OWASP テスティングガイド

• アプヨクーサュヱで 使 わわれている 既 知 のファイラ 拡 張 子婡 ( 例 jsp、 aspx、 html)を 特牐 定 し、 基 本 的 な 単 語 ヨシトにそれ
ぞれの 拡 張 子婡 を 連連 結 して 使 用 して 下 さい。( 時 間 が 許 すなら、 一 般 的 な 拡 張 子婡 の 長 いヨシトを 使 用 して 下 さい。)
• 他 の 列 挙 技 法 により 特牐 定 したファイラを 使 い、そのファイラ 名 から 派 生 するォシソボイジした 単 語 ヨシトを 作 成 して
下 さい。 一 般 的 なファイラ 拡 張 子婡 のヨシトを 取 得 して 下 さい。 (~、bak、txt、src、dev、old、inc、orig、copy、tmp など
を 含 めて 下 さい。) 各 拡 張 子婡 を、 実 際 のファイラ 名 の 拡 張 子婡 の 前 、あるいは、 後 、 置 換 に 使 用 して 下 さい。
注 釈 8Windows のファイラケピー 操 作 によって、「ケピー ~|」がファイラ 名 の 先 頭 に 付 きます。したがって、ファイラ 拡 張 子婡 は
変 更 されません。「ケピー ~|」ファイラは、 典 型 的 に、アキスシされてもセーシケードは 漏 えいしませんが、 実 行 時 にウョーが
発 生 すると、 攻 撃 に 使 わわれる 情 報 を 漏 らしてしまいます。
(iv) サーバの 脆 弱 性 と 設 定 ミスから 得 られる 情 報
コーバの 設 定 ポシが 原 因 で、 参 照 されないヘーザを 漏 えいさせてしまう 代 表 的 なものに、ディリキトヨヨシティヱギがあります。
ディリキトヨヨシティヱギが 可 能 であるか 確 認 するため、すべての 列 挙 されたディリキトヨをヨキウシトして 下 さい。 個 々のウェブ
コーバには、 膨 大 な 数 の 脆 弱 性 が 見 つかっており、 攻 撃 者 に 下 記 のような 参 照 されないケヱテヱツを 列 挙 されてしまいま
す。 8
• Apache ?M=D ディリキトヨヨシティヱギ 脆 弱 性
• 様 々な IIS シキヨプトセーシ 漏 えい 脆 弱 性
• IIS WebDAV ディリキトヨヨシティヱギ 脆 弱 性
(v) 一 般 に 利 用 可 能 な 公 開 情 報 の 利 用
イヱソーネットに 公 開 されているウェブアプヨクーサュヱには、アプヨクーサュヱ 自 体 から 参 照 されていなくても、 他 の 公 開 領
域 から 参 照 されているヘーザがあるかもしれません。 下 記 のような 様 々な 参 照 元 があります。8
• 以 前 参 照 されていたヘーザが、イヱソーネットの 検 索 ウヱザヱのカメッサャにまだ 存 在 するかもしれません。 例 えば、
1998results.asp は、 会 社 の web コイトからは 既 にヨヱキが 張 られていないかもしれませんが、まだコーバ 上 にあり、
検 索 ウヱザヱのカメッサャに 存 在 するかもしれません。この 古 いシキヨプトはコイト 全 体 を 侵 害 する 脆 弱 性 を 含 むか
もしれません。 選遥 択 したドミイヱについて Google で 演 算 子婡 site:www.example.com によって 検 索 できるかもしれま
せん。 検 索 ウヱザヱには 多 くの 有 用 な 技 法 があります。それらについては、このオイドの Google ハッカヱギの 節 で
説 明 します。その 節 を 読 み Google についてのシカラを 向 上 して 下 さい。バッキアップファイラは 通 常 どのファイラ
からも 参 照 されませんが、ディリキトヨ 一 覧 がブョウゴで 表 示 できるなら、 検 索 ウヱザヱによって 調 べることが 可 能 か
もしれません。
• 更 に、Google と Yahoo は、ルペットによって 集 めたヘーザについて、カメッサャされたバーザュヱを 保 存 します。
1998results.asp がコーバから 削 除 されたとしても、 検 索 ウヱザヱにはまだ 保 存 されているかもしれません。カメッサ
ャされたバーザュヱは、 現 在 コーバ 上 にある 隠 されたケヱテヱツへの 参 照 先 や 手 掛 かりを 含 むかもしれません。
• アプヨクーサュヱから 参 照 されないケヱテヱツは、 第 三 者 の web コイトからヨヱキされているかもしれません。 例 えば、
第 三 者 のためにエヱョイヱ 決 済 を 処 理 するアプヨクーサュヱは、 通 常 は 顧 客 の web コイトにしかヨヱキがないかもし
れませんが、 様 々なォシソボイジされた 機 能 があります。
110