AppScan
アプリケーションの攻撃パターン - 7) バックドアとデバッグオプション
Webアプリケーション開発時に、開発者がバグの発見と修正のためにバックドアやデバッグオプションを利用することがあります。
これは開発者が設置するシステムの裏口のようなもので、認証や正規の手順を踏まずにある機能を直接利用したりするための機能です。開発者はこの機能を利用して、開発中のバグの修正などを行うのですが、たまにこのバックドアやデバッグオプションをコードから削除しないままシステムの運用が開始されてしまう場合があります。バックドアやデバッグオプションといった機能を利用されると、たいていの場合、裏口から管理者レベルの権限でシステムに入り込むことができるので、悪意のもとにこの機能が利用されてしまえば、甚大な被害が起こりえてしまいます。以下にデバッグオプションを利用した不正操作の例を示します。
これは開発者が設置するシステムの裏口のようなもので、認証や正規の手順を踏まずにある機能を直接利用したりするための機能です。開発者はこの機能を利用して、開発中のバグの修正などを行うのですが、たまにこのバックドアやデバッグオプションをコードから削除しないままシステムの運用が開始されてしまう場合があります。バックドアやデバッグオプションといった機能を利用されると、たいていの場合、裏口から管理者レベルの権限でシステムに入り込むことができるので、悪意のもとにこの機能が利用されてしまえば、甚大な被害が起こりえてしまいます。以下にデバッグオプションを利用した不正操作の例を示します。
図7-1
このページのURLが以下のようになっていたとします。
URLパラメータの中にdebug=offという文字列があります。
これがデバッグオプションに関係するパラメータであることは容易に想像できるでしょう。ここで、URLパラメータを以下のように書き換えてリロードを行います。
これがデバッグオプションに関係するパラメータであることは容易に想像できるでしょう。ここで、URLパラメータを以下のように書き換えてリロードを行います。
図7-2
その結果、口座番号「9876-543444」から「1234-987655」へ10万円が振り込まれてしまいました。
本来ならば、何かしらの制御を加えて不正な送金は行えないようになっているはずですが、デバッグオプションを利用することで、制御を一切無視してシステムの操作が可能になってしまいます。
本来ならば、何かしらの制御を加えて不正な送金は行えないようになっているはずですが、デバッグオプションを利用することで、制御を一切無視してシステムの操作が可能になってしまいます。
AppScanは、International Business Machines Corporationの米国および他の国々における登録商標です。
本文中に記載されている会社名および製品名はそれぞれ各社の商標、または登録商標です。
本文中に記載されている会社名および製品名はそれぞれ各社の商標、または登録商標です。