Differences

This shows you the differences between two versions of the page.

--- ja:rule:inp:バリデーションする前に全ての変換作業を行う [2016/03/05 22:02] – [適合コード例] yohgaki
+++ ja:rule:inp:バリデーションする前に全ての変換作業を行う [2017/07/04 01:09] (current) – [適合コード例] yohgaki
@@ Line 3: / Line 3: @@
 バリデーションを行うデータはバリデーションを行う前に全ての変換作業を行わなければならない。変換作業を後で行うとバリデーションが無意味となる場合が多々ある。
-  * Unicode文字の正規化（NFCなど）
+  * Unicode文字の正規化（NFKCなど）
   * 文字エンコーディング変換（SJISからUTF-8など）
   * 全角／半角変換
@@ Line 15: / Line 15: @@
 バリデーションを行ってから変換を行うと、バリデーションの意味が無くなる場合多い。mb_convert_kana($str, 'knr')は全角文字を半角文字に変換する。strip_tags()は全角文字のタグを取り除かないので、mb_convert_kana()の変換により<script>などの危険な文字列が許容される。
+<color #ed1c24>**非適合コード**</color>
 <code php>
 //制御文字、長さなど他のバリデーションも必須
@@ Line 27: / Line 28: @@
 適合コードはバリデーションの前に必要な変換作業を行う。これによりバリデーションロジックが正しく異常な入力を検出できるようになる。
+<color #00a2e8>**適合コード**</color>
 <code php>
 $param = mb_convert_kana($_GET['param'], 'knr');
@@ Line 37: / Line 39: @@
 ===== 例外 =====
-[ルール／推奨事項の例外]
+ソフトウェアへの入力バリデーションは入力データ処理の初めに実施しなければならない。入力バリデーションは初めに実施しなければならない処理だが、データ変換処理はその前に行わなければならない。
 ===== リスク評価 =====
-[ルール／推奨事項のリスク評価]
+入力バリデーションの後にデータの変換操作を行うと、攻撃者にセキュリティ対策用のバリデーター／フィルターなどをバイパスさせる抜け道をつくる。この問題は任意コード実行を許すことになりえる。
-[評価例 - 英語表記に統一]
 ^ Rule ^ Severity ^ Likelihood ^ Remediation Cost ^ Priority ^ Level ^
-| IDS05-J | medium | unlikely | medium | P4 | L3 |
+|  | critical | likely | low | P15 | L5 |
 ===== 関連ガイドライン =====
 ===== 参考文献 =====
+  * [[https://www.securecoding.cert.org/confluence/display/java/IDS01-J.+Normalize+strings+before+validating+them|IDS01-J. Normalize strings before validating them]]