19. マルチバイト文字とXSS脆弱性

2007.03.20

比較的新しい攻撃方法に、不完全なマルチバイト文字列を送信することでHTMLに記述されているクォートを無効化する方法があります。この攻撃はHTML エスケープのみでは防げない事に注意が必要です。では、どのように対策をすれば良いのでしょうか？

まずは、不完全なマルチバイト文字を利用してクォート（"）を無効化できることを確認しましょう。次のスクリプトをブラウザから実行して下さい（最後のダブルクォテーションとPHPタグの間にスペースを入れないで下さい）。

<?php $str = urldecode('%81'); header('Content-Type: text/html; charset=SJIS'); ?> <?php echo htmlentities($str, ENT_QUOTES, 'SJIS') ?>"

コードが分かりづらいので注意してください。PHPタグを２つに大別したのは、下側のコードを強調するためです。

このスクリプトを実行すると、コードの最後にあるダブルクォテーション（”）が画面から消えたと思います。これはシングルクォーテーション（’）の場合も同様です。つまり、送られてきた文字列の最後が「%81」（Shift_JISの場合）であれば、最後のクォートを無効化できてしまうのです。

これを使えば、次の様なスクリプトはXSS脆弱となります。

<input type='text' name='test' value="<?php echo htmlentities($_GET['test'], ENT_QUOTES, 'SJIS') ?>" /> <input type='text' name='hoge' value="<?php echo htmlentities($_GET['hoge'], ENT_QUOTES, 'SJIS') ?>" />

このページをtarget.phpとして保存を行い、以下のようなHTMLを通じてリンクをクリックしてみましょう。

<a href="target.php?test=test%81&hoge=%20onMouseover=alert('XSS')%20%81">XSSテスト</a>

INPUTタグは１つしか現れず、マウスを上にのせるとアラートでXSSと表示されたと思います。その原因は、testとhogeの値の最後にある「% 81」により各々の value属性値を囲んでいる後側のクォートが消されることです。出力は次のようになります。

<input type='text' name='test' value="test /> <input type='text' name='hoge' value=" onMouseover=alert('XSS') />

最初のINPUTタグのvalue属性値は直後のクォートから、２つ目のINPUTタグの valueの直後にあるクォートまでとなります（test～'hoge' value=）。この結果、onMouseoverが有効になります。

これを防ぐ方法は対象となる文字列の文字コードを同じ文字コードへ変換することです。これにより、有効ではない文字を取り除いて下さい。

$str = mb_convert_encoding($str, 'SJIS', 'SJIS'); // SJISの場合

今のところXSS脆弱となるコードは限られていますが油断は禁物です。XSS脆弱ではない場合でもタグは確実に破壊されますし、他の攻撃方法に発展する可能性は否定できません。

（アシアル　井川数志)

この記事は、アシアルが運営するＰＨＰ開発者のためのポータル＆コミュニティサイト「ＰＨＰプロ！」で毎週配信しているＰＨＰ・ＴＩＰＳメーリングリストを再録したものです。
同サイトでは、他にもＰＨＰ最新ニュースや、困ったときのＱ＆Ａ掲示板、初心者向けのＰＨＰ講座など、ＰＨＰ開発者をサポートする情報を掲載しています。