SQLインジェクションをWAFで対策する際の失敗例②

前回の記事の回答と解説に入っていきます。

なお、この例については一件だけではなく、ここ数年複数目撃しています。

なので、WAFを導入する際の注意点として認知していただけると幸いです。

正解発表！！

前回の問題の正解を発表します！

SQLインジェクションでDBから情報を取得できたのは・・・

HTTPSを使用しているBサイトの方でした。

ではなぜHTTPSの方で取得できたのでしょうか？

まずDBサーバに到達するまでのNW構成を考えてみましょう。（ここらへんは推測です。）

HTTPでの通信は以下のようになっていると予想され、通信経路上のWAFによりパケットの中身を確認できるため、不正な通信はブロックされます。

上記の状況から、SQLインジェクションは有となってもも「sqlmap」によるDBの情報取得はできなかったと推測しています。

一方、HTTPS通信の場合は同じような経路になっていた場合は以下のようになると考えることができます。

よって、WAFが防御機能として適切に働いていおらず「sqlmap」で取得可能な状態になってしまったと予想できます。

この流れをみて、じゃあHTTPS使用しなければいいじゃんと思うのは完全なる間違えなので注意です。（分かっている人は多いと思いますが。。。）
HTTPSには通信経路の暗号化を行うという重要な役目があるため、個人情報や認証情報を使用する箇所ではHTTPSを使用しなければなりません。

じゃあどうすればいいの？

この事象を見た際に私はIPAの情報処理試験の問題を思い出しました。

皆さん情報処理試験の過去問を解いて以下のような問題を見たことないですかね？以下はIPAの過去問から取得（https://www.jitec.ipa.go.jp/1_04hanni_sukiru/_index_mondai.html）

この問題の正解は「C」となりますね！（皆さん分かりましたよね。）

ここでは「SSLアクセラレータ」が肝になります。SSLアクセラレータの概要は以下になります。

SSLによる暗号通信で送受信されるデータの暗号化・復号化を行なう専用ハードウェアのこと。データの暗号化・復号化には膨大な処理が必要なため、Webサーバで処理を行うと多くの計算機資源を費やしてしまい、暗号化しない場合に比べ著しくパフォーマンスが低下する。このため、暗号処理専用のハードウェアを用意することによって、サーバの負荷を軽減することを狙ったもの。
参考：http://www.atmarkit.co.jp/fsecurity/dictionary/aig/sslaccelerator.html

HTTPSの通信をHTTPに変換してくれる機器と思ってください。もちろん製品によってはロードバランサとしても動作していたりするものもあるかと思います。

なので、WAFの位置としては、SSLアクセラレータの後ろに配置することで、通信内容を解析できWAFの機能として有効に動作できます。（以下は参考の構成）