Webアプリケーションの脆弱性（基礎の分類）とは？

Webアプリケーションの脆弱性（基礎の分類）の意味

SQLインジェクション（入力欄から不正なSQL文を混入させデータベースを不正操作する）、クロスサイトスクリプティング（不正なスクリプトを埋め込み他の利用者のブラウザで実行させる）といった、Webアプリケーション特有の脆弱性を突く攻撃の分類。応用情報ではこの基礎の上に、CSRF・クリックジャッキング・バッファオーバーフローなど関連する高度な攻撃手法とその対策（入力値検証、WAF導入など）が問われる。

Webアプリケーションの脆弱性（基礎の分類）の具体例

ログインフォームの入力チェックが甘いと、SQLインジェクションによってパスワードを知らなくても認証を突破されるおそれがある。

Webアプリケーションの脆弱性（基礎の分類）は試験でどう引っ掛けられる？

被害の当たる先が違う。SQLインジェクションはサーバ側のデータベースが直接狙われるが、クロスサイトスクリプティングで害を受けるのは、そのサイトを閲覧した別の利用者のブラウザ。「自社のサーバが壊れないから軽微」は誤り。対策も別で、SQLインジェクションはプレースホルダ（バインド機構）を使ったSQLの組み立て、XSSは出力時のエスケープが根本対策。入力値のチェックやWAFはいずれも補助であって、根本対策の代替にはならない。

Webアプリケーションの脆弱性（基礎の分類）と関連する用語

• バッファオーバーフロー攻撃
• クロスサイトリクエストフォージェリ（CSRF）
• WAF（Webアプリケーションファイアウォール）

Webアプリケーションの脆弱性（基礎の分類）が出た過去問

• 図のような構成と通信サービスのシステムにおいて，Webアプリケーションの脆弱性対策のためのWAFの設置場所として，最も適切な箇所はどこか。ここで，WAFには通信…

  正解：c

  要点：WAFはHTTPが平文になる区間に設置しないと検査できない

  WAFはHTTPリクエストの中身を解析して攻撃を検出するため、通信が平文である区間に置く必要がある。この構成ではSSLアクセラレータが復号を担っているので、その先のWebサーバとの間の平文HTTP区間に設置するのが適切である。

  出典：平成29年度 春期 応用情報技術者試験 午前 問43（IPA）

• WAFの説明はどれか。

  正解：Webアプリケーションへの攻撃を検知し、阻止する。

  要点：WAFはHTTPを解析してWebアプリへの攻撃を検知・遮断する

  WAF（Web Application Firewall）はHTTPの通信内容を解析し、SQLインジェクションやクロスサイトスクリプティングなどWebアプリケーションの脆弱性を狙う攻撃パターンを検知して遮断する。ネットワーク層で制御するファイアウォールでは防げない、アプリケーション層の攻撃に対応する点が特徴である。

  出典：令和1年度 春期 応用情報技術者試験 午前 問45（IPA）