システムプログラム（第10週）: スクリプト言語、クロスサイトスクリプティング攻撃

                                       筑波大学 システム情報工学研究科 
                                       コンピュータサイエンス専攻, 電子・情報工学系
                                       新城 靖
                                       <yas@is.tsukuba.ac.jp>

このページは、次の URL にあります。
http://www.coins.tsukuba.ac.jp/~syspro/2010/No10.html
あるいは、次のページから手繰っていくこともできます。
http://www.coins.tsukuba.ac.jp/~syspro/2010/
http://www.coins.tsukuba.ac.jp/~yas/

JavaScript

JavaScript は、WWW ブラウザ上で動作するスクリプト言語である。

JavaScript は、文法が少し Java 言語に似ているが、Java とはまったく別の言語である。WWW ページの中の Javaアプレットは、「実行可能なインライン・イメージ」に似ている。これに対して JavaScript の記述は、「実行可能なインライン・テキスト」に似ている。

JavaScrip のプログラムの例:

<SCRIPT LANGUAGE="JavaScript">
<!--
for( i=0 ; i<10; i++ )
  document.writeln("<P>hello,world</P>");
//-->
</SCRIPT>

これは、<P>hello,world</P> を 10 回書いたのと同じ効果がある。<!--と //->は、JavaScriptを知らないブラウザにはコメントとして扱われる。関数定義などは、ヘッダ部分 <HEAD></HEAD>に書くという方法もよく使われる。

JavaScript の言語としての特徴

制御構造には、for、while 、 if, else, continue, break がある。ただし、switch は使えない。
キーワード function で、関数定義ができる。
変数には型はない。var で宣言すれば、ローカル変数になる。配列は、new Array(長さ) で確保する。
関数呼び出しは、Java と同じく、値呼び(call-by-value)である。オブジェクトは、参照のコピーが渡される。
数の計算や文字列の操作ができる。
class というキーワードはない。 function に new を付けて呼べば、オブジェクトになる。オブジェクトのメソッドでは、this を使って要素を参照できる。

JavaScript によるブラウザの制御

JavaScript の記述は、CGI と似ているところもあるが、JavaScript でないとできないものに、ブラウザの制御がある。たとえば、次の例では、ブラウザの (戻る)ボタンと同じ動きをさせることができる。

<A HREF="javascript:history.back();">戻る</A>

次の例は、<FORM></FORM>からパラメタを受け取るものである。


<SCRIPT LANGUAGE="JavaScript">
function go(s,h,p)
{
	location.href = s.value + "://" + h.value + p.value ;
}
</SCRIPT>

<FORM NAME="form1">
<INPUT NAME="scheme" TYPE="text" VALUE="http"><BR>
<INPUT NAME="host"   TYPE="text"><BR>
<INPUT NAME="path"   TYPE="text" VALUE="/"><BR>
<INPUT TYPE="button" VALUE="go" onClick="go(form1.scheme,form1.host,form1.path)">
</FORM>

onClick 属性の値は、クリックした時に評価される式であり、関数 go() が呼び出されている。引数は、<FORM> の値である。関数 go() の中では、 .value フィールドから値が読み出されている。 location.href に代入することでそのページを表示させることができる。

この例では、<INPUT type="text">と <INPUT type="button">が使われている。その他に、 <FORM>では、<INPUT TYPE="radio">、<INPUT TYPE="checkbox">、 <SELECT>が使える。イベントとしては、 onClick が主に使われる。その他に、 onFocus が使われることもある。

JavaScript では、document.open() で新しく HTML のドキュメントを生成して、それをブラウザに表示させることもできる。

クロスサイトスクリプティング攻撃

WWWブラウザでは、信頼しているサイトから送られてくるJavaScriptのプログラムだけを実行するようにし、攻撃サイトから送られてくるJavaScriptのプログラムを実行しないようにしたい。

図? JavaScripの送信元サイトの区別

脆弱性があるサイトでは、攻撃サイトから送られてきた JavaScript のプログラムを中継してしまう。

図? JavaScripの送信元サイトの区別

これがクロスサイトスクリプティング攻撃(cross-site scripting atack, XSS atack)である。

CGI のプログラムをつくる時には、クロスサイトスクリプティング攻撃に気をつける。これは、クライアントから送られてる文字列の中に <SCRIPT>のようなタグが含まれていた場合、それをそのままクライアントに送り返すと問題がある。 (さらに、 %hh にも気をつける必要がある。)

