Railsで作った脆弱性をOWASP ZAPで診断してみる

投稿者: | 2020年12月14日

この記事は GMOアドマーケティング Advent Calendar 2020 14日目の記事です。

はじめに

こんにちは、GMOアドマーケティングのR.Yです。今回はタイトルの通り、Railsで作った脆弱性をOWASP ZAPで診断してみたいと思います。

自分は主にRailsを使ったWebアプリの開発やWebアプリの脆弱性診断を行うことが多いので、この記事を書くことによってRailsのセキュリティ周りや脆弱性診断を行うツールについての理解をより深められたら良いなと思います。


1.用意するもの

Ruby On Rails 5.2.3
OWASP ZAP 2.9.0


2.調べる脆弱性

  • SQLインジェクション

2-1.SQLインジェクション

SQLインジェクションとはWebアプリのリクエストで送られるパラメータを意図的に操作し、データベースを操作するクエリに対して行われる攻撃手法です。

例:

例えば↑のような名前を入力してユーザーを検索するフォームがある場合、

‘OR 1) — のような文字列を入力すると、実行されるSQLは

このようになります。

検索条件を入れたいセミコロンがすぐに閉じられ全てのデータにマッチする条件が加えられています。また「- -」により以降がコメントとして扱われるので構文エラーも出ません。これにより全てのユーザーを不正に取得することができてしまいます。

また、入力の文字列を‘ OR 1); DELETE FROM user; — ‘にすれば、

DBに登録されている全ユーザーを消滅させるクエリを生成することもできてしまいます😱

2-2.Railsでの対策

RailsではwhereなどのSQLフラグメントを使う場合、SQLを直接文字列で作るような書き方をしない限り「’」「”」などの特殊文字は自動でエスケープされます。

  • 良い書き方の例:

この書き方をした場合、先ほどの‘OR 1) —で入力によって生成されるSQLは

このようにエスケープされます。


3.作業手順

続いて脆弱性を実際のRailsアプリに忍ばせて脆弱性診断を行っていきます。

以下の手順で説明していきます。

  1. 脆弱性診断を行うWebアプリをRailsで開発する
  2. 脆弱性を仕込む
  3. OWASP ZAPで脆弱性診断する


4.脆弱性診断を行うWebアプリをRailsで開発する

まずお好みのディレクトリに移動し以下を実行します。

これでtest-appアプリケーションが作成されます。

4-1.データベースとモデルの作成

test-app/に移動し、データベースを以下のコマンドによって作成します。

次に今回使用するユーザーモデルを作成します。

これによってapp/models/にuser.rbが作成されました。
しかし、まだデータベース上には反映されていないのでマイグレーションを流します。

先ほどのコマンドでdb/migrate/に#{作成された日時}_create_users.rbというファイルが作成されたので

t.string :nameを追加して保存します。

最後に

このコマンドによって作成したマイグレーションファイルをデータベースに反映させます。

これでデータベースとモデルの作成はOKです!

4-2.コントローラーの作成

test-app/に移動し以下を実行します。

これでユーザーコントローラーが作成されました。

そして、app/controllers/に移動し、先ほどのコマンドで作成されたusers_controller.rbを以下のように編集します。

コントローラーはこれでOKです!

4-3.ビューの作成

今回作るのはユーザー一覧画面と新規作成画面の二つなので、app/viewsに移動しuserディレクトリを作成しておきます。

そしてapp/views/user/に以下の二つのファイルを入れておきます。

  • index.html.erb

  • new.html.erb

これで簡単なアプリケーションができました。

でサーバを起動してから、http://localhost:3000/http://localhost:3000/newにアクセスし、

こんな感じの画面が出てきたらOKです!


