ポイント ●ユーザーがWebサーバーに送信した値は，Webアプリケーションが処理する。それによって，データベースやコンテンツ・データなどに値が反映される ●一般的なWebアプリケーションの脆弱性とは，「入出力されるデータに対する考慮不足，あるいは処理忘れ」ということである

　インターネットがラジオやテレビなどのメディアと大きく異なるのは，ほぼリアルタイムに双方向のやり取りができる点です。インターネットでは，サーバーからユーザーに向けて情報を発信するだけではなく，ユーザー側からもサーバーに情報を送ることができます。ユーザーからの情報を受け取ったWebサーバーは，既存コンテンツやデータベースと連携するためにWebアプリケーションを動かしています。このWebアプリケーションを作成するときに犯したプログラム・ミス（脆弱性）を，攻撃者が利用することで情報を詐取したり，破壊活動をしたりなど，さまざまな攻撃につなぐことが可能です。

　この連載では，Webアプリケーションの脆弱性を突いた攻撃手法として，ディレクトリ・トラバーサル，OSコマンド・インジェクション，SQLインジェクション，クロスサイト・スクリプティングを紹介します。ただし，各手法のポイントをつかむためには，前提となる知識が必要です。今回は，Webページが表示される仕組みや，動的なコンテンツを作成するための仕組みを確認しながら，Webアプリケーションの脆弱性を突く攻撃手法を確認していきます。

Webページの基本「HTML」を再確認

　WebページはHTML（hypertext markup language）という規約に従って構成されています。HTMLデータ自体は，単なるテキストです。Webブラウザは，HTMLデータ中に記述された制御用の文字列（タグ）を認識して規約に従って表示することにより，文字にリンクを埋め込んだり，画像を表示したりしています（図1）。

図1●ブラウザはHTMLデータ中の制御文字（タグ）を解釈して表示する [画像のクリックで拡大表示]

　図1のように，HTMLで記述したテキスト・ファイルをエディタ（メモ帳）で表示すると，＜ や ＞ で囲まれた文字列を確認できます。この部分がタグと呼ばれる部分で，ブラウザはその部分の意味を解釈して表示します。例えば，HTMLでは「＜b＞と＜/b＞で囲んだ文字列は太字にする」，「＜a href・・・＞と＜/a＞で囲んだ部分はリンクにする」といった決まりになっています。

Webアクセスの基本的な流れ

　次に，Webアクセスの基本的な流れを確認しましょう。

　ユーザーは初めにブラウザのお気に入りをクリック，あるいはアドレスバーにアクセス先のアドレス（URL）を記入してEnterーを押します。すると，ブラウザ（ユーザーPC）は，入力されたアドレスのサーバーに「ハイパーテキストを送ってください」というリクエストを送付します（図2の1）。これを受けたWebサーバーは，リクエストされた情報（HTML）をユーザーに返送します（2）。そしてデータを受け取ったユーザーのブラウザは図1で確認したように，HTMLデータを解釈してブラウザの画面にWebページを表示します。

図2●Webサーバーはユーザーからのリクエストを受けてHTMLデータを返信する

　通常のWebアクセス，つまり誰がいつWebアクセスしても同じ内容のページが表示されるような場合，サーバーはリクエストに対していつも同じ情報を返答すれば良いわけです。しかし，例えば「ユーザーから送られてきた情報を，現在持っている情報に追加して表示する」ような機能を実装するためには，動的にWebページ＝HTMLデータを作る仕組みが必要になります。