OWASP テスティングガイド

ComplexObject[] anArray = new ComplexObject[NumOfObjects]; // wrong!
ブラチクボチクステステ 及 びびその 例
テシソーは、 上 記 のようにアプヨクーサュヱケード 内 で 使 用 される 名 前 と 値 のヘアとして 数 値 が 送 信 されるところを 探 します。
その 値 に 非 常 に 大 きな 数 値 を 設 定 し、コーバの 反 応 が 続 いているかどうか 確 認 します。 割 り 当 てを 続 ける 間 、コーバのパフ
ェーボヱシが 落 ち 始妵 めるまで 少 しの 間 待 つ 必 要 があるかもしれません。
上 記 の 例 では、”numberofobjects”という 名 前 と 値 のヘアでコーバに 大 きな 数 値 を 送 ることによってコーブリットは 多 くの 複
雑 なエブザェキトを 作 成 しようとします。ほとんどのアプヨクーサュヱではヤーゴの 直 接 入 力 をこうした 目 的 で 使 用 しませんが、
この 脆 弱 性 の 例 は hidden フィーラドや、フェーマが 送 信 されるときにキョイアヱト 上 の JavaScript 内 で 計 算 された 値 を 使 っ
た 場 合 に 見 られます。
アプヨクーサュヱにおいてこのソイプの 攻 撃 用 のプキトラとして 使 用 される 数 値 フィーラドがない 場 合 、 同 様 の 結 果 は 連連 続 的
にエブザェキトを 割 り 当 てることによって 実 現 できるかもしれません。 注 目 すべき 例 としては、E ケボーシコイトがあります。ア
プヨクーサュヱによってヤーゴの 電 子婡 ォート 内 のアイテマ 数 の 上 限 がどの 時 点 においても 設 定 されていない 場 合 、ォートエ
ブザェキトがコーバのミムヨをいっぱいにするまでヤーゴのォートにアイテマを 追 加 し 続 けるシキヨプトを 書 くことができます。
ギレーボチクステステ 及 びびその 例
アプヨクーサュヱの 内 部邪 についてある 程 度 詳 細 に 知 っていれば、ヤーゴによって 割 り 当 てられるエブザェキトの 場 所 を 知 るの
に 役 立 つかもしれません。ただし、テシト 手 法 はブョッキペッキシテシトと 同 じパソーヱで 行 います。
4.9.5 ループカウンヱタとしてのヤーザ 入 力 (OWASP-DS-005)
概 要
このテシトでは、 全 体 のパフェーボヱシを 悪 化 させるために、アプヨクーサュヱに 対 して 高 いケヱピャーティヱギヨセーシが 必
要 なケードスギミヱトをラープさせることができるかどうかをタェッキします。
この 問 題 の 説 明
前 述 したヤーゴが 指 定 したエブザェキトの 割 り 当 ての 問 題 と 同 様 に、ヤーゴが 直 接 あるいは 間 接 的 にラープ 機 能 のォウヱ
ソとして 使 用 される 値 を 指 定 できる 場 合 、コーバに 対 してパフェーボヱシの 問 題 を 引 き 起 こすことができる 可 能 性 があります。
以 下 は Java で 書 かれた 脆 弱 なケードの 例 です:
public class MyServlet extends ActionServlet {
public void doPost(HttpServletRequest request, HttpServletResponse response)
throws ServletException, IOException {
. . .
String [] values = request.getParameterValues("CheckboxField");
// Process the data without length check for reasonable range – wrong!
for ( int i=0; i