5.脆弱性を仕込む

今回はSQLインジェクションの脆弱性を確かめるために、users_controller.rbのindexメソッドを

このように変更します。

これによって検索フォームの入力の文字列から直接SQLが生成されるので、「2-1.SQLインジェクション」のようなSQLインジェクションに対しての脆弱性を作ることができました。


6.OWASP ZAPで脆弱性診断する

続いて作った脆弱性をOWASP ZAPで診断していきます。

6-1.OWASP ZAPとは

OWASP ZAPとはOWASP(The Open Web Application Security Project)という国際的なコミュニティによって作られたセキュリティ診断ツールになります。OWASP ZAPを使うことで誰でも無料でWebアプリケーションの脆弱性診断を行うことができます。

※OWASP ZAPのインストール手順は省略します。
OWASP ZAPのダウンロード

6-2.プロキシの設定

OWASP ZAPでは、自身をプロキシとすることで脆弱性診断の対象サイトにリクエストを送信し返ってきたレスポンスから脆弱性を診断します。そのためWebブラウザとOWASP ZAPで設定をする必要があります。

6-2-1.OWASP ZAPの設定

まずOWASP ZAP起動後メニューバーの「ツール」→「オプション」をクリックします。するとオプション画面が開くので、

「ローカル・プロキシ」を↑のように変更後OKを押します。これでOWASP ZAP側のプロキシ設定が完了しました!

6-2-2.Webブラウザの設定

今回はfirefoxを使用していきます。まずfirefoxを開き「設定」から、

「一般」の一番下にあるネットワーク設定の「接続設定…」をクリックします。

ポートをOWASP ZAPの8084に合わせたいので画像のように入力しOKを押します。これでWebブラウザ側の設定も完了です!

6-3.脆弱性診断

まずはじめにモードがプロテクトモードになっていることを確認しましょう!

攻撃モードや標準モードに選択されている場合、自身が管理していない別のサイトも一緒にスキャンしてしまう恐れがありますので、ここは常に確認しておきましょう。


モードの確認が終わったところで「クイックスタート」の中の「Manual Explore」をクリックします。

先ほど作ったWebアプリが起動していることを確認後、↑のように入力し「Launch Browser」をクリックします。これによって行われる静的スキャンでは次に行う動的スキャンの準備を行います。firefoxで対象のサイトが開くと思うので、一覧画面や新規作成画面、またはユーザーの検索や新規作成を行いサイトを巡回しましょう。


これによりOWASP ZAPのサイドバーに対象のサイトが表示されるかと思います。


このままでは動的スキャンできないので一度対象のサイトをコンテキストに含める必要があります。対象サイトを右クリックで「コンテキストに含める」→「New Context」をクリックし、そのままOKを押しましょう。これによってコンテキストの箇所に対象のサイトが加わったはずです。


ここまで出来たら一度SQLインジェクション診断用のアドオンをインストールします。メニュー欄にある↓のマークをクリックしましょう。


すると「アドオン管理」のウィンドウが出てくるので「マーケットプレイス」から「Advanced SQLInjection Scanner」をインストールしましょう。

インストール済みに「Advanced SQLInjection Scanner」があることが確認できれば準備OKです。


それでは準備ができたので動的スキャンしていきます。先ほどコンテキストに含めた自身のサイトを右クリックしましょう。すると動的スキャンがあるのでクリックすると動的スキャンの設定画面が出るはずです。

特に何もせず「スキャン開始」を押しましょう!これで動的スキャンが開始されます。

6-4.アラートの確認

動的スキャンが終了すると「アラート」に検出された脆弱性が表示されます。

見事SQLインジェクションが検出されました!🎉
他にもたくさんのアラートがありますがSQLインジェクションが確認できればOKです。

6-5.実際に脆弱性診断してみる

お試しSQLインジェクションをするために以下のようなユーザーを作成しました。

‘ OR id = 3) —入力して、


SQLインジェクションが成功しidが3のユーザーのみ取得することができました!


ログでみると
SELECT “users”.* FROM “users” WHERE (name = ‘ ‘ OR id = 3) –‘)
が実行されていることがわかります。


まとめ

今回はRailsの脆弱性診断について書いてみました。
脆弱性診断をやっていく中で、既存の脆弱性やその対策などいろいろ勉強になったのでこれからの開発に役立てていきたいです。また、今回書けなかった他の脆弱性についても今後書いていけたらなと思います。

ここまで読んでいただきありがとうございました!

明日は、KazuakiMさんによる「Header Bidding導入」です。
引き続き、GMOアドマーケティング Advent Calendar 2020 をお楽しみください!
■エンジニア採用ページ ~福利厚生や各種制度のご案内はこちら~
https://www.gmo-ap.jp/engineer/
■noteページ ~ブログや採用、イベント情報を公開中!~
https://note.gmo-ap.jp/

The following two tabs change content below.

アバター

y-r

フロントエンド見習いです。