレクトされてしまうケースがあります。
攻撃対象のサイトとは異なるサイトを使う（複数サイト横断）攻撃方法であることから、クロスサイトスクリプティングと呼ばれています。
続きを読む

スクリプト挿入攻撃（Script Insertion）対応

サイト訪問者に対してJavaScriptやVBScriptなどの悪意あるコードを実行させる攻撃方法です。
クロスサイトスクリプティング（XSS or CSS）と異なるのは、攻撃対象がひとつのサイトで完結する（横断しない）という点です。

スクリプト挿入攻撃（Script Insertion）例

プログラムの入力部分より挿入された悪意あるコードがそのまま出力（表示）され、第三者がそのコードをクリックすることによってCOOKIEなどの情報を盗まれるケースがあります。
続きを読む

クロスサイトリクエストフォージェリ（CSRF or XSRF）

正規の権限を持つユーザーに対して意図しない操作を行わせる攻撃方法です。
攻撃者が、攻撃用のWeb ページや脆弱性のあるHTMLメールに悪意あるコードを仕込み、第三者がそれらにアクセスすることによってリクエストの偽造が始まることからクロスサイトリクエストフォージェリ（サイト横断のHTTPリクエスト偽造）と呼ばれています。

クロスサイトリクエストフォージェリ（CSRF or XSRF）例

ユーザーの意図しない投稿が書きこまれるという、2005年に大手SNSサイトで発生した騒動が広く知られています。
その他、オンラインショップで意図しない買い物をさせられたりするなどのケースもあります。
続きを読む

SQLインジェクション

SQLインジェクションは、データベース（DB）に対する命令文（SQL）に対して意図しない命令を注入（inject）することで、DBのデータを改ざんしたり盗み出したりする攻撃方法です。

SQLインジェクション例

SQLインジェクションは、個人情報漏洩やWebサイトの改竄によって数千万～数億円規模の損害が発生したこともあり、極めて危険な攻撃です。
続きを読む

セッション固定化攻撃

HTTPプロトコルでは、1回のリクエストに対して、画面を表示して終了してしまいます。従って、複数の画面に渡って処理を行う場合には、セッション管理が必要となります。
セッション固定化攻撃は、第三者に何らかの手段で特定（固定）のセッションIDを利用させることによってセッションハイジャック（なりすまし）の足掛かりを得ることを主な目的としています。

セッション固定化攻撃例

第三者がログイン前に（攻撃者が）発行したセッションIDを使いまわしてそのままログインすると、セッション固定化攻撃が成功する可能性が高まります。
サイトにログインしたところでセッションがハイジャックされれば…
続きを読む

セッションハイジャック

セッションハイジャックは、何らかの方法で取得したセッションIDを利用してユーザのセッションを乗っ取る攻撃です。

セッションハイジャック例

a) 例えばPHPではセッション情報をURLに埋め込む設定が可能です。(session.use_trans_sid=1)
HTTPリファラによってセッションIDが漏洩する可能性があります。
b) クロスサイトスクリプティング（XSS）によるセッションID漏洩
クロスサイトスクリプティング（XSS）によってリダイレクトされた悪意あるサイトでセッションIDが盗まれる可能性があります。
c) セッション固定化攻撃によるセッションIDの固定
固定化されたセッションIDでログインしたのちにセッションをハイジャックされる可能性があります。

これらのセッションハイジャックによるなりすましによって、ユーザの個人情報漏洩や改ざん、ショッピングサイトでの不正購入などの事態が発生します。
続きを読む

メールの第三者中継

Linux等で安易にメールサーバを立ち上げることができますが、安易なメールフォームは意図せずスパムメール送信の踏み台として利用される恐れがあります。
メールの第三者中継とは、メール送信プログラムの脆弱性を突くことで想定外の動作・不正なメール送信を行わせる攻撃方法です。

