エラーのレポート

PHPのセキュリティに関して、2種類のエラー出力があります。一つは、セキュリティ向上に役立つものであり、もう一つは、セキュリティ上有害なものです。

標準的な攻撃手法の中に不完全なデータをシステムに送信し、返されるエラーの種類と内容を調べることにより、システムを調べるというものがあります。これにより、システムのクラッカーがありうる弱点を調査するためにそのサーバーに関する情報を調べることが可能になります。例えば、ある攻撃者が事前のフォーム投稿の際にあるページに関して収集した情報を持っている場合、変数を上書きしたり、修正したりしようとするかもしれません。

例1 カスタムHTMLページにより変数を攻撃する

<form method="POST" action="attacktarget?username=badfoo&password=badfoo">
<input type="hidden" name="username" value="badfoo">
<input type="hidden" name="password" value="badfoo">
</form>

通常返されるPHPのエラーは、エラーを生じた関数やファイル、エラーを発生したPHPファイル、エラーを発生した行番号のような情報が含まれており、スクリプトをデバッグする開発者に非常に有用です。これらが調べることができる情報の全てです。デバッグ目的でPHPの開発者が show_source, highlight_string, highlight_file を使用することはまれではありません。しかし、実用サイトでは、これは秘密の変数、未確認の構文、その他の危険な情報を公開することになってしまいます。特に危険なのは、組み込みのデバッグハンドラを有する既知のソースからのコードを実行しているか、一般的なデバッグ技法を使用している場合です。攻撃者が、使用している一般的な技法を特定できた場合、次のようにあるページに様々な一般的なデバッグ用文字列を送信することによりしらみつぶしに攻撃しようとするかもしれません。

例2 一般的なデバッグ変数を探す

<form method="post" action="attacktarget?errors=Y&amp;showerrors=1&amp;debug=1">
<input type="hidden" name="errors" value="Y">
<input type="hidden" name="showerrors" value="1">
<input type="hidden" name="debug" value="1">
</form>

エラー処理の方法に関わらず、エラーを調べる機能は、攻撃者により多くの情報を与えることにつながります。

例えば、多くの一般的なエラー形式では、システムはPHPを実行していることを示します。攻撃者が .html ページを調べ、(システムの既知の弱点を探すために)誤ったデータを送信することによりバックエンドを調べたいと思った場合、システムがPHPによって構築されていることを知り得る可能性があります。

関数エラーは、システムが特定のデータベースエンジンが実行していること、または、Webページのプログラム内容や設計に関する鍵を示すことがあります。これにより、データベースポートをオープンしたり、Webページに固有のバグや弱点を調べるといったより詳細な調査を行うことが可能となります。例えば、異なった不正なデータを送信することにより、攻撃者は、(エラー行番号から)そのスクリプトの異なる場所を調べることと同時にそのスクリプトの認証の順番を定義することが可能です。

ファイルシステムまたは一般的なPHPエラーは、Webサーバーが有する許可属性やWebサーバーのファイル構造を示すことがあります。エラーコードを書く開発者は、元は秘密の情報を容易に公開することにより、この問題を悪化させる可能性があります。

この問題に対しては3種類の対策があります。最初の対策は、全ての関数をよく調べ、大部分のエラーの修正を試みることです。2番目は、実行するコードのエラーリポートを完全に無効にすることです。3番目は、 PHPのカスタムエラー処理関数を使用して独自のエラーハンドラを作成することです。システムのセキュリティポリシーに基づき、これらの3種類の対策が適用可能かどうかを判定します。

この問題を事前に防止する手段の一つは、PHPに組み込まれている error_reporting機能を使用することです。これにより、コードを安全にするための手がかりが得られ、危険と思われる変数が使用されている部分をみつけることが可能です。実使用の前に E_ALL を指定してコードをテストすることにより、変数が他の手段で汚染されたり、修正されたりする可能性がある部分を簡単に見つけることが可能です。実使用の準備ができた際には、あなたのコードをプローブから保護するために error_reporting を 0 に設定するか、php.ini のオプション display_errors をオフに設定する、のいずれかでエラーリポートを完全に無効にすべきです。もし後者を選択した場合、加えて error_log ini ディレクティブを使用する、あるいは log_errors をオンにしてログファイルのパスを定義すべきです。

例3 E_ALLで危険な変数を見つける

<?php
if ($username) {  // 使用前に初期化または確認されていない変数
    $good_login = 1;
}
if ($good_login == 1) { // 上のテストが失敗した場合、使用前に初期化または確認されていない
    readfile ("/highly/sensitive/data/index.html");
}
?>