OWASP テスティングガイド

OWASP Testing Guide v3.0
参 考 情 報
• デフェラトパシワロードのヨシト8
http://www.governmentsecurity.org/articles/DefaultLoginsandPasswordsforNetworkedDevices.php
4.3.8 HTTP ミセチデと XST についてのテステ(OWASP-CM-008)
概 要
HTTP にはウェブコーバのアキサュヱ 実 行 に 使 用 される 多 くのミセッドがあります。それらのミセッドの 多 くは、HTTP アプヨクー
サュヱの 開 発 及 びテシトにおいて 開 発 者 を 支 援 するためのものです。ウェブコーバの 設 定 が 間 遊 っていると、それら HTTP ミ
セッドが 悪 用 されるかもしれません。 加 えて、Cross Site Tracing (XST)、つまり、HTTP TRACE ミセッドを 使 ってのキルシコイトシキ
ヨプティヱギについて 調 べて 下 さい。
解 説 の 概 要
GET と POST はウェブコーバによって 提 供 される 情 報 へアキスシするために 最 も 広 く 使 用 されるミセッドです。Hyper Text
Transfer Protocol (HTTP)には 他 に 多 くの(あまり 知 られていない)ミセッドがあります。 ( 今 日 標 準 となっている HTTP Version
1.1 について 規 定 している)RFC 2616 は 下 記 8 つのミセッドを 定 義 しています。8
• HEAD
• GET
• POST
• PUT
• DELETE
• TRACE
• OPTIONS
• CONNECT
これらのミセッドのいつくかは、 攻 撃 者 がウェブコーバ 上 のファイラを 改 ざんするため、あるサナヨエでは 正 当 なヤーゴの 認
証 情 報 を 搾 取 するために 使 わわれるので、 潜 在 的 にウェブアプヨクーサュヱにとってスカャヨティヨシキです。 具 体 的 には 下 記
ミセッドを disable にするべきです。8
• PUT8このミセッドは、キョイアヱトがウェブコーバに 新 しいファイラをアップルードするために 使 わわれます。(cmd.exe
を 呼 び 出 しケボヱドを 実 行 する asp ファイラなど) 悪 意 のあるファイラをアップルードするためや、 単 純 に 犠牢 牲牌 者 の
コーバをファイラコーバとして 使 用 するため、 攻 撃 者 はこのミセッドを 不 正 に 使 用 します。
• DELETE8このミセッドは、キョイアヱトがウェブコーバ 上 のファイラを 削 除 するために 使 わわれます。 非 常 に 単 純 で 直
接 的 に web コイトが 閲 覧 できないようにしたり、DoS 攻 撃 をするため、 不 正 に 使 用 されます。
113