ウェブアプリケーションセキュリティ 第2版

第34章. クライアント側からの攻撃に対する防御

この作品はAIを使って翻訳されている。ご意見、ご感想をお待ちしている：[e-mail]

第16章では、 、クライアントサイド攻撃の3つの形態（プロトタイプ汚染、クリックジャッキング、タブナッビング）を幅広く取り上げた。これらの攻撃では、エンドユーザを攻撃するためにサーバを経由するのではなく、クライアントブラウザを経由してユーザを攻撃することができた。ブラウザ・クライアントが年々高度化するにつれ、クライアントサイド攻撃は増加傾向にある。

クライアントサイド攻撃を検知しようとすると限界があるため、攻撃者がクライアントサイド攻撃 を成功させるのが難しいように、アプリケーションをセットアップする方法を理解することが不可欠である。この章では、あなたのウェブ・アプリケーションがクライアントサイド攻撃の標的にされたときに、可能な限りセキュリ ティを確保できるようにするためのテクニックを説明します。

プロトタイプ汚染からの防衛

プロトタイプ汚染 攻撃は機能するためにJavaScriptのプロトタイプ継承システムに依存している（詳細な攻撃とペイロード開発については第16章を参照）。JavaScriptインタプリタは関数やデータを探してプロトタイプの連鎖を上がっていくので、攻撃者が直接アクセスすることなく（継承階層の関連オブジェクトを汚染することで）1つのオブジェクトを汚染することは非常に可能である。

プロトタイプ汚染攻撃は、その大部分がJavaScript固有の言語機能に依存しているため、最初は発見も緩和も難しいが、いったんコツをつかめば、緩和策はかなり理解しやすくなる。プロトタイプ汚染攻撃を阻止するための最も効果的な緩和策をいくつか見てみよう。

キーの消毒

プロトタイプ汚染攻撃を防ぐ最も簡単な方法の1つは、アプリケーションのJavaScriptコードが、ユーザから提供されたすべてのキーを、そのキーを持つJavaScriptオブジェクトをマージしたり操作したりする前に、確実にサニタイズすることである。

次のコード・スニペットを考えてみよう。このJavaScriptコードのスニペットは、悪意のあるユーザの入力の代わりにアプリケーションで生成される入力を表している：

// submitted via address collection form
const obj = {
  "__proto__": { "role": "admin" }
}

この場合、キーとなる__proto__ は、他のオブジェクトにマージされたときにプロトタイプ・チェーンを利用するオブジェクトの部分である。

利用可能なキーの許可リストを提供すれば、ユーザの入力を簡単に反復処理し、単純なサニタイズによって攻撃を防ぐことができる：

const allowedKeys = ["street", "city", "state", "firstName", "lastName"];

const isKeyValid = function(key) {
  if (!allowedKeys.includes(key) {
    return false;
  } else {
    return true;
  }
};

const updateUserData(data) {
 let isValid = true;

 for (const [key, value] of Object.entries(data)) {
  if (!