OWASP テスティングガイド

サシテマケボヱドの 出 力 を 組 み 込 みます。
したがって、ウェブコーバの SSI コホートが 有 効 な 場 合 、コーバはこうしたディリキティブをペディの 中 やブッゾ 内 でパーシし
ます。 通 常 、デフェラトの 設 定 ではほとんどのウェブコーバはサシテマケボヱドを 実 行 する exec ディリキティブの 使 用 を 許 可
していません。
全 ての 入 力 バヨデーサュヱ 不 備 の 状牮 況 と 同 様 に、ウェブアプヨクーサュヱのヤーゴがアプヨクーサュヱを 作 るデーソを 提 供 す
ることを 許 可 されていたり、ウェブコーバ 自 身 が 不 測 の 動 きをしたりする 場 合 に 問 題 が 発 生 します。SSI イヱザェキサュヱと 言
えば、 攻 撃 者 は 動 的 に 生 成 されるヘーザに 入 力 でき、アプヨクーサュヱによって(あるいはコーバから 直 接 ) 挿 入 されると SSI
ディリキティブとしてパーシされます。
古 典 的 なシキヨプト 言 語 イヱザェキサュヱ 問 題 によく 似 た 問 題 です。SSI ディリキティブは 本 当 のシキヨプト 言 語 に 匹 敵 するもの
ではなく、ウェブコーバが SSI を 許 可 するように 設 定 されている 必 要 があるため、おそらくそれほど 危 険 ではありません。しか
し、SSI ディリキティブは 理 解 しやすく、ファイラの 内 容 を 表 示 したりサシテマケボヱドを 実 行 したりできるほど 強 力 であるため、
悪 用 はより 簡 単 です。
ブラチクボチクステステ
ブョッキペッキシ 的 にテシトを 行 うときに 行 うべき 最 初 のことは、ウェブコーバが 実 際 に SSI ディリキティブをコホートしている
かどうかを 確 認 することです。SSI コホートは 非 常 に 一 般 的 なので、ほぼ 確 実 に 答 えは”yes”です。 古 典 的 な 情 報 収 集 テキニ
ッキを 使 ってどんな 種 類 のウェブコーバが 対 象 で 動 いているかをつかむだけでこれを 確 認 できます。
この 情 報 の 発 見 に 成 功 するかどうかに 関 わわらず、テシト 対 象 のウェブコイトのケヱテヱツを 見 るだけで SSI がコホートされて
いるかどうかの 推 測 ができます。.shtml ファイラがあれば、この 拡 張 子婡 はこうしたディリキティブを 含 んでいるヘーザを 特牐 定
するのに 使 用 されるので、SSI はおそらくコホートされています。 残 念 ながら、shtml 拡 張 子婡 は 必 須 ではないので、shtml ファ
イラを 全 く 発 見 できなくても、 対 象 が SSI イヱザェキサュヱ 攻 撃 に 対 して 脆 弱 ではないとは 限 りません。
SSI イヱザェキサュヱ 攻 撃 が 実 際 に 可 能 かどうかを 見 つけるためだけでなく、 不 正 なケードの 挿 入 に 使 える 入 力 ホイヱトを 特牐
定 するために、 次 のシテップに 進逭 みましょう。
このシテップは、 他 のケードイヱザェキサュヱの 脆 弱 性 のテシトに 必 要 なテシトと 全 く 同 じです。ヤーゴが 何 らかの 入 力 を 送 信
できるヘーザを 全 て 見 つけ、アプヨクーサュヱが 送 信 された 入 力 を 適遚 切 に 検 証 しているかどうかを 確 認 し、そうでない 場 合 に
は 変 更 されずに(ウョーミッスーザやフェーョマの 書 き 込 みとして) 表 示 されるデーソを 送 れるかどうかを 確 認 します。 通 常 の
ヤーゴ 提 供 デーソの 他 に、 入 力 プキトラとして HTTP ヨキウシトブッゾやキッカーの 内 容 も 考 えられます。これらは 簡 単 に 偽
造造 できます。
イヱザェキサュヱホイヱト 候 補 のヨシトができたら、 入 力 が 正 しく 検 証 されるかどうかをタェッキし、ウェブコイトのどこに 送 信 し
たデーソが 表 示 されるかを 見 つけます。 以 下 のような SSI ディリキティブで 使 用 される 文 字 がアプヨクーサュヱを 通 り 抜 け、コ
ーバによってどこかでパーシされるようにしなければなりません。
< ! # = / . " - > and [a-zA-Z0-9]
検 証 不 足 の 悪 用 は、 入 力 フェーマで 以 下 のようなシトヨヱギを 送 る 程 度 の 簡 単 さです。
264