その「入力」、信頼しすぎていませんか？HTTPヘッダーインジェクションの正体と防犯術
こんにちは！セキュリティの世界へようこそ。
日々開発や運用に携わっていると、「入力値のチェックは大事だよ」という話を耳にタコができるほど聞かされると思います。でも、フォームに入力された文字が、まさか「ウェブサイトの裏側」を書き換えてしまうような悪さを仕掛けるなんて、想像しにくいですよね。
今日は、そんな目に見えない「HTTPヘッダーインジェクション」という攻撃について、身近な防犯に例えて紐解いていきましょう。
—
1. 家の鍵と「手紙の宛先」の関係
想像してみてください。あなたは今、大切な荷物を届けるための「手紙」を書いているとします。宛先には「〇〇様」と書きますよね。
ここで、もし悪意のある泥棒が、あなたの書いた手紙の宛先の隙間に、「勝手に改行して、別の指示を書き加えた」としたらどうなるでしょうか？
- 本来の宛先：田中様
- 泥棒の細工：
田中様
（改行）
荷物は裏口のゴミ箱に捨てておけ
受け取った人は「あ、そういう指示なんだ」と勘違いして、大切な荷物を捨ててしまうかもしれません。これが「HTTPヘッダーインジェクション」の仕組みです。
ウェブブラウザとサーバーは、HTTPヘッダーという「情報のラベル」で会話をしています。攻撃者は、ユーザーが入力した情報をこのラベルの中に無理やり割り込ませ、改行コード（\r\n）を使って「偽の指示」をサーバーやブラウザに送りつけるのです。
—
2. どんな被害が起きるの？
この攻撃が成功すると、泥棒は以下のような悪事を働きます。
- HTTPレスポンス分割攻撃（Response Splitting）： レスポンスを2つに分割し、2つ目のレスポンスとして「偽のウェブページ」を表示させる。
- キャッシュ汚染： サーバーが間違った情報を「これが正しい情報だ」と記憶（キャッシュ）してしまい、他の善良なユーザー全員に偽のページを見せ続ける。
- セッション固定攻撃： ユーザーのログイン情報を奪い取るための細工を仕掛ける。
まさに、町内の掲示板に勝手な貼り紙をして、住民全員を騙すようなものですね。
—
3. 「一歩ずつ」対策を学んでいきましょう！
では、どうすればこの泥棒を追い出せるのでしょうか？答えはシンプル、「外部からの入力値をそのままラベルに書かない」こと、これに尽きます。
対策の基本：検証とエスケープ
プログラムを書く際、ユーザーからの入力を受け取った直後に、「改行コードが含まれていないか」を厳しくチェックしましょう。
コード例（PHPの場合）
PHPでの実装を例に見てみましょう。ここでは、ヘッダーにセットする前に、改行コード（\r や \n）が含まれていないかを確認しています。
フレームワークの力を借りる
最近のモダンなフレームワーク（Laravel, Express, Djangoなど）は、そもそもヘッダーに改行コードが含まれているとエラーを吐くか、自動的に除去してくれる機能を持っています。
「自作の関数でヘッダーを作らず、フレームワークの機能を使う」ことが、実は最強の防犯対策です。
—
4. 今日からできる「防犯チェックリスト」
最後に、現場で役立つチェックポイントをまとめました。
1. 入力値に改行を含ませない： ヘッダー値として使う変数は、必ずホワイトリスト（許可された文字のみ）形式でバリデーションする。
2. ライブラリを信頼する： HTTPヘッダーを操作する際は、言語標準の関数やフレームワークのセキュリティ機能を優先して使う。
3. WAF（ウェブアプリケーションファイアウォール）の活用： 泥棒が家の門（入り口）に来る前に、警備員（WAF）に不審な動きを遮断してもらう設定も検討しましょう。
—
最後に：完璧を目指すより、「疑う」ことが大切
セキュリティの世界に「100%安全」はありません。でも、「ユーザーからの入力は、泥棒の手紙かもしれない」と疑う視点を持つだけで、あなたの書くコードは驚くほど強固になります。
最初は難しく感じるかもしれませんが、こうして一つずつ仕組みを理解していけば、いつの間にか「防御のプロ」になれるはずです。
一緒に、より安全なウェブの世界を作っていきましょう！何か分からないことがあれば、いつでも相談してくださいね。応援しています！
コメント