メールの第三者中継例

自社のメールサーバがスパムメール送信の踏み台として利用されてしまうと、自社が被害を受けるだけでなく、意図せず攻撃者となってしまう恐れがあります。
信用問題に関わる問題なので確実に防ぐようにしましょう。
続きを読む

ディレクトリトラバーサル

ディレクトリトラバーサルは、ディレクトリを遡ってドキュメントルートの外側に存在するファイルにアクセスする攻撃方法です。

ディレクトリトラバーサル例

ユーザにファイル名を入力してもらうアプリケーションで入力データの検証が不十分な（脆弱性のある）場合、ディレクトリを一層遡るという意味の「../」を含むファイル名を入力されればドキュメントルートの外側にアクセスされる可能性があります。　― the ../ (ドットドットスラッシュ) 攻撃
/var/www/htmlがドキュメントルートだとすると、ドキュメントルート外：/var/wwwディレクトリ以上に遡ってアクセスされてしまう。
続きを読む

ファイルアップロード

不正なファイルアップロードによる攻撃が存在します。

ファイルアップロードに関する攻撃例

アップロードしたファイルを用いてサーバを乗っ取るケースや、巨大なファイルを無理やりアップロードしてサーバのファイルシステムをパンクさせ、サービスを停止させるというケースも存在します。
続きを読む

ファイルアクセスに関する危険性

作成したファイルを他人に覗き見される危険性が存在します。

ファイルを他人に覗き見される例

a) パス・ディスクロージャといってわざとエラーを起こさせた上でエラーレポートによりスクリプトのフルパスなどを漏洩させる攻撃が存在します。
b) 共用サーバ利用の場合、作成したファイルを他人に覗き見される危険性が存在します。
続きを読む
]]> http://intafe.net/:1:219 <![CDATA[ファイルアクセスに関する危険性への対応]]> intafe 2012-02-03T10:34:08Z 2012-02-03T19:34:08+09:00 ファイルアクセスに関する危険性 作成したファイルを他人に覗き見される危険性が存在します。
webセキュリティ

ファイルを他人に覗き見される例

a) パス・ディスクロージャといってわざとエラーを起こさせた上でエラーレポートによりスクリプトのフルパスなどを漏洩させる攻撃が存在します。
b) 共用サーバ利用の場合、作成したファイルを他人に覗き見される危険性が存在します。

ファイルアクセスに関する危険性への対応

a) エラーを画面に出力せずファイルにログとして記録してしまうことです。
b) ファイルのパーミッション設定に関するさまざまなテクニックが存在します。 …インタフェにご相談ください。

業務を委託している業者は、webセキュリティに対する充分な知識と対応ノウハウを持っているでしょうか？
脆弱性を持つwebアプリケーションをインターネットに公開して被害が発生した場合、損害賠償という事態に発展することもあるかも知れません。企業の場合は信用問題にも関わってきます。
webアプリケーションを開発する以上、セキュリティを意識して適切な対応をすることは必須事項です。
]]> http://intafe.net/:1:229 <![CDATA[ファイルアップロードに関する攻撃への対応]]> intafe 2012-02-03T10:13:47Z 2012-02-03T19:13:47+09:00 ファイルアップロード 不正なファイルアップロードによる攻撃が存在します。
webセキュリティ

ファイルアップロードに関する攻撃例

アップロードしたファイルを用いてサーバを乗っ取るケースや、巨大なファイルを無理やりアップロードしてサーバのファイルシステムをパンクさせ、サービスを停止させるというケースも存在します。

ファイルアップロードに関する攻撃への対応

ブラウザから渡された（入力された）ファイル名を信用せず、推測不可能な独自のファイル名で保存します。
その他の対応方法は…インタフェにご相談ください。

業務を委託している業者は、webセキュリティに対する充分な知識と対応ノウハウを持っているでしょうか？
脆弱性を持つwebアプリケーションをインターネットに公開して被害が発生した場合、損害賠償という事態に発展することもあるかも知れません。企業の場合は信用問題にも関わってきます。
webアプリケーションを開発する以上、セキュリティを意識して適切な対応をすることは必須事項です。
]]> http://intafe.net/:1:228 <![CDATA[ディレクトリトラバーサル対応]]> intafe 2012-02-03T09:49:41Z 2012-02-03T18:49:41+09:00 ディレクトリトラバーサル ディレクトリトラバーサルは、ディレクトリを遡ってドキュメントルートの外側に存在するファイルにアクセスする攻撃方法です。
webセキュリティ

