OWASP テスティングガイド

OWASP Testing Guide v3.0
問 題 の 記 述
テシト 者 は、すべての 詳 細 な 役 割 について 評 価 中 保 持 し、アプヨクーサュヱが 実 行 するすべての 機 能 とヨキウシトについて
認 証 後 の 段 階 の 間 保 持 します。 以 下 を 検 証 する 必 要 があります:
• 仮 にヤーゴが 認 証 されていないとしても、そのヨセーシにアキスシすることは 可 能 ですか?
• ルギアウト 後 にヨセーシにアキスシすることは 可 能 ですか?
• 異 なる 役 割 / 特牐 権 を 保 持 しているヤーゴにとって、アキスシ 可 能 であるべき 機 能 やヨセーシへ、アキスシすることは 可
能 ですか?
• 管 理 ヤーゴとしてアプヨクーサュヱへのアキスシを 試 み、すべての 管 理 機 能 を 追 跡 してください。テシト 者 が 標 準 的
な 特牐 権 を 持 ったヤーゴとしてルギイヱする 場 合 にも、 管 理 機 能 にアキスシすることはできますか?
• 異 なる 役 割 を 持 つヤーゴにとって、そして 活 動 が 拒 否 されるべきヤーゴにとって、これらの 機 能 を 使 うことは 可 能 で
すか?
ブラチクボチクステステと 例
管 理 機 能 のテステ
例 えば、「AddUser.jsp」 機 能 がアプヨクーサュヱの 管 理 ミニャーの 一 部邪 であるとして、 以 下 の URL をヨキウシトすることでそれ
にアキスシできるとしましょう:
https://www.example.com/admin/addUser.jsp
すると、AddUser 機 能 を 呼 び 出 す 際 、 以 下 の HTTP ヨキウシトが 生 成 されます:
POST /admin/addUser.jsp HTTP/1.1
Host: www.example.com
[ 他 の HTTP ブッゾ]
userID=fakeuser&role=3&group=grp001
非 管 理 ヤーゴがそのヨキウシトの 実 行 を 試 みたら 何 が 起 こりますか? そのヤーゴは 生 成 されますか? その 場 合 、 新 たなヤー
ゴは 彼 女 の 特牐 権 を 使 えますか?
異 なる 役 割 に 割 り 当 てられたリセースへのアクススのテステ
例 えば、 異 なるヤーゴのために 一 時 PDF ファイラを 格 納 するため、 共 有 ディリキトヨを 使 用 するアプヨクーサュヱを 分 析 して
ください。 役 割 A を 持 ったヤーゴ test1 によってだけアキスシ 可 能 であるべきドカャミヱト ABC.pdf を 考 えてみましょう。 役 割
B を 持 ったヤーゴ test2 がそのヨセーシにアキスシできるか 検 証 してください。
期 待 される 結 果 :
標 準 ヤーゴとして、 管 理 機 能 の 実 行 や 管 理 ヨセーシへのアキスシを 試 みてください。
参 考 文 献
ヂール
185