OWASP テスティングガイド

OWASP Testing Guide v3.0
さらに 多 くの 情 報 についてはこちらを 御 覧 ください: キッカーの 属 性 のテシト
参 考 文 献
ホワロアテペーパー
• RFC 2965 「HTTP 状牮 態 管 理 機 構 (“HTTP State Management Mechanism”)」
• RFC 1750 「スカャヨティのための 不 規 則 性 の 推 奨 (“Randomness Recommendations for Security”)」
• 「シトリヱザ・アトョキソと TCP/IP サークヱシ 番 号 分 析 (“Strange Attractors and TCP/IP Sequence Number Analysis”)」:
http://www.bindview.com/Services/Razor/Papers/2001/tcpseq.cfm
• 相 関 係 数 (Correlation Coefficient): http://mathworld.wolfram.com/CorrelationCoefficient.html
• ENT: http://fourmilab.ch/random/
• http://seclists.org/lists/fulldisclosure/2005/Jun/0188.html
• Darrin Barrall: 「 自 動 化 キッカー 分 析 ("Automated Cookie Analysis")」–
http://www.spidynamics.com/assets/documents/SPIcookies.pdf
• Gunter Ollmann: 「ウェブ・プーシのスッサュヱ 管 理 ("Web Based Session Management")」-
http://www.technicalinfo.net
• Matteo Meucci:「MMS 詐 欺 ("MMS Spoofing")」- www.owasp.org/images/7/72/MMS_Spoofing.ppt
ヂール
• OWASP の WebScarab はスッサュヱ・トーキヱの 分 析 機 構 を 特牐 徴 としています。「スッサュヱ 識 別 子婡 の 強 度 を Web Scarab でテシト
する 方 法 」をお 読 みください。
• Foundstone CookieDigger - http://www.foundstone.com/resources/proddesc/cookiedigger.htm
4.5.2 クチキーの 属 性 のテステ(OWASP-SM-002)
概 要
キッカーは、( 典 型 的 には 他 のヤーゴをねらう) 悪 意 を 持 ったヤーゴにとって、 鍵 となる 攻 撃 の 担 体 であることが 多 く、アプヨク
ーサュヱには 常 にキッカーの 保 護 のための 不 断 の 努 力 を 続 ける 義 務 があります。この 節 では、アプヨクーサュヱがキッカーを
割 り 当 てる 時 に 必 要 な 予 防 措 置 をどのようにとれるか、これらの 属 性 が 正 しく 構 成 されていることをどのようにテシトするかを
見 てゆきます。
165