MENU
  1. ホーム
  2. Apache
  3. ApacheでXSSを防ぐ！httpd.confでの対策方法を徹底解説

ApacheでXSSを防ぐ！httpd.confでの対策方法を徹底解説

Apache

クロスサイトスクリプティング（XSS）は、悪意のあるスクリプトがWebサイトに埋め込まれ、ユーザーのブラウザで実行されるセキュリティ脅威です。これにより、個人情報の窃取やセッションハイジャックなどが発生し、サイトの信頼性が損なわれる可能性があります。

Apacheは多くのWebサーバーで利用されており、適切な設定を施さないとXSSの標的となることがあります。特にhttpd.confの適切な設定は、XSS対策において重要な役割を果たします。本記事では、Apacheのhttpd.confを活用してXSSを防ぐための具体的な方法を解説します。

Webサイトを安全に保つために、httpd.confでどのような設定を行うべきかを理解し、実践していきましょう。XSSの仕組みから具体的な設定方法、応用例までを詳しく紹介します。

目次
  1. クロスサイトスクリプティング（XSS）とは
    1. 1. セッションハイジャック
    2. 2. 個人情報の窃取
    3. 3. 偽ページへの誘導
    4. XSSの種類
  2. ApacheでのXSS脆弱性の危険性
    1. 1. XSSがApache環境で発生する主な原因
    2. 2. XSSがApache環境で引き起こす影響
    3. 3. Apache環境でのXSSリスクの現状
  3. httpd.confを用いたXSS対策の基本
    1. 1. HTTPヘッダの設定によるXSS防止
    2. 2. URLエンコードとサニタイズ
    3. 3. HTTP Strict Transport Security (HSTS)の導入
    4. 4. ディレクティブによる入力値制御
    5. 5. ディレクトリ毎の制御
  4. Content-Security-Policy (CSP)の設定方法
    1. 1. CSPの基本概念
    2. 2. よく使われるCSPディレクティブ
    3. 3. CSP設定の具体例
    4. 4. インラインスクリプトの許可方法
    5. 5. CSP設定の確認方法
  5. 入力値のサニタイズとエスケープ処理
    1. 1. 入力値サニタイズの重要性
    2. 2. httpd.confでの入力サニタイズ方法
    3. 3. エスケープ処理の実装
    4. 4. URLエンコードの活用
    5. 5. 特定のディレクトリやファイルの保護
    6. 6. まとめ
  6. 実践的なhttpd.confサンプルコード
    1. 1. 基本的なXSS防止ヘッダの設定
    2. 2. 特定のディレクトリに対するXSS防止設定
    3. 3. URLパラメータにスクリプトタグが含まれる場合のブロック
    4. 4. mod_securityを使ったXSS対策
    5. 5. フォームデータの長さを制限する
    6. 6. 特定のMIMEタイプ以外をブロック
    7. 7. レスポンス内のスクリプトエラー表示を抑止
    8. 8. まとめ
  7. まとめ

クロスサイトスクリプティング（XSS）とは


クロスサイトスクリプティング（XSS）は、Webアプリケーションの脆弱性を悪用して悪意のあるスクリプトをユーザーのブラウザで実行させる攻撃手法です。これにより、攻撃者は以下のような行為を行うことが可能になります。