ディレクトリトラバーサル例

ユーザにファイル名を入力してもらうアプリケーションで入力データの検証が不十分な（脆弱性のある）場合、ディレクトリを一層遡るという意味の「../」を含むファイル名を入力されればドキュメントルートの外側にアクセスされる可能性があります。　― the ../ (ドットドットスラッシュ) 攻撃
/var/www/htmlがドキュメントルートだとすると、ドキュメントルート外：/var/wwwディレクトリ以上に遡ってアクセスされてしまう。

ディレクトリトラバーサル対応方法

リクエストからの値をファイル名などに利用しないことが一番確実です。それができない 場合は…インタフェにご相談ください。

業務を委託している業者は、webセキュリティに対する充分な知識と対応ノウハウを持っているでしょうか？
脆弱性を持つwebアプリケーションをインターネットに公開して被害が発生した場合、損害賠償という事態に発展することもあるかも知れません。企業の場合は信用問題にも関わってきます。
webアプリケーションを開発する以上、セキュリティを意識して適切な対応をすることは必須事項です。
]]> http://intafe.net/:1:227 <![CDATA[システム開発]]> intafe 2012-02-03T03:07:31Z 2012-02-03T12:07:31+09:00 多層アーキテクチャー HTML5&CSS3は多層アーキテクチャーによって構成されるwebシステムのフロントエンド：プレゼンテーション層に関する技術です。
多層アーキテクチャー
もちろん、システム開発においてはプレゼンテーション層だけでなく、ビジネスロジック層、データアクセス層、とりわけデータベースに関する高い技術が不可欠です。

インタフェは、お客様の理想とするＥＣシステム、あるいはブログ・CMSシステムそのものをゼロから構築するシステム開発力があります。
また、既存のwebアプリケーションをカスタマイズし、開発費用を抑えることも可能です。
システム開発

お客様がご契約されているwebサーバ(レンタルサーバー)で構築可能なプログラム言語やデータベースを活用し、 高度なテクノロジーを効果的に活かしたユーザビリティの高いシステムを納入させていただきます。

webシステム開発 for example

メールフォーム

メールフォームは本文のテキスト入力以外にも、お客様のご要望に応じて色々なお問い合せ項目をカスタマイズ可能です。「チェックボックス」「ラジオボタン」「プルダウンメニュー」など、質問形式のメールフォームにする事も出来ます。 その他、メールフォームからのファイル送信（メール添付）や内容をデータベースと連動させ、webツールでの管理といった事も可能です。

ブログ

ブログや日記、定期更新の記事などをwebツールから簡単に更新する事ができます。 通常、ブログは１ページにずらっと記事が並んでいますが、記事ごとにページを分けたり、カテゴリで分けたりする事もできます。

掲示板

webツールでテキストを入力するだけで、HTMLがよく分からない方でも簡単にホームページ上のニュースや履歴といった掲載内容を更新する事ができます。

会員制サイト、会員別ページ

会員ID、パスワードでの管理や、会員のみ閲覧できるページ、会員ごとにホームページの内容を変更したり、会員に適した情報を意図的に表示したりする事ができます。

税理士ブログ

ECサイトとホームページの連動

webツールで商品をデータベース管理する事で、ホームページ上にリアルタイムで在庫状況や新商品を掲載する事ができます。
新しい商品が登録されると、自動的に新しい商品のページが追加されたり、在庫がなくなった場合はページが表示されなくなる、など）

