WordPressにおけるプラグイン透過なSQLインジェクション防御策の提案

• Item type: SIG Technical Reports(1)
• 公開日: 2019-12-19
• タイトル: WordPressにおけるプラグイン透過なSQLインジェクション防御策の提案
• タイトル / 言語: en
• タイトル: Plugin-Transparent SQL Injection Defense Method for WordPress
• 言語: jpn
• キーワード / 主題Scheme: Other
• キーワード / 主題: セキュリティ
• 資源タイプ / 資源タイプ識別子: http://purl.org/coar/resource_type/c_18gh
• 資源タイプ: technical report
• 著者所属: 会津大学
• 著者所属: 会津大学
• 著者所属(英): en
• 著者所属(英): University of Aizu
• 著者所属(英): en
• 著者所属(英): University of Aizu
• 著者名: 向佐, 裕貴; 中村, 章人
• 著者名(英): Yuki, Mukasa; Akihito, Nakamura
• 論文抄録 / 内容記述タイプ: Other
• 論文抄録 / 内容記述: Web サイトの構築・管理にコンテンツ管理システム（CMS）が広く利用されている．CMS は HTML や JavaScript などの専門知識がなくても高品質な Web ページを作成でき，管理機能によりサイトの運用を容易にする．CMS は多種多様なものがあるが，WordPress は世界の Web サイトで約 3 割のシェアを持つ．本論文では，Web サイトの基盤システムとして広く用いられる WordPress のセキュリティ対策方法について述べる．情報漏えいや Web ページの改ざん，認証回避などの深刻な損害をもたらす SQL インジェクション（SQLI）攻撃に着目し，その解決策を示す．提案手法は，WordPress の実装言語である PHP の言語処理系を拡張することにより，アプリケーションコードに SQLI 脆弱性があったとしても，危険な SQL 文を無害化してデータベースアクセスを安全に実行する．また，WordPress に限らず，あらゆる PHP のアプリケーションコードにおける SQLI 脆弱性の防御策としても利用できる．
• 論文抄録(英) / 内容記述タイプ: Other
• 論文抄録(英) / 内容記述: Content Management System (CMS) is widely used for construction and management of Web sites. CMS helps both well-experienced and less-experienced persons to create high quality Web pages and manage sites. Among the many different kinds of CMSs, WordPress is used by 35% of all the Web sites. In this paper, we discuss how to defend WordPress against SQL injection (SQLI) attacks in a fundamental way. SQLI vulnerabilities can typically lead to confidentiality and integrity failures: exposure, defacement, or destruction of information. In addition, user authentication and/or authorization could be ruined. The proposed defense method extends PHP runtime system to detoxify dangerous SQL statements even if the application code is vulnerable to SQLI. Our method eliminates the problems of programmer involvement, false negatives or positives, and additional infrastructures, while it is defensible against the most types of SQLI attacks. The method can be also applied to other PHP-based systems.
• 書誌レコードID / 収録物識別子タイプ: NCID
• 書誌レコードID / 収録物識別子: AN10116224
• 書誌情報: 研究報告マルチメディア通信と分散処理（DPS）; 巻 2019-DPS-181, 号 5, p. 1-7, 発行日 2019-12-19
• ISSN / 収録物識別子タイプ: ISSN
• ISSN / 収録物識別子: 2188-8906
• Notice: SIG Technical Reports are nonrefereed and hence may later appear in any journals, conferences, symposia, etc.
• 出版者 / 言語: ja
• 出版者: 情報処理学会