1. セッションハイジャック


攻撃者がユーザーのセッション情報を取得し、不正にログイン状態を乗っ取ることができます。

2. 個人情報の窃取


ユーザーが入力したパスワードやクレジットカード情報などを盗み取ることが可能になります。

3. 偽ページへの誘導


攻撃者はスクリプトを使ってユーザーを偽のログインページなどにリダイレクトし、情報を盗みます。

XSSの種類


XSSには主に以下の3種類があります。

1. 反射型XSS（Reflected XSS）


悪意のあるリンクをクリックした際にスクリプトが実行されるタイプで、瞬時に発動します。

2. 格納型XSS（Stored XSS）


悪意のあるスクリプトがWebサイトのデータベースなどに保存され、ページ閲覧時に自動的に実行される持続的な攻撃です。

3. DOMベースXSS


JavaScriptのDOM操作を悪用して、ブラウザ側で動的にスクリプトが挿入される攻撃です。

XSSはWebサイトの信頼性を損ない、ユーザーに大きな被害を与える可能性があります。そのため、Apacheのhttpd.confを用いた適切な対策が不可欠です。

ApacheでのXSS脆弱性の危険性


Apacheは世界中のWebサーバーで広く使用されており、そのシェアは非常に高いです。しかし、その普及度の高さゆえに、XSS攻撃の標的となることが少なくありません。適切な設定を施していないApacheサーバーは、XSS攻撃に対して脆弱な状態にあります。

1. XSSがApache環境で発生する主な原因


Apache自体はWebサーバーであり、直接的にXSSを引き起こすわけではありません。しかし、以下の要因が重なることでXSSが発生しやすくなります。

1.1. 不適切なHTTPレスポンスヘッダ


Content-TypeやX-Content-Type-Optionsなどのヘッダが適切に設定されていない場合、ブラウザが誤ってスクリプトを実行する可能性があります。

1.2. ユーザー入力の未処理


フォームやURLパラメータからのユーザー入力がサニタイズされずにそのまま出力されることで、スクリプトが埋め込まれる危険性があります。

1.3. 古いバージョンのApacheを使用


脆弱性が報告されている古いバージョンのApacheを使い続けることで、XSS攻撃のリスクが増します。

2. XSSがApache環境で引き起こす影響

2.1. ユーザーデータの流出


XSSを通じて、ユーザーのクッキー情報やセッションデータが窃取され、不正アクセスが行われます。

2.2. サイト改ざん


攻撃者はXSSを利用してWebサイトの内容を書き換え、悪意のあるリンクや広告を表示させることができます。

2.3. 信頼性の低下


サイトがXSS攻撃を受けたことが判明すると、ユーザーの信頼を失い、結果としてアクセス数や売上の減少につながります。

3. Apache環境でのXSSリスクの現状


多くのサイトでは、フォームや検索機能などで外部からの入力を受け付けています。これらの機能はXSSの主要な攻撃経路となります。Apache環境でのWebアプリケーションにおいては、httpd.confによるXSS防止策の導入が不可欠です。

次章では、Apacheのhttpd.confを活用してXSSを防ぐための具体的な対策方法を解説します。

httpd.confを用いたXSS対策の基本


Apacheのhttpd.confは、Webサーバーの動作を制御する重要な設定ファイルです。XSS対策を施すことで、Webサイトを悪意のあるスクリプトから保護することができます。ここでは、httpd.confを使ったXSS対策の基本を解説します。

1. HTTPヘッダの設定によるXSS防止


HTTPレスポンスヘッダを適切に設定することで、ブラウザが不正なスクリプトの実行を防ぎます。httpd.confでは以下のように記述します。

1.1. Content-Security-Policy (CSP)の設定


CSPは、外部スクリプトの読み込みを制限することでXSS攻撃を防ぎます。

Header set Content-Security-Policy "default-src 'self'; script-src 'self'"


この設定は、自サイトからのスクリプトだけを許可し、外部スクリプトの読み込みを防ぎます。

1.2. X-Content-Type-Optionsの設定


ブラウザによるMIMEタイプの自動検出（MIMEスニッフィング）を防ぎます。

Header set X-Content-Type-Options "nosniff"

1.3. X-XSS-Protectionの設定


古いブラウザ向けにXSSフィルターを有効化します。

Header set X-XSS-Protection "1; mode=block"

2. URLエンコードとサニタイズ


mod_rewriteを使用して、URL内の疑わしい文字列を自動でエンコードすることでXSSのリスクを軽減します。

RewriteEngine On
RewriteCond %{QUERY_STRING} <script>
RewriteRule ^.*$ - [F]


