OWASP テスティングガイド

OWASP Testing Guide v3.0
のあるケヱテヱツには、2048 文 字 のような 過遃 剰 に 長 いパョミーソや、SQL 文 、SQL イヱザェキサュヱ、OS イヱザェキサュヱのパ
ョミーソがあります。'
論 点 解 説
ウェブコービシ REST が、 事 実 上 、HTTP-In -> WS-OUT の 攻 撃 パソーヱにあてはまるならば、オイドのあちらこちらで 論 じてい
るように、 一 般 的 な HTTP 攻 撃 の 方 法 に 非 常 に 類 似 しているものとなります。 例 えば、「/viewDetail=detail-10293」というキ
ウヨー 文 字 列 を 含 んだ、 次 のような HTTP ヨキウシトの 中 では、HTTP GET パョミーソは「detail- 10293」となります。
ブラチクボチクステステと 例
仮 に、 次 のような HTTP GET のキウヨー 文 字 列 を 受 け 取 るウェブコービシがあるとします。
https://www.ws.com/accountinfo?accountnumber=12039475&userId=asi9485jfuhe92
その 結 果 、リシホヱシは 次 とよく 似 たものとなります。
€100
Bank of Bannana account info
この REST ウェブコービシにおけるデーソの 妥妞 当 性 確 認 のテシトは、 一 般 的 なアプヨクーサュヱのテシトと 似 ています。
次 のような 方 法 を 試 してみてください。
https://www.ws.com/accountinfo?accountnumber=12039475' exec master..xp_cmdshell 'net user Vxr
pass /Add &userId=asi9485jfuhe92
ギレーボチクステステと 例
HTTP ヨキウシトを 受 け 取 る 上 で、ケードは 次 のようにすべきです。
確 認 してください。
1. 最 大 長 さと 最 小 長 さ
2. 負 荷 デーソの 妥妞 当 性 確 認 を 行 ってください
3. 可 能 であれば、 次 に 挙 げるデーソの 妥妞 当 性 確 認 戦 略 を 実 装 してください
「exact match」( 完媍 全 一 致 '…… 予 定 した 値 に 完媍 全 に 一 致 した 値 のみを 受 け 入 れます
例 8「A」「B」「C」の 値 のみを 予 定 していたら、その 値 のみを 受 け 入 れます
「known good」…… 完媍 全 一 致 ほどではないが、 受 け 入 れてよい 値 を 受 け 入 れます
例 8[0-9a-zA-Z]の 値 の 範 囲 にある 場 合 は、 受 け 入 れます
323