Webアプリセキュリティ対策入門

追記：CSRFの件、以下に記載しています。

http://blog.ohgaki.net/index.php/yohgaki/2006/04/02/a_ma_sa_sa_a_ia_ca_sa_rhtmleosa_ia_a_iea

よろしければどうぞ。

----

新しい書籍で紹介した本がもうアマゾンで予約できるようになったようです。早い...

Webアプリケーションのセキュリティ対策の入門書を執筆させていただきました。
タイトルは「Webアプリセキュリティ対策入門」です。

手っ取り早くセキュリティ対策を済ませてしまいたい方には向いていません。「プログラミングはできるんだけどWebアプリには自信がない」と思われている方には適していると思います。Webプログラミングをこれから始める方にも是非読んで頂きたいです。Webアプリのセキュリティ対策を十分知っている方は立ち読みしてください。（笑

サンプルプログラムはPHPですがPHP専用ではなく、対策など内容はより一般的に利用できるように心がけました。「具体的な対策が少ない」とコメントを頂くかもしれませんが、私はセキュリティ対策で最も重要なことを1つだけあげるとすれば「姿勢」と答えます。どのような「姿勢」で設計・実装するのか理解していただければ、具体的な対策（コード）が少なくてもセキュアなWebアプリケーションを構築できると考えています。本書では小手先のテクニックや知識に頼らなくても安全なアプリケーション構築ができるように執筆しました。

基礎編、概念編、実践編の3部構成になっており、基礎編ではセキュリティ対策の基礎、概念編ではWebアプリケーションの代表的なリスク、実践編ではPHPコードを交えてより具体的な対策を解説しています。

Web開発に関わる方の一助になれば幸いです。

Web Applicatin Security

参考：Wikiのこの書籍のページ。以下目次の一部

第1 部基礎編―――セキュリティ対策の基礎知識
CHAPTER:1 　セキュリティ対策とは?
1-1 セキュリティ対策の基礎知識
1-2 セキュリティ対策の現状
1-3 セキュリティ確保―――何をどのような脅威から守るのか?
1-4 2 つのセキュリティ対策のモデル
1-5 フェイルセーフ（Failsafe）
1-6 多重のセキュリティ
1-7 攻撃可能な箇所の削減
1-8 脆弱性とセキュリティホール
CHAPTER:2 　Web サイトセキュリティの基礎知識
2-1 Web サイトで100% 安全なサービスを提供できるか?
2-2 間違った認識の例―――SSL/TLS の安全性、クッキーの弊害、
ソフトウェアキーボード、暗号表
2-3 安全性と利便性
2-4 Web サイトは最も危険なサービスの一つ
第2 部概念編―――脆弱性対策の基礎知識
CHAPTER:3 　Web システムの脆弱性
3-1 プログラムの不具合のよる脆弱性
3-2 アプリケーション設計の不具合による脆弱性
3-3 システム管理の不具合による脆弱性
3-4 システム環境の不具合による脆弱性
CHAPTER:4 　固有の名称を持つWeb サイトの攻撃手法
4-1 クロスサイトスクリプティング（Cross Site Scripting XSS）
4-2 SQL インジェクション（SQL Injection）
4-3 HTTP レスポンススプリッティング（HTTP Response Splitting）
4-4 クロスサイトリクエストフォージェリ（Site Request Forgery CSRF）
4-5 バッファオーバーフロー（Buffer Overflow）
4-6 LDAP インジェクション（LDAP Injection）
4-7 XML インジェクション（XML Injection）
4-8 XPath インジェクション（XPath Injection）
4-9 パラメータ改ざん（Parameter Manipulation）
4-10 隠しフィールドの改ざん（Hidden Field Manipulation）
4-11 クッキーの改ざん（Cookie Manipulation）
4-12 クロスサイトトレーシング（Cross Site Tracing XST）
4-13 ディレクトリ遷移（Directory Traversal）
4-14 パスの漏洩（Path Disclosure）
4-15 ヌルバイト（Null Byte / Null Character）
4-16 強制ブラウズ（Forceful Browsing）
4-17 セッションハイジャック（Session Hijack）
4-18 コマンドインジェクション
（Command Injection / Command Insertion）
4-19 プログラムの実行（Code Execution）
4-20 サービス不能（Denial of Service DoS）
4-21 その他の攻撃手法
CHAPTER:5 　Web サイトの脆弱性
5-1 入力の確認不足
5-2 フィルタ処理の不備
5-3 ファイルの不正参照
5-4 アクセスコントロールの不備
5-5 セッション管理の不備
5-6 エラー処理の不備
5-7 設定管理の不備