この設定により、URL内に<script>タグが含まれるリクエストを拒否します。

3. HTTP Strict Transport Security (HSTS)の導入


HTTPS接続を強制することで、データの改ざんを防止します。

Header set Strict-Transport-Security "max-age=31536000; includeSubDomains"

4. ディレクティブによる入力値制御


LimitRequestFieldSizeやLimitRequestBodyを使って、ユーザーからの入力サイズを制限します。

LimitRequestBody 1048576


この設定は、1MB以上のPOSTデータを拒否し、不正な大量データ送信を防ぎます。

5. ディレクトリ毎の制御


特定のディレクトリにのみXSS対策を施す場合、ディレクティブを使用します。

<Directory "/var/www/html">
    Header set Content-Security-Policy "default-src 'self'; script-src 'self'"
</Directory>

これらの設定を行うことで、ApacheサーバーにおけるXSS攻撃のリスクを大幅に低減することができます。次章では、Content-Security-Policy (CSP)の具体的な設定方法について詳しく解説します。

Content-Security-Policy (CSP)の設定方法


Content-Security-Policy (CSP) は、XSS攻撃を防ぐために非常に効果的なセキュリティ対策です。CSPを設定することで、Webページ上で許可するリソースの種類や読み込み元を細かく制御できます。これにより、外部からの悪意あるスクリプトの実行を防ぐことが可能になります。

1. CSPの基本概念


CSPは、ブラウザに対して「どのリソースをどこからロードできるか」を指示するHTTPレスポンスヘッダです。これにより、不正なスクリプトのインジェクションをブロックし、XSSを防ぎます。

1.1. CSPの基本的な構文


CSPはdefault-srcやscript-srcなど、ポリシーを指定するディレクティブを用いて設定します。以下は、最も基本的なCSPの例です。

Header set Content-Security-Policy "default-src 'self'; script-src 'self'"
  • default-src 'self'：すべてのリソースは自サイトのみから読み込む。
  • script-src 'self'：スクリプトの読み込みを自サイトからのものだけに制限。

2. よく使われるCSPディレクティブ

2.1. `default-src`


すべてのリソースのデフォルトの読み込み元を指定します。

Header set Content-Security-Policy "default-src 'self'"

2.2. `script-src`


スクリプトの読み込み元を制限します。インラインスクリプトの実行を防ぐ場合は、'unsafe-inline'を除外します。

Header set Content-Security-Policy "script-src 'self'"

2.3. `style-src`


CSSスタイルシートの読み込み元を制御します。

Header set Content-Security-Policy "style-src 'self' 'https://fonts.googleapis.com'"

2.4. `img-src`


画像の読み込み元を指定します。外部の画像リソースを許可する場合はドメインを明記します。

Header set Content-Security-Policy "img-src 'self' data:"

2.5. `connect-src`


AjaxやWebSocketなどの接続先を制御します。

Header set Content-Security-Policy "connect-src 'self' https://api.example.com"

3. CSP設定の具体例


以下は、XSS対策として一般的に用いられるCSPの例です。

Header set Content-Security-Policy "default-src 'self'; script-src 'self'; style-src 'self' 'https://fonts.googleapis.com'; img-src 'self' data:; connect-src 'self';"
  • すべてのリソースは自サイトから取得。
  • CSSはGoogle Fontsから許可。
  • 画像はdata:スキームを許可してBase64エンコードの画像を表示可能に。
  • AjaxやAPIの接続先は自サイトに制限。

4. インラインスクリプトの許可方法


CSPの厳格な設定ではインラインスクリプトがブロックされますが、特定のスクリプトを許可する方法としてnonce（使い捨てトークン）が利用されます。

Header set Content-Security-Policy "script-src 'self' 'nonce-abc123'"


HTML側でスクリプトタグに同じnonceを記述します。

<script nonce="abc123">alert('XSS対策済み');</script>

5. CSP設定の確認方法


CSPが正しく動作しているかを確認するには、ブラウザの開発者ツールを使います。以下の方法で確認できます。

  1. 開発者ツールを開く（F12またはCtrl+Shift+I）。
  2. 「ネットワーク」タブを選択し、Webページをリロード。
  3. ヘッダ情報を確認し、Content-Security-Policyが正しく設定されているかチェック。

