直す — 集中管理と、既定拒否

前の2章で開けた穴——水平(/orders/1002)と垂直(/admin/users)——を、両方塞ぎます。vuln-portal.js を直していきます。

法と倫理ゲート

手を動かす前に

このコースは攻撃の技術に触れます。実習してよい相手は、次の3つだけです。

• (a) 自分で作った練習用のやられ環境(このサイトが配る自作ターゲット)
• (b) あなた自身の許可された環境(自分の Thousand SKY・secret-notes-ctf など)
• (c) CTF 競技の中(規約の範囲で)

実在する第三者のシステムを許可なく触ることは、不正アクセス禁止法に触れます。 このゲートは、その線引きを毎回の入口で確かめるためのものです。詳しくは「セキュリティの法と倫理」へ。

上の (a)(b)(c) の範囲だけで実習することに同意します。

直し1 — 水平: 所有者を確かめる

/orders/:id に、旗艦の IDOR と同じ所有者チェックを入れます。資源を返す直前で、その注文が本人のものかを確かめ、違えば 403。

const order = ORDERS.find((o) => o.id === Number(m[1]));
if (!order) { send(res, 404, { error: 'ありません' }); return; }
// 直したあと(水平): 本人の注文でなければ 403。
if (order.owner !== uid) { send(res, 403, { error: 'この注文を見る権限がありません' }); return; }
send(res, 200, order);

直し2 — 垂直: ロールを確かめる

/admin/users に、ロールチェックを入れます。管理者でなければ 403。

if (url.pathname === '/admin/users') {
  if (!uid) { send(res, 401, { error: 'ログインしてください' }); return; }
  // 直したあと(垂直): 管理者ロールでなければ 403。
  if (USERS[uid].role !== 'admin') { send(res, 403, { error: '管理者権限が必要です' }); return; }
  send(res, 200, Object.entries(USERS).map(([id, u]) => ({ id, ...u })));
  return;
}

再検証 — 同じ攻撃を、両方

サーバを再起動して、前2章の攻撃をそのまま繰り返します。

http://127.0.0.1:3600/login?as=t1
http://127.0.0.1:3600/orders/1002      → 403(この注文を見る権限がありません)
http://127.0.0.1:3600/admin/users      → 403(管理者権限が必要です)

どちらも 403 で弾かれます。念のため、正規の動きも確かめます——太郎は自分の注文 /orders/1001 は見られる、管理者(/login?as=admin)なら /admin/users が見られる。権限のある人だけが通る、正しい状態です。

ここで満足しない — 設計に畳む

エンドポイントごとに if を足して回るのは、直しとしては正しいのですが、危うさが残ります。

だから、設計を2つの原則に寄せます。

つまり、「うっかり通してしまう」設計から、「うっかり止まる」設計へ。認可は、書き忘れが即・穴になる領域だからこそ、個人の注意力ではなく仕組みで守ります。

ロールが増えたら — RBAC / ABAC

権限が「一般/管理者」の2つで済むうちは単純ですが、現実は「編集者」「閲覧のみ」「経理だけ」…と増えます。

持ち帰る一言

認可は、集中して・既定は拒否。 資源を返す直前で所有者とロールを確かめ、そのチェックを一箇所に集め、何も書かなければ拒否される設計にする。個人の「書き忘れないこと」に頼らない。これで水平・垂直の両方を根から塞げます。次はまとめて、サーバサイドの深い穴へ送り出します。