[非エンジニア向け] Webサイトの指示を書き換える？HTTPヘッダインジェクション入門

HTTPヘッダは、ブラウザとサーバーがやり取りする際の「申し送り事項」のようなものです。例えば、「このページの情報は日本語ですよ」「ログイン状態を保つための情報（Cookie）はこちらです」といった情報が含まれます。

HTTPヘッダインジェクションは、攻撃者がウェブサイトの入力フォームやURLの一部などを悪用して、この「申し送り事項」に不正な指示（ヘッダ）を注入（インジェクション）する攻撃です。本来サーバーが送るはずのない指示がブラウザに送られてしまうことで、様々な問題が発生します。

この攻撃は、ウェブアプリケーションがユーザーからの入力（例えば、検索キーワードや設定値など）を十分にチェックせずに、そのままHTTPヘッダの一部として使ってしまう場合に起こりやすくなります。特に、「改行コード」と呼ばれる特殊な文字（目には見えませんが、コンピュータには改行として認識される文字）が悪用されることが多いです。この改行コードを使って、新しい指示行を無理やり挿入してしまうのです。

HTTPヘッダインジェクションによって、以下のような被害が発生する可能性があります。

• 偽ページへの誘導（フィッシング詐欺）: ユーザーを偽のログインページなどに誘導し、IDやパスワードを盗み取ろうとします。
• Cookieの書き換え・盗み取り（セッションハイジャック）: ログイン状態を管理する情報（Cookie）を盗んだり、書き換えたりして、ユーザーになりすまします（セッションハイジャックやセッション固定化）。
• Webサイトの表示内容の改ざん: ウェブサイトの見た目の一部を書き換えたり、不正なスクリプト（プログラム）を実行させたりします（クロスサイトスクリプティング（XSS）につながることもあります）。
• キャッシュ汚染: ウェブサイトの表示を高速化するための中間サーバー（キャッシュサーバー）に、改ざんされた偽のページ情報を記憶させ、他の訪問者にも偽ページを表示させてしまいます。
• サービス妨害（DoS攻撃）: 大量のCookie情報を送りつけるなどして、特定のユーザーがサービスを利用できないようにします（Cookie Bomb攻撃など）。

HTTPヘッダインジェクションの脆弱性は、様々なウェブサイトやウェブアプリケーションで見つかっています。具体的な事例としては、以下のようなものがあります。

• 2012年頃: ブログシステム「Pebble」で、この脆弱性により偽情報が表示されたり、任意のスクリプトが実行されたりする可能性が報告されました。

これらは過去の事例ですが、現在でも新しいウェブサイトやシステムで同様の脆弱性が見つかる可能性はあります。

ウェブサイトを作る開発者は、HTTPヘッダインジェクションを防ぐために、以下のような対策を行う必要があります。

• ユーザーからの入力を信用しない: フォームやURLパラメータなど、外部から受け取ったデータは必ずチェックし、不正な文字（特に改行コード \r や \n）が含まれていないか確認し、含まれていれば削除したり、別の安全な文字に置き換えたり（エスケープ処理）します。
• ヘッダ出力用のAPIを使う: プログラミング言語やフレームワークが提供している、安全にHTTPヘッダを出力するための専用機能（API）を利用します。これらの機能は、多くの場合、自動的に危険な文字を処理してくれます。
• 入力をヘッダに直接含めない: 可能であれば、ユーザーからの入力をHTTPレスポンスヘッダの値として直接使用しないように設計します。
• 定期的な脆弱性診断: 作成したウェブサイトに問題がないか、専門のツールやサービスを使って定期的にチェックします。