OWASP テスティングガイド

OWASP Testing Guide v3.0
Set-Cookie: SessionID=noauth; expires=Sat, 01-Jan-2000 00:00:00 GMT; path=/;
domain=victim.com
本 件 についての 第 1 の( 最 も 単 純 な)テシトは、ルギアウトしブョウゴの「 戻 る」ペソヱをキヨッキしても、まだ 認 証 された 状牮 態 か
どうか 確 認 することです。まだ 認 証 された 状牮 態 ならルギアウト 機 能 はスカャアに 実 装 されておらず、ルギアウト 機 能 はスッサュ
ヱ ID を 破 棄 していません。アプヨクーサュヱが 永 続 的 ではないキッカーを 使 い、ヤーゴがブョウゴをキルージすることによりミ
ムヨーからキッカーが 完媍 全 に 削 除 される 場 合 、このようなことが 時 々 発 生 します。これらのアプヨクーサュヱのいくつかは、ヤ
ーゴがブョウゴをキルージするように 警 告 ミッスーザを 表 示 しますが、これはヤーゴの 振 る 舞 いに 完媍 全 に 依 存 するので、キッ
カーを 破 棄 することと 比 較 するとスカャヨティのリプラは 低 くなります。 他 のアプヨクーサュヱは JavaScript によってブョウゴを
キルージしようとしますが、ブョウゴはシキヨプト 実 行 を 制 限 するよう 設 定 されているかもしれません。これもキョイアヱトの 振 る
舞 いに 依 存 するので 本 質 的 にスカャアではありません。(この 場 合 、スカャヨティを 向 上 させる 目 的 の 設 定 が、 結 局 はスカャ
ヨティを 下 げています。) 更 にこれはブョウゴの 製 造造 元 、バーザュヱ、 設 定 に 依 存 します。( 例 えば、JavaScript ケードは、
Internet Explorer を 正 常 にキルージするかもしれませんが、Firefox のキルージに 失 敗 するかもしれません。)
「 戻 る」ペソヱをキヨッキし 前 のヘーザを 表 示 できたとしても、ブョウゴのカメッサャの 中 のヘーザにアキスシしているかもしれま
せん。そのヘーザに 機 密 情 報 があれば、アプヨクーサュヱがブョウゴにカメッサャ 禁 止 を 指 示 しなかったことを 示 しています。
(Cache-Control ブッゾをスットしなかったということです。これは、 後 に 分 析 する 異 なる 種 類 の 問 題 です。)
「 戻 る」ペソヱの 技 法 を 試 した 後 、 次 の 高 度 な 技 法 を 試 して 下 さい。キッカーに 元 々の 値 を 再 設 定 し 認 証 済 みヘーザにアキ
スシできるか 確 認 して 下 さい。それが 可 能 なら、コーバコイドにはキッカーが 有 効 、 無 効 かをトョッカヱギし、アキスシ 許 可 に
際 しキッカーが 正 しいかどうか 判 定 する 機 能 がないということになります。アプヨクーサュヱの 応 答 をイヱソースプトし Set-
Cookie ブッゾを 挿 入 してキッカーの 値 を 設 定 するためには WebScarab が 使 えます。
代 わわりに、ブョウゴにキッカーウディソをイヱシトーラすることもできます。( 例 、Firefox の Add N Edit Cookies)
143