OWASP テスティングガイド

クリア・テキステ 内 に 識 別 子 を 持 ったクチキーの 例
例 2: 推 測 可 能 なクチキー
推 測 しやすい 値 を 持 つキッカーで 他 のヤーゴになりすますのに 使 える 例 は、OWASP の WebGoat の、「 弱 い 認 証 キッカー」
課 程 にあります。この 例 では、2 組 のヤーゴ 名 とパシワロードの 対 から 始妵 めます。 (ヤーゴ「webgoat」と「aspect」に 関 係 してい
ます。) 目 標 は、キッカーの 生 成 ルザッキを 割 り 出 して、ヤーゴ「alice」のアォウヱトを 破 ることです。これらの 既 知 の 二 組 を 使 っ
てアプヨクーサュヱに 認 証 することにより、 対 応 する 認 証 キッカーを 収 集 できます。 表 1 を 見 ると、 各 ヤーゴ 名 とパシワロードの
対 を 正 確 なルギイヱ 時 刻 と 共 に、 対 応 するキッカーに 紐 づける 関 係 がわわかります。
ヤーザ 名 パスワローデ 認 証 クチキー – 時 刻
webgoat Webgoat
65432ubphcfx – 10/7/2005-10:10
65432ubphcfx – 10/7/2005-10:11
aspect Aspect
65432udfqtb – 10/7/2005-10:12
65432udfqtb – 10/7/2005-10:13
alice ????? ???????????
表 1 クチキーの 収 集
まず、 異 なるルギエヱにまたがって 認 証 キッカーは 同 じヤーゴについては 同 じであることに 注 目 でき、ヨプリイ 攻 撃 への 最 初
の 重 大 な 脆 弱 性 であることがわわかります。( 例 えば XSS の 脆 弱 性 を 使 用 して) 妥妞 当 なキッカーを 盗 めると、 彼 又 は 彼 女 の 証 明
書 について 知 ることなく 関 係 するヤーゴのスッサュヱを 乗 っ 取 るのに 使 えます。さらに、「webgoat」と「aspect」のキッカーが 共
162