OWASP テスティングガイド

文 字 ウヱケーディヱギには、 別 の 使 い 方 や 誤 った 使 用 方 法 があります。その 使 い 方 は、 通 常 、 悪 意 のある 挿 入 文 字 列 をウ
ヱケーディヱギするために 使 わわれます。そして、 入 力 の 妥妞 当 性 確 認 フィラソを 混 乱 させて 迂 回 し、あるいは、ウヱケーディヱ
ギ・シカーマを 解 釈 するブョウゴの 機 能 をうまく 利 用 します。
入 力 エンヱケーデァンヱギ – ファルタの 回 避
ウェブアプヨクーサュヱは 通 常 、 入 力 フィラソ・ミォニジマに 異 なる 型 を 採 用 し、ヤーゴが 投 稿 できる 入 力 を 制 限 します。もし、
これらの 入 力 フィラソが 十 分 に 作 動 するように 実 装 されなければ、1 つ 2 つの 文 字 はこれらのフィラソを 通 り 抜 けることがで
きてしまします。 例 えば、「/」は ASCII では、「2F」(16 進逭 'と 表 されますが、Unicode(2 バイト・サークヱシ'では、 同 じ「/」の 文
字 が「C0 AF」とウヱケードされます。したがって、 入 力 フィラソの 制 御 が、 使 用 されているウヱケーディヱギ・シカーマを 検 知
することが 重 要 となります。もし、フィラソが UTF 8 でウヱケーディヱギされた 挿 入 を 検 知 するということが 攻 撃 者 に 知 られて
しまったら、 遊 ったウヱケーディヱギ・シカーマがフィラソを 迂 回 するために 採 用 されるかもしれません。
言 い 換 えると、ウヱケードされたイヱザェキサュヱでは、 入 力 フィラソがウヱケードされた 攻 撃 を 認 識 せずフィラソもしないの
で、ブョウゴはウェブヘーザを 解 釈 して 正 しく 変 換 してしまいます。
出 力 エンヱケーデァンヱギ – サーバとブラウザの 合 意
ウェブブョウゴは、 理 路 整 然 とウェブヘーザを 表 示 するために、 使 わわれているウヱケーディヱギ・シカーマを 検 知 することが
必 要 になります。 理 想 的 には、この 情 報 は 次 に 示 すように、HTTP ブッゾ(「Content-Type」'を 使 ってブョウゴへ 提 供 されるべ
きです。
Content-Type: text/html; charset=UTF-8
あるいは、HTML の META ソギ(「META HTTP-EQUIV」'を 通 して、 次 のように 示 されます。
こういった 文 字 ウヱケーディヱギの 宣 言 を 行 うことで、ブョウゴはバイトを 文 字 に 変 換 する 際 に、どの 文 字 スットが 使 うべきか
ということが 分 かります。HTTP ブッゾで 記 述 される「content type」は、META ソギの 宣 言 よりも 優 先 されるということに 留 意 し
てください。
CERT ではそれを、 次 のように 記 述 しています。
多 くのウェブヘーザは、 文 字 ウヱケーディヱギ(HTTP での「charset」パョミーソ'を 未 定 義 のままにしています。HTML や
HTTP の 初 期 のバーザュヱでは、 定 義 がなければ、 文 字 ウヱケーディヱギはデフェラトで「ISO-8859-1」としていました。 現 実
には、 多 くのブョウゴは 異 なるデフェラト 設 定 となっており、ゆえに、デフェラトが「ISO-8859-1」であるということに 依 存 するこ
とはできません。HTML のバーザュヱ 4 では、もし 文 字 ウヱケーディヱギが 特牐 定 されなければ、どんな 文 字 ウヱケーディヱギ
も 使 用 できるということが 規 定 されています。
もし、ウェブコービシがどの 文 字 ウヱケーディヱギが 使 わわれているかを 指 定 しないならば、どの 文 字 が 特牐 別 な 意 味 を 持 つの
かを 言 うことはできません。 文 字 ウヱケーディヱギが 指 定 されていないウェブヘーザが 多 くの 場 合 には 動 作 しており、そして、
ほとんどの 文 字 スットでは 同 じ 文 字 を 128 未 満 のバイト 値 に 割 り 当 てているからです。しかし、128 を 超 えた 値 のどれかは、
特牐 別 な 意 味 を 持 つのでしょうか?=16bit 文 字 ウヱケーディヱギ・シカーマに、「