CSPは誤った設定を行うと、正規のリソースがブロックされる場合があります。導入後は必ず動作確認を行い、必要に応じて調整を加えましょう。次章では、入力値のサニタイズとエスケープ処理について詳しく解説します。

入力値のサニタイズとエスケープ処理


XSSを防ぐうえで、ユーザーからの入力データを適切に処理することは不可欠です。特にフォームや検索機能など、ユーザーが自由にデータを入力できる箇所はXSS攻撃の対象になりやすいため、Apacheのhttpd.confを活用して入力値のサニタイズとエスケープ処理を行います。

1. 入力値サニタイズの重要性


サニタイズとは、入力データから不正なスクリプトや特殊文字を除去・変換する処理を指します。これにより、ブラウザで不正なコードが実行されるのを防ぐことができます。

1.1. サニタイズが不十分な場合のリスク

  • <script>タグがそのままブラウザで実行されてしまう。
  • URLパラメータやフォームからXSS攻撃が行われる可能性がある。
  • JavaScriptを埋め込んだリクエストがそのまま反映される。

2. httpd.confでの入力サニタイズ方法


Apacheのmod_rewriteやmod_securityを活用して、サーバーレベルで不正な入力をブロックできます。

2.1. mod_rewriteを使ったスクリプトタグの除去


URLパラメータなどに含まれる<script>タグを検出し、アクセスを拒否する方法です。

RewriteEngine On
RewriteCond %{QUERY_STRING} "<script>"
RewriteRule ^(.*)$ - [F,L]
  • <script>タグが含まれるリクエストは403エラーで拒否されます。
  • 攻撃者がXSSを試みても、ブラウザまで届かずにブロックされます。

2.2. mod_securityによる入力検証


mod_securityはWebアプリケーションファイアウォール(WAF)として機能し、不正なリクエストを監視・ブロックします。

SecRuleEngine On
SecRule ARGS "<script>" "deny,status:403,msg:'XSS attack detected'"
  • フォームやGET/POSTリクエストに含まれる<script>タグを検出し、403エラーを返します。
  • SecRule ARGSはすべての入力パラメータを検査するため、広範囲の攻撃を防げます。

3. エスケープ処理の実装


サーバー側で不正な文字列をサニタイズしても、完全な防御にはなりません。HTMLやJavaScriptを出力する際には、エスケープ処理を施してスクリプトの実行を防ぎます。

3.1. ApacheでのHTMLエスケープ


Apacheでは直接HTMLをエスケープする機能は提供されていませんが、PHPやPythonなどのサーバーサイド言語と組み合わせることでエスケープ処理を簡単に行えます。

例（PHPでのエスケープ処理）：

echo htmlspecialchars($_GET['input'], ENT_QUOTES, 'UTF-8');
  • 特殊文字（<, >, ", '）がエスケープされます。
  • XSS攻撃のリスクを大幅に軽減します。

4. URLエンコードの活用


入力値をURLエンコードすることで、不正な文字列を無害化します。

RewriteCond %{QUERY_STRING} ".*"
RewriteRule ^(.*)$ /sanitize.php?query=%{QUERY_STRING} [L]


sanitize.php内でURLデコード後にエスケープ処理を行うことで、安全なレスポンスを生成します。

5. 特定のディレクトリやファイルの保護


XSS対策を特定のディレクトリやファイルに対して施すことで、より効率的に防御を行えます。

<Directory "/var/www/html/forms">
    Header set X-XSS-Protection "1; mode=block"
    Header set Content-Security-Policy "default-src 'self';"
</Directory>


この設定はフォームを含むディレクトリに対してCSPとXSSフィルターを適用します。

6. まとめ

  • mod_rewriteとmod_securityを組み合わせることで、強力なXSS防御が可能です。
  • ユーザー入力は必ずサニタイズし、出力時にはエスケープ処理を行います。
  • CSPの設定と併せて使用することで、XSSリスクをさらに低減できます。

