OWASP テスティングガイド

http:///read_email.php?message_id=4791 BODY[HEADER]%0d%0aV100 CAPABILITY%0d%0aV101
FETCH 4791
これは 以 下 のケボヱドを 生 成 するでしょう:
???? FETCH 4791 BODY[HEADER]
V100 CAPABILITY
V101 FETCH 4791 BODY[HEADER]
ここでは、 以 下 の 通 りです:
Header = 4791 BODY[HEADER]
Body = %0d%0aV100 CAPABILITY%0d%0a
Footer = V101 FETCH 4791
予 想 される 結 果 :
• 任 意 の IMAP/SMTP コマンドインジェクション
参 考 文 献
ホワロアテペーパー
RFC 0821 “Simple Mail Transfer Protocol”.
RFC 3501 “Internet Message Access Protocol - Version 4rev1”.
Vicente Aguilera Díaz: “MX Injection: Capturing and Exploiting Hidden Mail Servers" -
http://www.webappsec.org/projects/articles/121106.pdf
4.8.12 ケーデアンヱジェクシュンヱ (OWASP-DV-012)
概 要
このスキサュヱでは、ケードをウェブヘーザに 入 力 してウェブコーバに 実 行 させることができるかどうかをどのようにしてタェッ
キすることができるかについて 説 明 します。ケードイヱザェキサュヱについての 詳 細 はここに 記 載 されています:
http://www.owasp.org/index.php/Code_Injection
この 問 題 の 説 明
ケードイヱザェキサュヱのテシトでは、ウェブコーバ 上 で 動 的 ケードとして、あるいはイヱキラードされたファイラ 内 で 処 理 され
るケードをコブポットします。このテシトでは、ASP、 PHP 等 様 々なコーバコイドシキヨプトウヱザヱを 対 象 とします。こうした 攻
撃 から 守 るためには 適遚 切 なバヨデーサュヱやスカャアケーディヱギの 実 施 が 必 要 です。
ブラチクボチクステステ 及 びびその 例
PHP アンヱジェクシュンヱの 脆 弱 性 のテステ:
以 下 のようなキウヨシトヨヱギを 使 って、テシソーはケード(この 例 では 不 正 な URL)をイヱキラードされたファイラの 一 部邪 として
処 理 されるよう 挿 入 することができます:
272