OWASP テスティングガイド

OWASP Testing Guide v3.0
script]]>alert('xss')/script]]>
解 析 の 段 階 で CDATA ソギを 除 去 し、 以 下 の 値 を HTML に 挿 入 します。
alert('XSS')
この 場 合 、アプヨクーサュヱが XSS の 脆 弱 性 にさらされます。したがって、 入 力 バヨデーサュヱフィラソを 避遪 けるために CDATA
ソギ 内 に 何 らかのケードを 挿 入 することができます。
実 体 : DTD を 使 って 実 体 を 定 義 することができます。&.のような 実 体 名 が 実 体 の 例 です。URL を 実 体 として 特牐 定 することがで
きます。このようにして、XML 外 部邪 実 体 (XEE)で 脆 弱 性 の 可 能 性 を 作 りだします。したがって、 最 後 のテシトを 以 下 の 文 字 列
で 形 成 します。
]>&xxe;
このテシトは 無 限 の 文 字 数 で 実 体 を 生 成 しようとするため、ウェブコーバ(Linux サシテマ)を 停 止 させる 可 能 性 があります。テ
シトは 以 下 の 通 りです。
]>&xxe;
]>&xxe;
]>&xxe;
]>&xxe;
こうしたテシトの 目 的 は XML デーソプーシの 構 造造 についての 情 報 を 得 ることです。こうしたウョーを 分 析 すると、 使 用 してい
る 技 術 に 関 連連 した 有 用 な 情 報 を 多 く 得 ることができます。
タギ 挿 入
最 初 のシテップを 完媍 了 すると、テシソーは XML 構 造造 についての 情 報 をいくらか 得 られるので、XML デーソとソギの 挿 入 を 試
みることができます。
上 述 の 例 を 考 えます。 以 下 の 値 を 挿 入 すると、
Username: tony
Password: Un6R34kb!e
E-mail: s4tan@hell.com0s4tan@hell.com
261