"$20 virtual web server hack" という言葉があるらしい。 SCAN 編集部が実施した包括的なサーバ実態調査結果について、イスラエルの SecuriTeam から興味深いコメントがきた。そのコメントは、後日まとめて誌上で発表する予定になっているが、そのコメントの中で指摘されていた "$20 virtual web server hack" について紹介したい。日本語でいうなら「レンタルサーバ・クラッキング」とでもいうべき手法である。
web アプリケーションに必要以上の権限を与えてしまう。 document root に共用の cgi-bin をおく。
危険なデフォルト web アプリケーションをそのまま残してある。IIS にはそのまま残しておくと危険な web アプリケーションが存在するので、こうしたものを削除しておく必要がある。
>> 第2の危険性 レンタルサーバ・クラッキング脆弱性が誘発する危険性
レンタルサーバ・クラッキング脆弱性はもうひとつ別な危険性をもっている。サーバそのものにレンタルサーバ・クラッキング脆弱性が存在する場合、善意の利用者が作成した web アプリケーションが踏み台となって外部の第三者が当該サーバを攻撃できることがある。
レンタルサーバ利用者が、設置した外部からの入力をもとに実行する web アプリケーションが危険なコードをフィルタリングしない場合、サーバそのものにレンタルサーバ・クラッキング脆弱性が存在していれば、任意のコードの実行や当該サーバ利用者以外のデータを盗むなどの行為が可能になる。こうした事例は、すでにわが国でも発生している。
サーバにレンタルサーバ・クラッキング脆弱性が存在する場合、攻撃者自身が利用者としてサーバに危険な web アプリケーションを設置しなくとも、すでにサーバを利用している善意の利用者の不注意な web アプリケーションを利用して上記のような攻撃が可能になる。 不注意な web アプリケーションを攻撃に用いるために使われるコードには、"..","...","../","/","|"などさまざまなものがある。これらのコードが web アプリケーションで適切にフィルタリングされていないと攻撃者の攻撃が可能となる。
