Sent:
Sent:
``` コードの中のこうした箇所は、[pieceofcake2/security-sast](https://pieceofcake2.github.io/security-sast/ja/rules#cakephp2-view-unescaped-output) のルール `cakephp2-view-unescaped-output` で見つけられます。DOM ベースの XSS は、JavaScript で `innerHTML` や `document.write()` を使って値をページに入れないでください。`textContent` を使います。`'unsafe-inline'` のない Content Security Policy ([セキュリティヘッダー](#セキュリティヘッダー)) も、こうしたスクリプトのほとんどを止めます。 ## SQL インジェクション リクエストの値が、そのまま SQL に入っています。攻撃者がデータベースを読んだり変えたりできます。値をエスケープする `find()` の条件の配列か、`query()` の値の配列を使ってください。 ```php // 見つかる書き方 $this->Post->query("SELECT * FROM posts WHERE title LIKE '%" . $q . "%'"); // 修正方法 $this->Post->find('all', ['conditions' => ['Post.title LIKE' => '%' . $q . '%']]); $this->Post->query('SELECT * FROM posts WHERE title LIKE ?', ['%' . $q . '%']); ``` pieceofcake2/security-sast のルール [cakephp2-query-concatenation](https://pieceofcake2.github.io/security-sast/ja/rules#cakephp2-query-concatenation) と [cakephp2-conditions-string](https://pieceofcake2.github.io/security-sast/ja/rules#cakephp2-conditions-string) で、 こうした箇所を見つけられます。 ## リクエストのパスとファイル リクエストの値で、読み込むファイルや表示するビューを指定しています。値に `../` を入れると、ほかのファイルに届きます。 値をパスとして使わず、許可した名前の一覧に対応させてください。アップロードされたファイルの名前は `basename()` で 確かめます。ルール [cakephp2-render-request](https://pieceofcake2.github.io/security-sast/ja/rules#cakephp2-render-request) もご覧ください。 ## コマンド リクエストの値が、システムのコマンド (`exec()`、`shell_exec()`、`system()`、バッククォート) に入っています。攻撃者が サーバーでコマンドを実行できます。コマンドを使わないようにするか、値を 1 つずつ `escapeshellarg()` で渡してください。 ## リダイレクト リクエストの値をリダイレクト先の URL にしています。サイトのリンクから、ログインページの偽物など、別のサイトに ユーザーを送れてしまいます。ルートの配列などでアプリケーションのパスにだけリダイレクトするか、URL を一覧と照らして ください。ルール [cakephp2-redirect-request](https://pieceofcake2.github.io/security-sast/ja/rules#cakephp2-redirect-request) もご覧ください。 ## セキュリティヘッダー ページにできることを、ブラウザに制限させるヘッダーです。実行してよいスクリプト (CSP)、ほかのサイトがフレームに 入れてよいか (クリックジャッキング)、ファイルの種類を推測してよいか、使ってよい機能やほかのオリジンのリソースを 指定します。 **1 か所だけ**で付けてください。 - **Web サーバーで** (推奨): `webroot/` のファイルや Web サーバー自体のエラーも含め、すべてのレスポンスに付きます。 nginx と Apache の完全な設定は [Web サーバーの設定](https://pieceofcake2.github.io/security-dast/ja/web-server.md) をご覧ください。 - **`AppController` で**: Web サーバーを変えられないときです。CakePHP のすべてのページに付き、エラーページ (404、500) にも付きます (`CakeErrorController` は `AppController` を継承しています)。`webroot/` のファイルには付きません。 ```php // src/Controller/AppController.php (app/Controller/AppController.php) public function beforeFilter() { parent::beforeFilter(); $this->response->header([ 'Content-Security-Policy' => "default-src 'self'; frame-ancestors 'self'; form-action 'self'", 'X-Frame-Options' => 'SAMEORIGIN', 'X-Content-Type-Options' => 'nosniff', 'Referrer-Policy' => 'strict-origin-when-cross-origin', 'Permissions-Policy' => 'camera=(), microphone=(), geolocation=()', 'Cross-Origin-Opener-Policy' => 'same-origin', 'Cross-Origin-Resource-Policy' => 'same-origin', ]); if ($this->request->is('ssl')) { $this->response->header('Strict-Transport-Security', 'max-age=31536000; includeSubDomains'); } } ``` 両方では付けないでください。`X-Frame-Options` が 2 つになるなど、2 回送ったヘッダーは、ブラウザによっては無効に なります。 - **CSP**: `default-src 'self'` は、アプリケーション自身のスクリプト、スタイル、画像だけを許します。インラインの スクリプト (``、`$this->Html->scriptBlock()`、`onclick="..."`) やほかのサイトのファイルを使う ページでは、足りません。スクリプトを `webroot/js/` のファイルに移すか、`script-src 'self' https://cdn.example.com` のようにサイトをポリシーに足してください。ポリシーは段階的に導入します。 1. `Content-Security-Policy-Report-Only` で送ります。何もブロックせず、ブロックするはずのものをブラウザの コンソールに出します。 2. ページを一通り開き (End-to-End テストが開きます)、インラインのスクリプトとスタイルをファイルに移すか、ページに 必要なサイトを足します。 3. コンソールに何も出なくなったら、`Content-Security-Policy` で送ります。 - **Cross-Origin-Embedder-Policy** (`require-corp`) は、許可していないほかのサイトの画像やスクリプトをブロックします。 そうしたリソースを使わないページでだけ付けてください。このアラートのリスクは低です。 - **Strict-Transport-Security** は HTTPS のときだけ付けます。ブラウザは `max-age` 秒のあいだ覚えているので、先に すべてのページが HTTPS で動くことを確かめてください。 ## CSRF トークンのないフォーム データを変えるフォーム (`method="post"`) にトークンがないと、ほかのサイトがログイン中のユーザーになりすまして送信 できます (CSRF)。`AppController` で `SecurityComponent` を読み込み、フォームを `FormHelper` で作ってください。 `$this->Form->create()` と `$this->Form->end()` がトークン (`data[_Token][key]`) を入れます。ZAP はこの名前を知って います。 ```php public $components = ['Security', 'Session']; ``` ZAP が指摘するのは、HTML で書いたフォーム (`