次章では、実際に動作するhttpd.confのサンプルコードを紹介し、実践的なXSS対策の方法を詳しく解説します。

実践的なhttpd.confサンプルコード


ここでは、Apacheのhttpd.confを使った具体的なXSS対策のサンプルコードを紹介します。これらの設定は、コピーしてすぐに使えるように設計されています。

1. 基本的なXSS防止ヘッダの設定


以下の設定は、XSSを防ぐために最低限必要なセキュリティヘッダを追加します。

# XSS防止用のHTTPヘッダを追加
<IfModule mod_headers.c>
    Header set Content-Security-Policy "default-src 'self'; script-src 'self'"
    Header set X-XSS-Protection "1; mode=block"
    Header set X-Content-Type-Options "nosniff"
    Header set Referrer-Policy "no-referrer-when-downgrade"
    Header set Strict-Transport-Security "max-age=31536000; includeSubDomains"
</IfModule>
  • Content-Security-Policy (CSP)：スクリプトの読み込み元を自サイトだけに制限します。
  • X-XSS-Protection：ブラウザのXSSフィルターを有効にします。
  • X-Content-Type-Options：MIMEタイプのスニッフィングを防止します。
  • Referrer-Policy：リファラー情報を制限し、不要な情報漏洩を防ぎます。
  • Strict-Transport-Security (HSTS)：HTTPS接続を強制します。

2. 特定のディレクトリに対するXSS防止設定


管理画面やフォームがある特定のディレクトリに対して、厳格なXSS防止設定を行います。

<Directory "/var/www/html/admin">
    Header set Content-Security-Policy "default-src 'self'; script-src 'self'; style-src 'self' 'https://fonts.googleapis.com'"
    Header set X-XSS-Protection "1; mode=block"
    Header set X-Content-Type-Options "nosniff"
</Directory>
  • 管理画面ディレクトリに対してCSPとXSSフィルターを適用します。
  • 外部のCSS（Google Fontsなど）を許可する例も含んでいます。

3. URLパラメータにスクリプトタグが含まれる場合のブロック


mod_rewriteを使って、不正なスクリプトタグが含まれるURLパラメータを検出し、アクセスを拒否します。

RewriteEngine On
RewriteCond %{QUERY_STRING} "(<|%3C)(script|img|iframe|object|embed|link|meta)(>|%3E)" [NC]
RewriteRule .* - [F]
  • URLエンコードされた<script>タグやiframeタグなどをブロックします。
  • [F]は403 Forbiddenを返し、アクセスを拒否します。

4. mod_securityを使ったXSS対策


mod_securityを導入して、入力データを検査し、不正なスクリプトを含むリクエストをブロックします。

# mod_securityルール
SecRuleEngine On
SecRequestBodyAccess On
SecRule ARGS "<script>" "id:1001,phase:2,deny,status:403,msg:'XSS attack detected'"
SecRule REQUEST_URI "(?i)(<|%3C)(script|img|iframe|object|embed|link|meta)(>|%3E)" "id:1002,phase:2,deny,status:403,msg:'XSS attack detected in URI'"
  • リクエストボディ（フォーム入力など）に<script>タグが含まれる場合は403エラーを返します。
  • URI自体にXSSスクリプトが含まれる場合も検出してブロックします。

5. フォームデータの長さを制限する


フォームに大量のデータが送信されることを防ぐため、POSTリクエストのサイズを制限します。

LimitRequestBody 102400
  • 100KB以上のデータを持つPOSTリクエストを拒否します。
  • フォームに対する大量データ攻撃を防止できます。

6. 特定のMIMEタイプ以外をブロック


不正なコンテンツがアップロードされるのを防ぐため、特定のMIMEタイプ以外のリクエストを拒否します。

<FilesMatch "\.(php|html|css|js)$">
    Header set Content-Security-Policy "default-src 'self'"
</FilesMatch>
  • PHP、HTML、CSS、JavaScriptファイル以外のリソースは制限されます。

