コーダーズ・コンカーズ・コンカー・セキュリティ：シェア＆ラーニング・シリーズ-XXE インジェクション

XML 外部エンティティインジェクション攻撃は、単に XXE インジェクションと略されることもありますが、開始から何年も経ってもまだ流行している従来の脆弱性と比較すると、比較的新しいものです。しかし、現在、ハッキングコミュニティの間で非常に人気があり、成功を収めるにつれてその人気はさらに高まっています。

実際、OWASPは現在、XXEインジェクションをサイトが注意し、積極的に防御する必要がある脆弱性のトップ10の1つに挙げています。しかし、心配はいりません。XXE インジェクションは、サイバー攻撃で展開されている他のエクスプロイトほど強力ではありません。これは少し新しいだけで、あまり理解されていないだけです。それを防ぐことはできますし、実際には完全に止めることもできます。

このエピソードでは次のことを学びます。

• 攻撃者が XXE インジェクションを使用する方法
• XXEインジェクションが危険な理由
• この脆弱性を防ぐことができる手法。

攻撃者はどのようにしてXXEインジェクションをトリガーするのですか？

XXE インジェクションの脆弱性は、悪意のあるユーザーが XML コードを送信できるようになった場合に発生する可能性があります。この機能を利用して外部エンティティへの参照を作成します。外部参照とコードは、デフォルト設定の XML パーサーや、設定が不十分な XML パーサーをすり抜けるように設計されています。

攻撃者は、XML標準ではエンティティの概念をあるタイプのストレージユニットとして定義しているが、そのストレージは外部でも内部でも構わないという事実を悪用します。これを適切に使用すると、XML プロセッサがリモートリソースにアクセスできるようになります。多くの場合、攻撃者は代わりにこの機能を利用して、Webサイトの内部構造を調べたり、リモートリソースにアクセスしようとする大規模なシステムプロセスをトリガーしてサービス拒否攻撃を仕掛けたり、ローカルホストから自分が制御するリモートホストにデータをダンプしたりします。」これは、XMLデータベースに含まれるパスワードや個人情報などの重要なデータを漏洩するための優れた手法です。

攻撃に関係する実際のコードは、エンティティの機能を悪用しただけのかなり単純なものであることが多いです。たとえば、これによりハッカーがマスターパスワードファイルにアクセスできるようになる可能性があります。

<!

XXEインジェクションはなぜ危険なのですか？

XXEインジェクション攻撃が非常に危険であり、また蔓延している理由はいくつかあります。1つは、現時点ではあまり理解されていない脆弱性です。また、攻撃者がこの脆弱性を悪用することで得られる利益は相当なものになります。1 つは、攻撃者が内部ネットワークのすべてのパスをゆっくりとマッピングしたり、ポートをスキャンしたりできることです。これにはかなりの時間がかかるかもしれませんが、ハッカーは信頼できる XML パーサーによってクリアされているサーバーに XML コードを送信しているだけなので、ターゲットネットワークの積極的な防御によってハッカーの活動が発見される可能性はほとんどありません。

いったんマップが明らかになると、攻撃者は同じXXEインジェクション手法を使用して、情報を直接盗んだり、有効なユーザー認証情報を侵害して二次攻撃に使用したりして、必要なファイルをすべてキャプチャできます。最後に、単に騒ぎ立てて悪意を持ちたいだけの攻撃者は、DoS（サービス拒否）攻撃を仕掛けたり、システムを停止させるように設計された離れたリソースへのアクセスをアプリケーションに試すよう命令したりするなどの攻撃が可能です。

XXE インジェクションの脆弱性の排除

XXE インジェクション攻撃が急増しているため、多くの XML パーサーは、DTD と呼ばれることもある外部エンティティをデフォルトで完全に無効化し始めています。そのような場合に重要なのは、単にその機能を有効化しないことです。

しかし、DTD を許可するパーサーでさえ、その機能を無効にすることができます。一般的には、完全にブロックするには次のようなステートメントが必要ですが、ローカルフレームワークのドキュメントをチェックして、必要な正確なコードを入手してください。

Factory.setFeature (」http://apache.org/xml/features/disallow-doctype-decl「, true);

セキュリティ原則に従い、すべてのユーザー入力は、アプリケーション全体のフィルターを使用してサニタイズおよび検証する必要があります。GET パラメーターと POST パラメーター、HTTP ヘッダー、クッキーを含めることを忘れないでください。また、パーサーに処理させたい特定の DTD とコマンドのホワイトリストを作成し、それ以外はすべて禁止することもできます。

ホワイトリストとフィルタリングは機能しますが、XXEインジェクション攻撃の数が増えているため、機能が不要な場合は、DTDサポートを完全に無効にすることをお勧めします。

XXE インジェクションに関する詳細情報

さらに読み進めるには、OWASPが何を言っているか見てみましょう XXE インジェクション攻撃。また、新しく身につけた防御知識を、次の方法で試すこともできます 無料デモ サイバーセキュリティチームが究極のサイバー戦士になるためのトレーニングを行うSecure Code Warriorプラットフォームの。この脆弱性を打ち負かす方法や、その他の脅威を集めた不正行為のギャラリーについて詳しくは、 セキュア・コード・ウォリアーのブログ。