OWASP テスティングガイド

OWASP Testing Guide v3.0
結 果 として、a)アプヨクーサュヱに 必 要 とされないファイラ、b)ウェブコーバが 本 来 のファイラとは 異 なる 処 理 をするかもしれ
ないファイラが 生 成 されます。 例 えば、login.asp のケピーlogin.asp.old を 取 得 すると、login.asp のセーシケードをゾウヱルー
ドすることを 許 可 してしまいます。なぜなら、login.asp.old はその 拡 張 子婡 のため、 実 行 ファイラではなく text/plain として 処 理
されるためです。 別 の 言 い 方 をすれば、login.asp へアキスシすると、login.asp のケードがコーバコイドで 実 行 されます。 一
方 、login.asp.old へアキスシすると、login.asp.old はテカシトとして 返 されブョウゴに 表 示 されます。 一 般 的 に、コーバコイド
のケードを 人 目 にさらすことは 悪 いことです。ビザネシルザッキを 不 必 要 に 人 目 にさらすだけでなく、(パシ 名 、デーソ 構 造造 な
ど) 攻 撃 者 に 有 用 なアプヨクーサュヱ 関 連連 情 報 を 気 がつかないうちに 漏 らしてしまいます。 平 文 のヤーゴ 名 /パシワロードが 埋
め 込 まれた 多 くのシキヨプトが 存 在 することにも 注 意 しなければなりません。(これは 不 注 意 であり、 非 常 に 危 険 な 例 です。)
デーソファイラ、 設 定 ファイラ、ルギファイラのような 種 々のアプヨクーサュヱ 関 連連 のファイラは、ウェブコーバによってアキス
シできるディリキトヨに 格 納 されます。(ヤーゴがブョウゴからアキスシできる 必 要 はなく、)それらはアプヨクーサュヱだけがア
キスシできる 必 要 があり、 通 常 、web 経 由 でアキスシできるファイラサシテマ 空 間 に 存 在 する 必 要 はありません。
脅 威
古 いファイラ、バッキアップファイラ、 参 照 されないファイラが 存 在 すると、ウェブアプヨクーサュヱのスカャヨティに 様 々な 脅
威姕 となります。8
• 参 照 されないファイラから 機 密 情 報 が 漏 れ、アプヨクーサュヱをソーグットにする 攻 撃 が 容 易 になるかもしれません。
その 機 密 情 報 とは、 例 えば、デーソプーシの 認 証 情 報 を 含 むイヱキラードファイラ、 他 の 隠 されたケヱテヱツへの
参 照 先 を 含 む 設 定 ファイラ、 絶 対 ファイラパシなどです。
• 参 照 されないヘーザは、アプヨクーサュヱを 攻 撃 するために 使 わわれえる 強 力 な 機 能 を 含 むかもしれません。 例 えば、
管 理 者 ヘーザは、 公 開 ケヱテヱツからヨヱキが 張 られていなくても、それがどこにあるか 知 っているヤーゴはアキス
シできます。
• 古 いファイラとバッキアップファイラは、 最 近 のバーザュヱでは 修 正 済 みである 脆 弱 性 を 含 むかもしれません。 例 え
ば、viewdoc.old.jsp はディリキトヨトョバーコラ 脆 弱 性 を 含 み、viewdoc.jsp ではその 脆 弱 性 が 修 正 されているかも
しれません。 古 いバーザュヱのファイラが 見 つけられれば、 悪 用 されてしまいます。
• バッキアップファイラから、コーバコイドで 実 行 されるように 設 計 されたセーシケードが 漏 えいするかもしれません。
例 えば、viewdoc.bak をヨキウシトすると viewdoc.jsp のセーシケードが 返 されるとすると、 実 行 可 能 なヘーザにョヱ
ゾマにヨキウシトすることでは 見 つけ 難 い 脆 弱 性 を 見 つけることができるかもしれません。この 脅 威姕 は 明 らかに Perl、
PHP、ASP、サェラシキヨプト、JSP などのシキヨプト 言 語 に 適遚 用 されます。しかし、 下 記 の 例 に 示 すようにそれらに 限 定
されません。
• バッキアップアーォイブは、web ラート 内 外 のすべてのファイラケピーを 含 むかもしれません。これによって、 攻 撃
者 は、 参 照 されないヘーザ、セーシケード、イヱキラードファイラなどを 含 めアプヨクーサュヱ 全 体 をすばやくウポャ
リーサュヱできます。 例 えば、あなたが servlet のイヱプヨミヱテーサュヱキョシ(のバッキアップケピー)を 含 む
myservlets.jar.old というファイラの 存 在 を 忘 れてしまったなら、 逆 ケヱパイラとヨバーシウヱザニアヨヱギによって 多
くの 機 密 情 報 を 漏 らしてしまいます。
• ある 場 合 にはファイラのケピーと 編 集 によってファイラ 拡 張 子婡 は 変 わわらずファイラ 名 が 変 わわります。 例 えば、
Windows 環 境 において、ファイラケピー 操 作 によって「ケピー ~| 」が 先 頭 に 付 くファイラ 名 を 生 成 します。ファイラ
拡 張 子婡 は 変 更 されないので、これはウェブコーバによって 実 行 可 能 ファイラがプリイヱテカシトとして 返 されるクー
シではありません。したがって、セーシケードが 漏 えいするクーシではありません。しかし、これらのファイラは 古 く 不
107