クライアントから送られてきた文字列は、必ず検査し、安全な状態にして (sanitize)から使う。「<>&"」のようなタグが含まれている場合には注意する。このような文字列を受け取った場合、不用意に送り返してはいけない。送り返す時には、html_escape() のような方法で必ずエスケープする。

他のプログラムを実行する時には、execve() のようなシステムコールを使い、かつ、限られたプログラムしか実行しないようにすると安全性が高くなる。クライアントから送られてきた文字列をsystem() や popen() に渡してプログラムを実行する時には、必ず検査する。特にシェルが解釈する特殊な文字「| & ; && || `」などが含まれていた場合、意図しないプログラムが実行されることがある。

char *user ;
...
snprintf(cmd,BUFSIZE,"finger %s",user );
f = poepn(cmd,"r");

もし、user に ";" や "|" が含まれていたら、、、　

f = poepn("finger yas; /bin/sh","r");

他のプログラムの実行(Perl言語)

Perl には、バッファ・オーバーフローの問題はない。

perl の open() には、危険性がある。 C 言語のライブラリ関数 popen() と同じ動きをすることがある。

open(FILE, "|cmd")

Perl の注意すべき関数や式

open, IP.popen()
system, exec, ``(バック・クォート)
glob, <>
eval

他のプログラムの実行(Ruby言語)

Ruby には、バッファ・オーバーフローの問題はない。

Ruby の open() には、危険性がある。 C 言語のライブラリ関数 popen() と同じ動きをすることがある。

open("|cmd")

Ruby の注意すべき関数、式、クラス

open
system, exec, ``(バック・クォート)
Shell クラス

参考

IPA セキュア・プログラミング講座
http://www.ipa.go.jp/security/awareness/vendor/programming/ )

CGIプログラミングでのスクリプト言語の利用

CGI のプログラムを作成する場合、トップレベル(クライアントにデータを送る部分)は、Ｃ言語で記述するよりも、スクリプト言語で記述することが多い。スクリプト言語は、インタプリタで動作するので、プログラミングが容易である。

普通のプログラミング言語は、アプリケーション・プログラム本体を記述する時に使われる。これに対して、スクリプト言語は、アプリケーション本体ではなく、アプリケーションの細かな動作を変更したり、アプリケーション本体を変更することなく機能を追加したりするために使われる言語である。普通のプログラミング言語は、アプリケーション・プログラマにより使われ、コンパイラで機械語に変換されるので、実行時には機械語しか残っていない。これに対して、スクリプト言語は、アプリケーションのユーザや、システム管理者などによって使われ、プログラムは、アプリケーションに組み込まれたインタプリタで解釈実行される。スクリプト言語を使うと、単に変数を設定することに比べて、高度な機能拡張が機能になる。

スクリプト言語の例:

sh, bash, csh, tcsh
Perl, Ruby, Python
Emacs Lisp
PHP

スクリプト言語 csh で記述した CGI のプログラムの例:

$ cat cgi-hello-csh.cgi 
#!/bin/csh -f

cat <<EOF
Content-Type: text/html

<HTML><HEAD></HEAD><BODY>
hello.
</BODY></HTML>
EOF
$ ./cgi-hello-csh.cgi 
Content-Type: text/html

<HTML><HEAD></HEAD><BODY>
hello.
</BODY></HTML>
$

SSI (Server Side Include)

Javaアプレット

スクリプト言語

コンピュータ言語の種類

プログラミング言語（プログラマ）。C, Java, Fortran,
スクリプト言語（強力な利用者、管理者）。sh, csh, sed, awk, Perl, Ruby, JavaScript,Emacs Lisp
機械語、アセンブリ言語、バイトコード。
マークアップ言語（ドキュメントを書く人）。HTML, XML, SGML, TeX, roff

スクリプト言語とは、アプリケーション本体ではなく、アプリケーションの細かな動作を変更したり、アプリケーション本体を変更することなく機能を追加したりするために使われる言語。

インタプリタとスクリプト

スクリプト言語は、多くの場合、インタプリタで実行される。

プロセスはインタプリタの実行形式（機械語）から作られ、インタプリタのソース・プログラムは、そのプロセスが読み込む単なるデータとなる。

Unix には、スクリプトを簡単に実行する仕組みとして #!がある。

インタプリタ/bin/cat

標準入力を標準出力に出力する cat コマンド「#!」の働きを調べる。 cat は「プログラムを表示する」インタプリタである。まず、「catインタプリタ」用のプログラムを作成する。