高機能サイト内検索

例えば広告バナ―の並び順を検索結果に応じてコントロールする、当社開発のFoocus[フーカス]サイト内検索を組み込むなど、高機能なサイト検索機能を付加することが可能です。
インタフェラボも是非ご覧ください。

webセキュリティ

脆弱性を持つwebアプリケーションをインターネットに公開して被害が発生した場合、損害賠償という事態に発展することもあるかも知れません。企業の場合は信用問題にも関わってきます。
webアプリケーションを開発する以上、セキュリティを意識して適切な対応をすることは必須事項です。
webセキュリティも是非ご覧ください。
]]> http://intafe.net/:1:36 <![CDATA[メールの第三者中継防止]]> intafe 2012-02-03T02:55:28Z 2012-02-03T11:55:28+09:00 メールの第三者中継 Linux等で安易にメールサーバを立ち上げることができますが、安易なメールフォームは意図せずスパムメール送信の踏み台として利用される恐れがあります。
メールの第三者中継とは、メール送信プログラムの脆弱性を突くことで想定外の動作・不正なメール送信を行わせる攻撃方法です。
webセキュリティ

メールの第三者中継例

自社のメールサーバがスパムメール送信の踏み台として利用されてしまうと、自社が被害を受けるだけでなく、意図せず攻撃者となってしまう恐れがあります。
信用問題に関わる問題なので確実に防ぐようにしましょう。

メールの第三者中継防止方法

メールの宛先はもちろんのこと、すべてのメールヘッダにリクエストからの値（入力）を利用しないことが根本的な防止方法となります。

業務を委託している業者は、webセキュリティに対する充分な知識と対応ノウハウを持っているでしょうか？
脆弱性を持つwebアプリケーションをインターネットに公開して被害が発生した場合、損害賠償という事態に発展することもあるかも知れません。企業の場合は信用問題にも関わってきます。
webアプリケーションを開発する以上、セキュリティを意識して適切な対応をすることは必須事項です。
]]> http://intafe.net/:1:226 <![CDATA[クロスサイトリクエストフォージェリ（CSRF or XSRF）対応]]> intafe 2012-02-03T02:23:11Z 2012-02-03T11:23:11+09:00 クロスサイトリクエストフォージェリ（CSRF or XSRF） 正規の権限を持つユーザーに対して意図しない操作を行わせる攻撃方法です。
攻撃者が、攻撃用のWeb ページや脆弱性のあるHTMLメールに悪意あるコードを仕込み、第三者がそれらにアクセスすることによってリクエストの偽造が始まることからクロスサイトリクエストフォージェリ（サイト横断のHTTPリクエスト偽造）と呼ばれています。
webセキュリティ

クロスサイトリクエストフォージェリ（CSRF or XSRF）例

ユーザーの意図しない投稿が書きこまれるという、2005年に大手SNSサイトで発生した騒動が広く知られています。
その他、オンラインショップで意図しない買い物をさせられたりするなどのケースもあります。

クロスサイトリクエストフォージェリ（CSRF or XSRF）対応方法

攻撃者が、攻撃用の Web ページや脆弱性のあるHTMLメールを用意し、第三者がそれらにアクセスすることによってHTTPリクエストを送信させられる、という手順で クロスサイトリクエストフォージェリは始まります。
HTTPリクエストのひとつであるCookieを使って自動的にログインするサイトは狙われやすいこともあり、注意が必要です。
ワンタイムトークンによる認証、（既にID・パスワードログインしていても）購入あるいは投稿・編集・削除などユーザーにとって重要な操作の際にはさらにパスワード認証を求める多重認証、といったサイト設計が効果的です。

業務を委託している業者は、webセキュリティに対する充分な知識と対応ノウハウを持っているでしょうか？
脆弱性を持つwebアプリケーションをインターネットに公開して被害が発生した場合、損害賠償という事態に発展することもあるかも知れません。企業の場合は信用問題にも関わってきます。
webアプリケーションを開発する以上、セキュリティを意識して適切な対応をすることは必須事項です。
]]> http://intafe.net/:1:222 <![CDATA[クロスサイトスクリプティング（XSS or CSS）対応]]> intafe 2012-02-03T02:19:11Z 2012-02-03T11:19:11+09:00 クロスサイトスクリプティング（XSS or CSS） サイト訪問者に対してJavaScriptやVBScriptなどの悪意あるコードを実行させる攻撃方法です。
webセキュリティ

