ウェブサイト脆弱性：ディレクトリリスティングをオフにする方法とセキュリティ上必要な理由
2023年6月2日
ディレクトリリスティングがオンになっていると、公開するつもりのないファイルが一般公開されてしまい、予期せぬ情報漏洩の可能性があります。ディレクトリリスティングはNginxの場合、autoindexがonになっているとオンになりますが、知らない間にオンになっていることもあります。よって情報漏洩を防ぐためにも、ウェブサイトの公開前に、ディレクトリリスティングがオフになっているかの確認を行うことが、セキュリティベストプラクティスにかなった行動です。以下では、自分のサイトでディレクトリリスティングがオンになっているかを確認する方法を紹介し、ディレクトリリスティングがオンになっていることが、なぜセキュリティ上の脆弱性であるかの理由を説明し、最後に、Nginxでディレクトリリスティングをオフにする方法を紹介します。
ディレクトリリスティングがオンになっているかどうかを確認する方法
自分のサイトでディレクトリリスティングがオンになっているかどうか確認する方法は主に３つあります。１つ目は、URLパターンでアクセスする方法、２つ目は、Curlコマンドを使う方法、３つ目は脆弱性スキャンツールを使う方法です。以下でそれぞれの方法を見ていきます。
まず、URLパターンでアクセスする方法を紹介します。
ウェブサイトでディレクトリリスティングが有効かどうかを確認するためには、以下の手順を参考にしてください。
- ブラウザでウェブサイトにアクセスします。
- アクセスしたウェブサイトのURLの末尾にスラッシュ（
/）を追加します。例えば、**http://example.com/**のようにします。 - ページが表示された場合、ディレクトリリスティングが有効になっています。ページにはディレクトリ内のファイルやフォルダの一覧が表示されるでしょう。
- ページが表示されない場合、ディレクトリリスティングが無効になっています。
次に、Curlコマンドで確認する方法を紹介します。
以下のコマンドを使用します。
curl -s -o /dev/null -I -w "%{http_code}" http://example.com/上記のコマンドでは、**http://example.com/**の部分を対象のウェブサイトのURLに置き換えて実行します。もしディレクトリリスティングが有効な場合、HTTPステータスコードとして「200」が表示されます。ディレクトリリスティングが無効な場合、HTTPステータスコードとして「403」（Forbidden）または「404」（Not Found）が表示されます。
これら以外の方法では、脆弱性スキャンツールを使えば、ディレクトリリスティングがオンになっているかが確認できます。
ディレクトリリスティングがオンになっていると、どんなリスクがあるか
ディレクトリリスティングがオンになっている場合、ウェブサイトのファイルやディレクトリの一覧がユーザーに公開されてしまいます。これにより、以下のような危険が発生する可能性があります。
- ディレクトリリスティングによって、本来非公開にすべきファイルがユーザーに公開されてしまうことがあります。これにより、機密性の高い情報やセンシティブなデータが外部に漏れる可能性があります。
- ディレクトリリスティングが有効な場合、攻撃者はウェブサイトの構造やファイルの配置を容易に把握することができます。これにより、攻撃者は特定のファイルやディレクトリにアクセスし、脆弱性を突いた攻撃を仕掛ける可能性があります。
- ディレクトリリスティングが有効な場合、攻撃者はファイルシステム上での移動を容易にすることができます。これにより、攻撃者はウェブサイトのルートディレクトリ外のファイルにアクセスし、機密情報や重要なファイルに侵入する可能性があります。
- ディレクトリリスティングを通じて、攻撃者はウェブサイトの内部構造やファイルの存在を把握することができます。これにより、攻撃者は標的とするウェブサイトに対してより効果的な攻撃戦略を練ることができます。
ディレクトリリスティングがオンになっている場合、これらの危険が発生する可能性が高まります。ウェブサイトのセキュリティを強化するためには、ディレクトリリスティングを無効化し、不要な情報の漏洩を防止することが重要です。
具体例
ディレクトリリスティングがオンになっている場合、以下のような形でサーバーのフォルダやファイルにアクセスできてしまいます。
画像の例ですと、本来公開する予定の無い、SecretフォルダなどもURLから誰でも閲覧できる状態になっています。
CMSを使用している場合、公開する予定の無いフォルダーやファイルも外部から閲覧可能な状態になってしまう可能性があります。管理画面内で機密性が高いファイルを扱っていた場合は、どこからでも閲覧可能になってしまいます。
このようにディレクトリリスティングがオンになっていると、情報漏洩の危険が増大します。
Nginxでディレクトリリスティングをオフにする方法
以降ではNginxでディレクトリリスティングをオフにする方法を紹介します。