$ cat > run-cat 
#!/bin/cat
hello
^D
$ chmod +x run-cat 
$ ls -l run-cat 
-rwxr-xr-x  1 yas            20 Sep 13 04:11 run-cat
$

「catインタプリタ」用のプログラムを実行する。

$ ./run-cat 
#!/bin/cat
hello
$

これは次のように実行したものと同じになる。

$ /bin/cat ./run-cat 
#!/bin/cat
hello
$

一般のインタプリタ

「#!」の形式は次のようになる。

インタプリタの実行形式の絶対パス名: /dir/interpreter

そのソース・プログラムのファイル名: run

run の内容:

#!/dir/interpreter arg-1 arg-2 arg-3
＜以下、プログラム＞

このファイルに実行可能属性を付ける(chmod +x)と、ファイル名を入力して実行することができる。

$ chmod +x ./run 
$ ./run arg-a arg-b arg-c 
＜実行結果＞

これは、次のようにインタプリタを起動したものと同じ結果になる。

$ /dir/interpreter ./run 'arg-1 arg-2 arg-3' arg-a arg-b argc

./run ファイルに書いた引数は、シェルから実行する時場合には、 ''で囲まれた時と同じような形式でインタプリタのプロセスへの引数として渡される。

#!の解釈

「#!」行は、Unix のカーネルが解釈する。シェルが、ファイルの先頭を読み、指定されたインタプリタを起動するのではない。「#!」行では、シェル変数、環境変数、エイリアスはつかえない。

スクリプト言語のプログラムでは「#」から始まる行がコメントであると都合がよい。

awkや sed のように、プログラムが含まれたファイルを指定する時に -f (program file) オプションが必要なものは、次のように、この行に -f を付ける。

#!/usr/bin/awk -f
{ print }

シェル

シェルはインタプリタであり、シェル・スクリプトはシェル・インタプリタのプログラムである。

シェル・スクリプトの先頭の #!/bin/sh や #!/bin/csh は、そのインタプリタを起動するという意味である。

◆bash

Coins での標準のログインシェルは、bash。端末(iTerm, xterm, ktermなど)を開いたり、ssh で遠隔ログインすると、ログインシェルが実行される。

bash (Bourne-Again SHell) は、sh (Bourne Shell)の機能を強化したもの。シェル・スクリプトを書く時には、多くのシステムで備わっている /bin/sh を使うことも多い。(/bin/sh はあるが /bin/bash がないシステムもある。)

◆シェル・スクリプトの作り方(1):基本

まず端末から実行してみる。

$ ls ~/Desktop | nkf -e 
(デスクトップにあるファイルの一覧の表示。
漢字を含む名前のファイルも、nkf -e の働きで表示される。)
$

echo コマンド、history コマンド、あるいは、コピー＆ペースト機能を用いて端末から打ち込んだものを結果をファイルに保存する。以下の例では、echo コマンドを使ってファイルを作成している。

$ ls ~/Desktop | nkf -e  
(^p で１行もどす。^a で、行頭に移動して 「echo '」と打ち、^e して
「' > ls-desktop」 と打つ)
$ echo 'ls ~/Desktop | nkf -e' >  ls-desktop  
$ cat ls-desktop  
ls ~/Desktop | nkf -e
$ ls -l ls-desktop  
-rw-r--r--  1 yas  prof  22  6 17 11:59 ls-desktop
$

不要な部分をエディタで削除すれば、シェル・スクリプトの完成である。この例では不要な部分がないので、シェル・スクリプト ls-desktop は完成している。完成したシェル・スクリプトを実行するには、次のようにbash コマンドの引数としてファイル名を指定すればよい。

$ bash ls-desktop 
(デスクトップの表示)
$

bash で動くものは、sh でも動くことが多い。

$ sh ls-desktop 
(デスクトップの表示)
$

◆シェル・スクリプトの作り方(2):chmod +x

シェル・スクリプトを実行する度にいちいち「bash 」と打つのは煩わしいことがある。その場合は、次のようにする。

1行目にテキスト・エディタで #!/bin/bash　と書き加える。

$ emacs ls-desktop 
(1行目に「#!/bin/bash 」と書き加える。)
$ cat ls-desktop 
#!/bin/bash
ls ~/Desktop | nkf -e
$

chmod +x で実行可能属性を付ける

$ ls -l ls-desktop 
-rw-r--r--  1 yas  prof  34  6 17 12:09 ls-desktop
$ chmod +x ls-desktop 
$ ls -l ls-desktop 
-rwxr-xr-x  1 yas  prof  34  6 17 12:09 ls-desktop
$

