OWASP テスティングガイド

OWASP Testing Guide v3.0
ギレーボチクステステとその 例
古 いバッキアップファイラについて、ギリーペッキシテシトでは、ウェブアプヨクーサュヱのウェブコーバのディリキトヨに 含 ま
れるファイラをテシトして 下 さい。 理 論 的 には 手 作 業 のテシトが 必 要 と 考 えれれていますが、たいていの 場 合 、バッキアップ
は 同 じ 名 前 付 けの 慣 習 によって 作 れられるので、 検 索 は 簡 単 に 自 動 化 できます。( 例 えば、ウディソは 認 識 可 能 な 拡 張 子婡 を
付 けてバッキアップを 残 します。 人 手 でのバッキアップにおいては、「.old」 等 の 拡 張 子婡 を 付 ける 傾 向 があります。) バッキアッ
プがあるか 確 認 するため、 定 期 的 にバッキギョウヱドザュブによりテシトするとよく、 長 期 的 には 人 手 によって 同 様 に 確 認 する
ほうがよいです。
参 考 情 報
ヂール
ほとんどの 脆 弱 性 テシトツーラは、 標 準 的 な 名 前 (admin、test、backup など)が 付 いている web ディリキトヨを 発 見
すること、ディリキトヨヨシティヱギの 有 無 の 確 認 ができます。ディリキトヨヨシティヱギが 無 ければ、バッキアップファイ
ラの 拡 張 子婡 についてテシトしてみて 下 さい。Nessus (http://www.nessus.org)、Nikto
(http://www.cirt.net/code/nikto.shtml)、それから 新 しく 派 生 し Google ハッカヱギに 対 応 している Wikto
(http://www.sensepost.com/research/wikto/)について 確 認 して 下 さい。
web シパイゾツーラ8 wget (http://www.gnu.org/software/wget/、
http://www.interlog.com/~~tcharron/wgetwin.html); Sam Spade (http://www.samspade.org); Spike proxy に は
web コイトのキルーョ 機 能 があります。(http://www.immunitysec.com/spikeproxy.html); Xenu
(http://home.snafu.de/tilman/xenulink.html); curl (http://curl.haxx.se). これらのいくつかは、 標 準 的 な Linux デ
ィシトヨビャーサュヱにも 含 まれています。
通 常 、 開 発 ツーラには、ヨヱキ 切 れと 参 照 されないファイラを 特牐 定 する 機 能 があります。
4.3.7 アンヱフラステラクタメとアプリクーシュンヱ 管 理 アンヱタフェース (OWASP-CM-007)
概 要
コイトの 管 理 作 業 をするための 管 理 者 イヱソフェーシが、アプヨクーサュヱあるいはアプヨクーサュヱコーバにあるかもしれま
せん。そこに、 認 証 されていないヤーゴ、あるいは、 一 般 ヤーゴがアキスシできるかどうか、アキスシできるならどのようにアキ
スシできるか、を 確 認 して 下 さい。
解 説
権 限 のあるヤーゴがコイトを 変 更 する 機 能 にアキスシためには、アプヨクーサュヱにおいて 管 理 者 イヱソフェーシを ON にす
る 必 要 があるかもしれません。 下 記 にそのような 変 更 の 例 を 示 します。8
- ヤーゴアォウヱト・プルザュニヱギ
- コイト 設 計 とリイアウト
- デーソ 操 作
- 設 定 変 更
111