クロスサイトスクリプティング（XSS or CSS）例

プログラムの入力部分より挿入された悪意あるコードがそのまま出力（表示）され、第三者がそのコードをクリックすることによって、ウィルスに感染させるような悪意あるサイトにリダイレクトされてしまうケースがあります。
攻撃対象のサイトとは異なるサイトを使う（複数サイト横断）攻撃方法であることから、クロスサイトスクリプティングと呼ばれています。

クロスサイトスクリプティング（XSS or CSS）対応方法

webアプリケーションにおいて出力（表示）時に攻撃コードを無効化する充分なエスケープ処理が必要です。

業務を委託している業者は、webセキュリティに対する充分な知識と対応ノウハウを持っているでしょうか？
脆弱性を持つwebアプリケーションをインターネットに公開して被害が発生した場合、損害賠償という事態に発展することもあるかも知れません。企業の場合は信用問題にも関わってきます。
webアプリケーションを開発する以上、セキュリティを意識して適切な対応をすることは必須事項です。
]]> http://intafe.net/:1:220 <![CDATA[スクリプト挿入攻撃（Script Insertion）対応]]> intafe 2012-02-03T02:17:53Z 2012-02-03T11:17:53+09:00 スクリプト挿入攻撃（Script Insertion） サイト訪問者に対してJavaScriptやVBScriptなどの悪意あるコードを実行させる攻撃方法です。
クロスサイトスクリプティング（XSS or CSS）と異なるのは、攻撃対象がひとつのサイトで完結する（横断しない）という点です。
webセキュリティ

スクリプト挿入攻撃（Script Insertion）例

プログラムの入力部分より挿入された悪意あるコードがそのまま出力（表示）され、第三者がそのコードをクリックすることによってCOOKIEなどの情報を盗まれるケースがあります。

スクリプト挿入攻撃（Script Insertion）対応方法

webアプリケーションにおいて出力（表示）時に攻撃コードを無効化する充分なエスケープ処理が必要です。

業務を委託している業者は、webセキュリティに対する充分な知識と対応ノウハウを持っているでしょうか？
脆弱性を持つwebアプリケーションをインターネットに公開して被害が発生した場合、損害賠償という事態に発展することもあるかも知れません。企業の場合は信用問題にも関わってきます。
webアプリケーションを開発する以上、セキュリティを意識して適切な対応をすることは必須事項です。
]]> http://intafe.net/:1:221 <![CDATA[SQLインジェクション対応]]> intafe 2012-02-03T02:14:54Z 2012-02-03T11:14:54+09:00 SQLインジェクション SQLインジェクションは、データベース（DB）に対する命令文（SQL）に対して意図しない命令を注入（inject）することで、DBのデータを改ざんしたり盗み出したりする攻撃方法です。
webセキュリティ

SQLインジェクション例

SQLインジェクションは、個人情報漏洩やWebサイトの改竄によって数千万～数億円規模の損害が発生したこともあり、極めて危険な攻撃です。

SQLインジェクション対応方法

SQLインジェクションは、入力値を適切に（漏れなく徹底的に）エスケープすることで防ぐことができます。
可能な限りSQLのプリペアドステートメントを利用します。

業務を委託している業者は、webセキュリティに対する充分な知識と対応ノウハウを持っているでしょうか？
脆弱性を持つwebアプリケーションをインターネットに公開して被害が発生した場合、損害賠償という事態に発展することもあるかも知れません。企業の場合は信用問題にも関わってきます。
webアプリケーションを開発する以上、セキュリティを意識して適切な対応をすることは必須事項です。
]]> http://intafe.net/:1:223