7. レスポンス内のスクリプトエラー表示を抑止


エラーメッセージにスクリプトが含まれることを防ぐため、詳細なエラーメッセージを非表示にします。

ServerSignature Off
ServerTokens Prod
  • サーバーのバージョン情報などが外部に漏れないようにします。

8. まとめ

  • httpd.confでXSS対策を施すことで、不正なスクリプトがサイトに埋め込まれるのを防止できます。
  • mod_rewriteやmod_securityを活用して、動的にスクリプトタグをブロックする方法が効果的です。
  • ディレクトリ単位で厳格な設定を行い、必要最低限のアクセスのみを許可する形が理想的です。

次章では、これらの設定を実際に運用し、効果的にXSS攻撃を防ぐ方法について解説します。

まとめ


本記事では、Apacheのhttpd.confを活用してクロスサイトスクリプティング（XSS）対策を行う具体的な方法について解説しました。

XSSは、ユーザーの個人情報を盗み、サイトの改ざんを引き起こす危険性があるため、Apache環境での徹底した対策が不可欠です。

  • HTTPヘッダの設定による基本的なXSS防止策として、Content-Security-Policy (CSP) や X-XSS-Protection の導入が効果的です。
  • mod_rewriteを使用して、スクリプトタグを含むリクエストを検出・ブロックすることで、サイトの安全性が向上します。
  • mod_securityを導入すれば、入力データをリアルタイムで検査し、不正なアクセスを自動で防ぐことができます。
  • フォームデータのサイズ制限や、MIMEタイプの制御なども併せて行うことで、より強固なXSS対策が可能となります。

これらの設定を適切に行うことで、Apacheサーバー上でのXSS攻撃を効果的に防ぎ、ユーザーに安全なWeb環境を提供することができます。定期的に設定を見直し、最新のセキュリティ対策を維持することが重要です。

Apache
セキュリティ Apache XSS httpd.conf

コメント

コメントする

目次
  1. クロスサイトスクリプティング（XSS）とは
    1. 1. セッションハイジャック
    2. 2. 個人情報の窃取
    3. 3. 偽ページへの誘導
    4. XSSの種類
  2. ApacheでのXSS脆弱性の危険性
    1. 1. XSSがApache環境で発生する主な原因
    2. 2. XSSがApache環境で引き起こす影響
    3. 3. Apache環境でのXSSリスクの現状
  3. httpd.confを用いたXSS対策の基本
    1. 1. HTTPヘッダの設定によるXSS防止
    2. 2. URLエンコードとサニタイズ
    3. 3. HTTP Strict Transport Security (HSTS)の導入
    4. 4. ディレクティブによる入力値制御
    5. 5. ディレクトリ毎の制御
  4. Content-Security-Policy (CSP)の設定方法
    1. 1. CSPの基本概念
    2. 2. よく使われるCSPディレクティブ
    3. 3. CSP設定の具体例
    4. 4. インラインスクリプトの許可方法
    5. 5. CSP設定の確認方法
  5. 入力値のサニタイズとエスケープ処理
    1. 1. 入力値サニタイズの重要性
    2. 2. httpd.confでの入力サニタイズ方法
    3. 3. エスケープ処理の実装
    4. 4. URLエンコードの活用
    5. 5. 特定のディレクトリやファイルの保護
    6. 6. まとめ
  6. 実践的なhttpd.confサンプルコード
    1. 1. 基本的なXSS防止ヘッダの設定
    2. 2. 特定のディレクトリに対するXSS防止設定
    3. 3. URLパラメータにスクリプトタグが含まれる場合のブロック
    4. 4. mod_securityを使ったXSS対策
    5. 5. フォームデータの長さを制限する
    6. 6. 特定のMIMEタイプ以外をブロック
    7. 7. レスポンス内のスクリプトエラー表示を抑止
    8. 8. まとめ
  7. まとめ