# 2020/07/28 upper layer progress ## 徳丸本 ### 進捗 pp335~360まで終了 ### 学習内容 #### ファイルインクルード攻撃 ・概要 　PHPなどのスクリプト言語はソースの一部を別ファイルから読み込む機能があり、include指定するファイル名を外部から指摘できる場合に、アプリケーションが意図しないファイルを指定することにより脆弱性が発生する。 ・対策 ①外部からファイル名を指定する使用を避ける ②ファイル名を英数字に限定 #### evalインジェクション攻撃 ・概要 引数に指定した文字列をデータとして解釈し実行する"eval"という機能、関数がある。eval利用に問題がある場合、悪意を持ったプログラムを第三者が自由に実行できてしまう可能性がある ・対策 evalは使用しない #### シリアライズ、デシリアライズ機能を用いた攻撃 ・概要 データをバイト列に変換することをシリアライズといい、その逆をデシリアライズという。evalと同様にシリアライズ、デシリアライズ処理の際に悪意のあるプログラムを実行してしまう恐れがある。 ・対策 シリアライズ・デシリアライズ機能を使用せずＪＳＯＮ形式でデータの受け渡しを行う デシリアライズ処理には外部からのパラメータを使用しない