WEBブラウザを狙った攻撃手法 | 長期有給インターン生の日常|株式会社ガーディアン | 成果を上げるサブスク型ホームページ制作|日本屈指5万サイトの実績|東京のガーディアン

こんにちは、WEBプログラマーコースの池田駿です。

本日はWEBブラウザを狙った攻撃手法をいくつか紹介します。

ガーディアンにも大いに関係のあるテーマだと思うのでぜひ読んでいってください！

１．ドライブバイダウンロード(DBD)

これはとても怖ろしい攻撃で、悪意のあるWEBサイトにアクセスしただけで

知らないうちにマルウェアや不正プログラムをダウンロードさせて感染させる攻撃です。

この攻撃の怖いところはポップアップでYESと答える、などの明示的なダウンロード操作をしなくても、

正規のプログラムやOSの脆弱性を利用してダウンロードを実行するのでユーザが気づけないところです。

例えば2009年ごろから被害が拡大しだした「ガンブラー攻撃」もこの一種で、

WEBサイトを開いた時点で不正なJavaScriptなどのコードが実行され、

Adobe Flash Player や Windows Office の脆弱性を突いたダウンロード攻撃が行われました。

対策としては既知の脆弱性に対応するしかないので、アプリやOSのアップデートなどです。

２．クリックジャッキング

これも怖いです。CSSを用いてWEBページ上に透明なボタンやリンクを配置しておき、

悪意のあるサイトなどに誘導する方法です。サイトが二枚重ねになっているようなイメージです。

対策としてはWEBサイト側でブラウザに表示する際にHTTPレスポンスヘッダの「X-Frame-Option」

というものの制限をして、二枚重ねのサイトをブロックすることです。

３．クロスサイトスクリプティング（XSS）

これはユーザがブラウザ上で入力した値をWEBサーバがそのまま出力し、

受信したブラウザがその値を用いるサイトにおいて、値部分に不正スクリプトを書いて

行う攻撃です。例えばJavaScriptはHTMLの中に<script>というタグを挿入すれば実行できます。

これをそのサイトを閲覧している多数のブラウザを標的に実行し、

例えばポップアップなどを出させて不正なサイトに誘導したりするわけです。

対策としては、サーバ側が入力値を制限したり、WAFを導入したりすることです。

（WAFなどのサーバのセキュアなネットワーク構造についてはまた改めて...）

４．HTTPヘッダインジェクション

これはヘッダに含まれるサイトのURLを別のものに書きかえて悪意のあるサイトにリダイレクトする方法です。

開きたいサイトと違うサイトが開かれたらこれです。

対策としてはこの攻撃に用使われる文字（改行文字）をHTTPレスポンスヘッダへ出力するのを制限することなどです。

ちょっと難しい話でしたが、世の中にこんな攻撃があるんだということは知っておくと

いざというときに焦らずに済むと思います。

活動日記のおかげで毎日コツコツ勉強できていて感謝しています。

何か個人的に勉強していることがある人はコメントで教えてください！

参考文献：

技術評論社「情報セキュリティの技術と対策がこれ１冊でしっかりわかる教科書」

IPA公式サイト（https://www.ipa.go.jp/security/vuln/websecurity/clickjacking.html）