ファイル名を指定すると、実行することができる。ファイル名としては、明示的に相対パス名であることを示すために先頭に「./」を付けるか、ホームディレクトリにあるこを示すために「~/」を付ける(ホーム・ディレクトリにあることを仮定している)。

$ ./ls-desktop  
(デスクトップの表示)
$ ~/ls-desktop  
(デスクトップの表示)
$

◆シェル・スクリプトの作り方(3):~/bin

完成したスクリプトを ~/bin に置くと、他のコマンド(ls, cp, emacs) 等と同じように実行することができる。

$ mkdir ~/bin 
(注意: mkdir は、1度だけ実行すればよい。)
$ mv ls-desktop ~/bin 
$ ls-desktop 
(デスクトップの表示)
$

◆シェル・スクリプトの作り方(4):引数

シェル・スクリプトを実行する時に、シェル・スクリプトに対して引数を与えることができる。

ls-desktop では、「デスクトップ」だけ表示できる。これはこれで便利であるが、他の漢字を含む任意のディレクトリを表示したいという要求もある。たとえば、「書類」や「ダウンロード」も表示できるようにしたい。そこで、「引数」としてディレクトリ名を含むようにする。シェル・スクリプトの名前を「ls-e」とする。

$ cd ~/bin 
$ ls -l ls-desktop  
-rwxr-xr-x  1 yas  prof  34  6 17 12:09 ls-desktop
$ cp ls-desktop ls-e 
$ ls -l ls-e 
-rwxr-xr-x  1 yas  prof  34  6 17 13:16 ls-e
$ emacs ls-e 
(修正)
$ cat ls-e 
#!/bin/bash
ls $* | nkf -e
$ ls -l ls-e 
-rwxr-xr-x  1 yas  prof  27  6 17 13:15 ls-e
(cp の時点で x ビットは立っているので chmod +x は不要。)
$ ls-e ~/Desktop 
(デスクトップの内容)
$ ls-e ~/Downloads 
(「ダウンロード」の内容)
$

この例では、ls-desktop の「~/Desktop」を「$*」に置き換えている。「$*」は、コマンドに与えられた全ての引数ということを意味している。

シェル・スクリプトで、引数は、$1,$2,... で参照できる。
$*では、全ての引数を参照できる。
shift コマンドで引数をずらすことができる。
$#で引数の数がわかる。

◆その他

http://www.coins.tsukuba.ac.jp/~yas/coins/literacy-2010/2010-06-18/ コンピュータリテラシ/シェル・スクリプト

RubyによるCGI

cgi-printarg.c を Ruby で書直す。

   1:	#!/usr/bin/ruby
   2:	# cgi-printarg-ruby.cgi -- CGI プログラムに対する引数を表示するプログラム
   3:	# ~yas/syspro/www/cgi-printarg-ruby.cgi
   4:	# Created on 2005/06/27 01:52:36
   5:	
   6:	require "cgi"
   7:	
   8:	def main()
   9:	        $SAFE = 1
  10:	        @cgi = CGI.new()
  11:	        print_header()
  12:	        print_content()
  13:	        exit( 0 )
  14:	end
  15:	
  16:	def print_header()
  17:	        printf("Content-Type: text/html\n")
  18:	        printf("\n")
  19:	end
  20:	
  21:	def print_content()
  22:	        printf("<HTML><HEAD></HEAD><BODY><PRE>\n")
  23:	        printf("request_method: %s\n",e(@cgi.request_method))
  24:	        printf("script_name: %s\n",e(@cgi.script_name))
  25:	        printf("query_string: %s\n",e(@cgi.query_string))
  26:	        printf("content_length: %d\n",@cgi.content_length)
  27:	        qh = @cgi.keys
  28:	        i = 0
  29:	        qh.each { |name|
  30:	            val = @cgi[name]
  31:	            printf("qv[%d]: %s=%s \n",i,e(name),e(val) )
  32:	            i = i + 1
  33:	        }
  34:	        printf("</PRE></BODY></HTML>\n")
  35:	end
  36:	
  37:	def e( str )
  38:	        return( str == nil ? "" : CGI::escapeHTML(str) )
  39:	end
  40:	
  41:	main()

Ruby では、require で、必要なライブラリを読み込む。 def から end までがメソッドの定義である。

main() では、CGI.new() により、CGI クラスのインスタンスを生成している。その結果を @cgi という変数(インスタンス変数、mainの外でも使える)に保存している。

