CGIのセキュリティについて

質問

CGIにセキュリティをかけたいのですが、どのように掛けたらよいのでしょうか？
SQLインジェクション対策等、調べたのですがよくわかりませんでした。
わかりやすい参考サイトや書籍がございましたら、教えてほしいです。
使用言語はperlです。

回答No.2

大野 悟（@ohnosatoru） · ベストアンサー

こんにちは。

セキュリティを強化するためには、どのようなタイプの攻撃手法があるかを
知っておく必要があります。
そして、それぞれに対して、どのような対策を取るのかということを
考えなくてはいけません。

Ｐｅｒｌに限った話ではないですが、ＷＥＢ上のプログラムにおいて
特定の言語向けに考えられた手法を除いて一般的な攻撃手法は
ほぼ同じです（SQLインジェクション等）

その上で本をご紹介します。

不正アクセスや情報漏えいを防ぐWEBアプリケーションのセキュリティ完全対策
http://www.amazon.co.jp/Web%E3%82%A2%E3%83%97%E3%83%AA%E3%82%B1%E3%83%BC%E3%82%B7%E3%83%A7%E3%83%B3%E3%81%AE%E3%82%BB%E3%82%AD%E3%83%A5%E3%83%AA%E3%83%86%E3%82%A3%E5%AE%8C%E5%85%A8%E5%AF%BE%E7%AD%96%E2%80%95%E4%B8%8D%E6%AD%A3%E3%82%A2%E3%82%AF%E3%82%BB%E3%82%B9%E3%82%84%E6%83%85%E5%A0%B1%E6%BC%8F%E6%B4%A9%E3%82%92%E9%98%B2%E3%81%90-%E5%BE%B3%E4%B8%B8-%E6%B5%A9/dp/4822229718

セキュアなWebアプリケーション開発
http://www.amazon.co.jp/%E3%82%BB%E3%82%AD%E3%83%A5%E3%82%A2%E3%81%AAWeb%E3%82%A2%E3%83%97%E3%83%AA%E3%82%B1%E3%83%BC%E3%82%B7%E3%83%A7%E3%83%B3%E9%96%8B%E7%99%BA-%E3%83%95%E3%82%A9%E3%83%AA%E3%82%B9%E3%82%BF%E3%83%AB-%E3%82%B8%E3%82%A7%E3%83%95/dp/479731804X/ref=sr_1_1?s=books&ie=UTF8&qid=1337052163&sr=1-1

また、よくあるセキュリティホールをまとめてくれているＯＷＡＳＰなども参考になります。
https://www.owasp.org/index.php/Category:OWASP_Top_Ten_Project
http://owasptop10.googlecode.com/files/OWASP%20Top%2010%20-%202010%20Japanese-A4.pdf

上で紹介させていただいたような個別のセキュリティについて難しいなと思われるのであれば
簡易的にはなりますが２つ対応策があります。
完璧なセキュリティというよりは、とりあえずセキュリティ対策してますというレベルですが、
簡単ないたずらレベルであれば攻撃は免れます（＾＾）

１．フレームワークや抽象化ライブラリを利用すること。
　　フレームワークや抽象化ライブラリには攻撃を防いで切れるコードが含まれています。
　　（正確に言うと”含まれていることが多い”ですが、一般的なものは含まれています）
　　ただし、フレームワーク側のセキュリティホールをつつかれる恐れはありますが、
　　何も対策していないよりはましではないでしょうか。

２．ＷＥＢサーバー側でセキュリティを確保すること。
　　mod_securityや、Webアプリケーションファイアウォールにてセキュリティを確保するやり方です。

セキュリティについて勉強することは大変だとは思いますが、ある程度は勉強しないと難しいとおもいます。

PHPなどはPerlに近い言語のため、攻撃手法を知るための書籍として購入して
対策方法はＷＥＢで探すというのも1つの手だとは思います。
例えば、”SQLインジェクション Perl”や、”XSS Perl”、”CSFR Perl”などで検索するイメージです。

お礼

大変詳しい説明ありがとうございます。
勉強頑張ります。

回答No.1

dscripty

サンプルが PHP だけど。。。

「セキュリティが強固な動的ページ制作に役立つ参考書 | OKWave」
http://okwave.jp/qa/q7378867.html

お礼

回答ありがとうございます・・・
perlのサンプルが乗っている本は無いんですかねぇ？