TOP →
覚え書き →
WebAppSecurity → This Page
ウェブアプリケーション作成時のセキュリティ注意点
強制的ブラウズとクライアントサイドコメント
強制的ブラウズ(Forceful Browsing)とは
強制的ブラウズとはブラウザに様々な URL を入力し、強制的に特定ページにアクセスすることで情報を得ようとする行為です。
クライアントサイドコメント(Client Side Comment)とは
クライアントサイドコメントとは HTML 内に記述されたコメントのことです。
ブラウザには表示されませんが、ソースを開くとコメントの中身を見ることが可能です。
例1
公開されている URL が
http://www.test.co.jp/test/test.html
の場合
以下のような URL でアクセス可能かを試されてしまいます。
http://www.test.co.jp/test/ | 途中のディレクトリ |
http://www.test.co.jp/ | 途中のディレクトリ |
http://www.test.co.jp/test/test0.html | 連番のファイル名 |
http://www.test.co.jp/test/test1.html | 連番のファイル名 |
http://www.test.co.jp/test/test.bak | バックアップファイル名 |
http://www.test.co.jp/test/test.html.bak | バックアップファイル名 |
http://www.test.co.jp/test/test.html~ | バックアップファイル名 |
特に、途中のディレクトリへアクセスされた際にウェブサーバの設定を正しくしていないと
ディレクトリ内のファイル一覧を取得されたりします。
(これは「ディレクトリ・ブラウジング(Directory Browsing)」といいます)
以下はディレクトリ・ブラウジングの例です。
http://www.test.co.jp/test/ へアクセスされ、test ディレクトリに三ファイルあることが
ばれてしまいます。
例2
以下のようなソースの画面があったとします。
<body>
<a href="input.php">入力画面へ移動</a>
<!-- <a href="debug.php">デバッグ用</a> -->
</body>
|
2 つ目のリンクはコメントアウトされているのでブラウザには表示されません。
しかし、ソースを直接見られると
debug.php
というファイルがあることがばれてしまい、
このファイルにアクセスされてしまう可能性があります。
対応策
1.余計なファイル(バックアップファイルやテスト用ファイル)はサーバに置かない
2.推測しやすいファイル名(連番など)は使わない
3.ディレクトリの設定は正しく行う
4.余計なコメントは残さない
TOP →
覚え書き →
WebAppSecurity → This Page