Black Hat Japan 2006 Briefings 潜入レポート(2)AJAXウェブアプリケーションへの攻撃: Web2.0の脆弱性 | ScanNetSecurity
2024.03.29(金)

Black Hat Japan 2006 Briefings 潜入レポート(2)AJAXウェブアプリケーションへの攻撃: Web2.0の脆弱性

2006年10月5日,6日に新宿で開催され盛況のうちに幕を閉じた、国際セキュリティ会議 Black Hat Japan 2006 Briefings には、世界各国及び日本国内から、著名なコンピュータセキュリティのエキスパートが集結、世界トップクラスの研究成果と、知識・経験が発表されました。

特集 特集
2006年10月5日,6日に新宿で開催され盛況のうちに幕を閉じた、国際セキュリティ会議 Black Hat Japan 2006 Briefings には、世界各国及び日本国内から、著名なコンピュータセキュリティのエキスパートが集結、世界トップクラスの研究成果と、知識・経験が発表されました。

会期中は、多数の入場者が訪れたばかりか、その選りすぐられた講師陣が海外でも話題を呼び、ヨーロッパ等国外からの参加者も多数来日しました。

同会議には今年も昨年に引き続き、日頃SCANに寄稿いただいている専門技術者の方が、レポーターとして、参加しました。「Winny」「カーネル内でのWindowsフォレンジック分析」「イントラネットへの外部からの攻撃」「AJAXウェブアプリケーションへの攻撃」等、BHJ2006 のハイライトの一部を紹介します。

──────

●Ajaxでは攻撃も複雑化

従来のWebアプリケーションでは、殆どのプロセスがサーバ側で処理されていたが、Ajaxのアーキテクチャではサーバ側とクライアント側の双方で処理が行われる。つまり、攻撃者にとって標的が増えたことになるのである。Ajaxは、JavaScriptを利用した手法であるため、これらのプロセスの処理はブラウザ上で行われる。つまり、悪意のあるJavaScriptをダウンストリームに埋め込むことにより、容易に不正操作を行うことが可能となるといえる。

Alex氏は、攻撃例としてクロスサイトスクリプティング(以降、XSS)とクロスサイトリクエストフォージェリ(以降、XSRF)を例に挙げ、Web 1.0とWeb 2.0(Ajax)環境における攻撃方法の差異を説明した。

先ず、XSSの場合だが、Web 1.0の通信方式ではHTMLをブラウザにダウンロードしていたため、攻撃者はHTMLにスクリプトを挿入すれば良かった。例えば、入力フォームに

Scan PREMIUM 会員限定記事

もっと見る

Scan PREMIUM 会員限定記事特集をもっと見る

カテゴリ別新着記事

「経理」「営業」「企画」「プログラミング」「デザイン」と並ぶ、事業で成功するためのビジネスセンスが「セキュリティ」
「経理」「営業」「企画」「プログラミング」「デザイン」と並ぶ、事業で成功するためのビジネスセンスが「セキュリティ」

ページ右上「ユーザー登録」から会員登録すれば会員限定記事を閲覧できます。毎週月曜の朝、先週一週間のセキュリティ動向を総括しふりかえるメルマガをお届け。(写真:ScanNetSecurity 名誉編集長 りく)

×