OWASP テスティングガイド

4.10 ウェブサーパステステ
SOA(Service Orientated Architecture'、あるいは、ウェブコービシ・アプヨクーサュヱは、 将 来 有 望 なサシテマであり、ビザネ
シの 相 互 運遀 用 を 可 能 にするとともに、これまでになく 急 成 長 しています。ウェブコービシの 真 の「キョイアヱト」とは、 多 くの 場
合 、ヤーゴが 目 の 当 たりにするウェブではなく、サシテマの 背 後 で 稼 動 するコーバとなります。ウェブコービシは、HTTP、FTP、
SMTP、MQ といった 通 信 プルトケラを 利 用 する 他 のコービシと 同 様 、ネット 上 でさらされています。ウェブコービシのしくみは、
( 一 般 的 なウェブアプヨクーサュヱのように'XML、SOAP、WSDL、UDDI の 技 術 と 連連 携 して HTTP プルトケラを 利 用 します。
• 「WSDL(Web Services Description Language、ウェブコービシ 記 述 言 語 '」は、コービシのイヱソーフェーシを 記 述 す
るために 使 わわれます。
• 「SOAP(Simple Object Access Protocol'」は、XML と HTTP を 使 って、ウェブコービシとキョイアヱト・アプヨクーサュヱ
との 間 を 通 信 する 手 段 を 提 供 します。
• 「UDDI(Universal Description、 Discovery and Integration'」は、 潜 在 的 なキョイアヱトから 発 見 されるように、ウェブ
コービシとその 特牐 徴 を 登 録 し 公 開 するために 使 わわれます。
ウェブコービシが 内 包 する 脆 弱 性 には、SQL イヱザェキサュヱ、 情 報 公 開 や 情 報 漏 えいといった、 他 のコービシも 持 っている
脆 弱 性 があります。その 上 、ウェブコービシでは、XML や 構 文 解 析 ツーラに 関 する 特牐 有 の 脆 弱 性 もあり、ここでは、それら
の 脆 弱 性 についても 論 じます。
次 の 記 事 は、ウェブコービシテシトについて 記 述 します。
4.10.1 ウェブコービシの 情 報 収 集 (OWASP-WS-001)
4.10.2 WSDL のテシト (OWASP-WS-002)
4.10.3 XML 構 造造 テシト (OWASP-WS-003)
4.10.4 XML ケヱテヱツ・リプラテシト (OWASP-WS-004)
4.10.5 HTTP GET パョミーソ/REST テシト (OWASP-WS-005)
4.10.6 いたずらな SOAP 添 付 ファイラ (OWASP-WS-006)
4.10.7 ヨプリイテシト (OWASP-WS-007)
4.10.1 ウェブサーパスの 情 報 収 集 (OWASP-WS-001)
概 要
ウェブコービシテシトを 実 施 する 第 一 段 階 は、ウェブコービシへの 侵 入 点 と 通 信 方 式 を 確 定 することです。このことについて
は、ウェブコービシに 関 連連 する WSDL に 言 及 するときに 説 明 します。
ブラチクボチクステステと 例
ズロ 知 識
通 常 、あなたがウェブコービシにアキスシするには、WSDL のパシを 知 っていることでしょう。しかし、もし、そのコービシに 関
する 情 報 を 持 っていないならば、あなたは、UDDI を 使 って 目 的 のコービシを 見 つけなければならないでしょう。ウェブコー
306