ブラインドSQLインジェクションも同様の攻撃手法だが、アプローチがやや異なる。通常のSQLインジェクションを実行する場合、攻撃者はサーバがエラーメッセージを返すのを期待して、WebアプリケーションにSQLクエリーを挿入する。これらのエラーメッセージが、より正確な攻撃を実行するのに必要な情報を攻撃者に与える可能性があるからだ。データベース管理者たちは、エラーメッセージをサニタイズ（無害化）すれば、SQLインジェクションを引き起こす問題を修正できるものと信じ込んできた。しかしそうやってエラーメッセージを隠したとしても、脆弱性がまだ存在することに管理者は気付いていなかった。攻撃方法としては少し難しくなるが、エラーメッセージを利用して情報を収集するのではなく、攻撃者はデータベースへのアクセスを得るのを期待して、当てずっぽうで作成したSQLクエリーをサーバに送信するのだ。

クロスサイトスクリプティング

　クロスサイトスクリプティング（XSSあるいはCSSとも呼ばれる）は、悪質なハッカーが、動的なWebページを生成するWebアプリケーションの脆弱性を狙うのに用いる手法の1つだ。今日では、多くのWebサイトが複数のソースの情報で構成され、瞬時に生成される動的ページを提供している。Webサイト管理者が不注意だと、機密情報を収集したり、ユーザーのシステム上でプログラムを実行したりする悪質なコンテンツがWebページに挿入される恐れがある。

対策

　Webアプリケーションサーバへの攻撃を阻止する対策は数多く存在する。中でも最も重要なのは、正しい認識を持つことだ。多くの企業では、こういった攻撃がどのように実行されるのか知らなくても適用できる予防対策を重視している。しかしWebアプリケーションサーバ攻撃の仕組みを理解しないで対策を講じても効果に乏しく、単にファイアウォールや侵入防止システムを配備するだけでは問題の解決に役立たない。例えば、自社のWebアプリケーションサーバがユーザーの入力をフィルタリングしなければ、上述のようなタイプの攻撃に容易にさらされる恐れがあるからだ。

　攻撃を未然に防ぐ上でもう1つ重要なポイントは、自社のWebアプリケーションを定期的に監査することだ。ヨハネス・アルリック氏は、簡単なテクニックとFirefox用プラグインを利用して、昼休み時間にWebアプリケーションを監査する方法について非常に有益な記事（英文）を書いている。

本稿筆者のピーター・ジャノーリス氏は、GSEC、GCIH、GCIA、CISSPの資格を持ち、カナダ・オンタリオ州トロントにあるアクセス2ネットワークスの情報セキュリティコンサルタントを務める。GIAC検定のテクニカルディレクターでもある。