/etc/nginx/nginx.confファイルの、serverディレクティブにあるlocation / 以降に、autoindex off;を追加することで、ディレクトリリスティングをオフにすることができます。すでに、autoindex on;が存在している場合は、これをautoindex off;に変更すればいいです。
変更前
server {
listen 80;
server_name domain.com www.domain.com;
location / {
autoindex on; # ここを変更
}
}変更後
server {
listen 80;
server_name domain.com www.domain.com;
location / {
autoindex off; # 変更済み
}
}これで外部からディレクトリを閲覧する事ができなくなります。
再度、ドメイン名/ の形でアクセスしてみて、ディレクトリが表示されなくなっていれば、ディレクトリリスティングがオフになり、外部から非公開情報を閲覧できなくなっていることが確認できます。
他にも記事があります
フィッシング詐欺は認知バイアスを巧妙に利用して、冷静な判断力を奪います。本記事では、「見えないゴリラ実験」を通じてその仕組みを解説し、騙されないための具体的な対策を紹介します。
2024年11月15日
インターネットの普及に伴い、フィッシング詐欺が急増しています。この詐欺は、個人情報やクレジットカード情報などの機密情報を詐取し、被害者に経済的な損失を与えるサイバー攻撃の一種です。日々巧妙さを増すフィッシング詐欺は、一般の利用者だけでなく、企業も大きなリスクにさらされています。
本記事では、フィッシング詐欺…
2024年10月30日
この記事では、TLS 1.0の無効化と、最新のセキュリティプロトコルへの移行方法を詳しく解説し、TLS 1.0の脆弱性やリスク、無効化するためのNginxでの設定手順を紹介し、セキュリティを強化するためのガイドラインを提供します。Mozilla SSL Configuration Generatorを使ってモダンなTLS設定を簡単に導入する方法もカバーし、サイトの安全性を最大化するための実践的な情報をお届けします。
2023年5月31日
この記事では、TLS 1.1の無効化と最新のTLSバージョンへの移行方法について解説します。TLS 1.1の脆弱性と互換性の問題を明らかにし、セキュリティを強化するためにTLS 1.2やTLS 1.3を設定する手順を紹介します。さらに、Nginxでの具体的な設定方法や、Mozilla SSL Configuration Generatorを使用してモダンなTLS設定を簡単に導入するガイドラインも提供しています。セキュリティリスクを最小限に抑え…
2023年5月31日
フィッシング詐欺は、個人情報や金銭を狙ったサイバー犯罪の一つで、信頼できる企業を装ったフィッシングサイトを通じて被害者を騙す手法です。株式会社ImprovedMoveでは、こうしたフィッシングサイトの迅速な削除を提供するテイクダウンサービスを展開し、ブランドとユーザーの安全を守ります。この記事では、フィ…
2024年10月16日
X-Frame-Optionsヘッダーが設定されていない場合、ウェブサイトはフレーム内で読み込むことが可能となり、"clickjacking"（クリックジャッキング）という攻撃のリスクが高まります。クリックジャッキングは、攻撃者が透明なフレームを使用してユーザーに見えない形で別のページを重ねる技術で、ユーザーが意図しないクリックや入力を行わせることが可能です。例えば、ユーザーがクリックしたつもりのボタンが実は攻撃者が設定し…
2023年7月26日
HTTPSは現代のウェブサイトにおいて必須事項とも言えるセキュリティ対策です。しかしHTTPSリダイレクトの設定が正しく設定されていないと、HTTPでサイトにアクセスすることができてしまい、HTTPSの意味がなくなるという事態を引き起こします。これは平文での通信が行われ、情報漏洩のリスクを高める、という事態に繋がります。以降では、HTTPSリダイレクトを設定しないことの問題点、HSTSとHTTPSリダイレクト相違点、HTTPSリダイレクトの有…
2023年5月31日
TLS1.3の設定方法を結論から言うと、「”TLSv1.3” の記述を、NginxやApacheなどの各Webサーバーソフトの設定ファイルのssl_protocolsディレクティブに、追記すること」となります。以下に具体的な手順を説明します。
2024年3月15日
この記事では、Subresource Integrity（SRI）が設定されていない場合に生じる問題点について説明します。SRIが欠如していると、以下のリスクが発生する可能性があります。まず、外部のソースが不正に変更され、ユーザーのブラウザでマルウェアが実行される可能性があります。また、信頼できるソースから提供されるリソースが改ざんされることで、ソースの信頼性が低下し、ユーザーのデータやセキュリティが危険にさらされる可能性があります。
2023年5月31日