このプログラムでは、main() という名前のメソッドを定義しているが、、 main() というメソッドから実行が開始させるわけではない。メソッド定義ではないものは、即座に実行される。このプログラムは最後に main() を呼び出す文がある。これを忘れると何も実行されない。

$SAFE は、グローバル変数である。Ruby では、ファイルからの入力や環境変数は汚染されたものとして扱われる。$SAFE を 1 にすると、汚染された文字列でファイルを開くとエラーになる。標準では、0 。安全を確認したら、 obj.untaint() メソッドで汚染を解除する。明示的に obj.taint() で汚染させることもできる。

print_header()では、HTTP のヘッダのうち、Content-Type: 行だけを出力している。

print_content() では、本文を出力している。

関数(メソッド) e() では、CGI ライブラリ (CGIクラス)の CGI::escapeHTML() を呼び出して、安全なものにして表示する。たとえば、「<」は、「<」と変換している。これで、<SCRIPT> のような危険なスクリプトが送り込まれたとしても「<SCRIPT>」と表示と表示されるだけで、スクリプトは実行されない。

@cgi に保存されたCGI クラスのインスタンスの request_method() メソッドを呼び出すと、"GET" か "POST" が返される。環境変数は、ハッシュ表 ENV に対して ENV['REQUEST_METHOD'] のようにしてもアクセスできるが、環境変数を CGI クラスで変更してしまうこともあるようである。

@cgi.keys により、パラメタの一覧が配列の形で得られる。配列の各要素について(qh.each)、パラメタ名を得て表示している。この例では、どんなパラメタでも表示しているので、このようなループになっているが、通常の CGI プログラムでは、@cgi['パラメタ名'] のようにして、パラメタの値を文字列として取り出すだけでよい。

表示例：

CGI の GET メソッドを使う例

CGI の POST メソッドを使う例

実行例：

request_method: GET
script_name: /~yas/coins/syspro-2010/No10_files/cgi-printarg-ruby.cgi
query_string: lastname=arg1&firstname=arg2&sex=Male&email=arg3
CONTENT_LENGTH: 
qv[0]: firstname=arg2 
qv[1]: lastname=arg1 
qv[2]: sex=Male 
qv[3]: email=arg3

request_method: POST
script_name: /~yas/coins/syspro-2010/No10_files/cgi-printarg-ruby.cgi
query_string: 
CONTENT_LENGTH: 48
qv[0]: firstname=arg2 
qv[1]: lastname=arg1 
qv[2]: sex=Male 
qv[3]: email=arg3

コマンドラインからの実行

CGI クラスを使ったプログラムは、環境変数を設定したデバッグの他に標準入力からパラメタを与えてでデバッグすることもできる。

$ echo "a=b&c=d" | ./cgi-printarg-ruby.cgi 
Content-Type: text/html

<HTML><HEAD></HEAD><BODY><PRE>
request_method: 
script_name: 
query_string: 
CONTENT_LENGTH: 
qv[0]: a=b 
qv[1]: c=d 
</PRE></BODY></HTML>
$

練習問題と課題

練習問題(1001) クロスサイトスクリプティング攻撃に対する脆弱性の除去

今まで「自分で」作成した CGI のプログラムの中で、クロスサイトスクリプティング攻撃に対する脆弱性あるものを探しなさい。そして、それを修正しなさい。

レポートには、最初に脆弱生がある CGI プログラムを作成した年月日、今回修正した場所、および、その修正箇所の説明をつけなさい。

練習問題(1002) 他のプログラムの実行を許してしまうような脆弱性の除去

今まで「自分で」作成した CGI のプログラムの中で、他のプログラムの実行を許してしまうような脆弱性があるものを探しなさい。そして、それを修正しなさい。

レポートには、最初に脆弱生がある CGI プログラムを作成した年月日、今回修正した場所、および、その修正箇所の説明をつけなさい。

練習問題(1003) CGIによる足算(Ruby)

練習問題(904) CGIによる足算を Ruby で書直しなさい。

ヒント：strtol() のように、文字列から整数値を得るには、Ruby では、 Integer() を使って次のように行う方法がある。

     s = "100"
     i = Integer(s)

なお、文字列として不正なものを与えると Integer() は例外を発生する。この課題では、正しい文字列が与えられると仮定して良いものとする。例外が発生した時にはそれを補足することなく終了して良いことにする。

この課題では、練習問題(904) CGIによる足算と同様に、作成したプログラムをシェルから実行して動作を確認しなさい。

Last updated: 2010/07/07 13:15:26

Yasushi Shinjo / <yas@is.tsukuba.ac.jp>