OWASP テスティングガイド

OWASP Testing Guide v3.0
例 2:
この 例 は、アプヨクーサュヱにルギイヱする 際 の POST ヨキウシトを 示 しています。
サヱプラな POST ヨキウシト:
• POST https://x.x.x.x/KevinNotSoGoodApp/authenticate.asp?service=login
• Host: x.x.x.x
• Cookie:
SESSIONID=dGhpcyBpcyBhIGJhZCBhcHAgdGhhdCBzZXRzIHByZWRpY3RhYmxlIGNvb2tpZXMgYW5kIG1pbmUgaXMg
MTIzNA==
• CustomCookie=00my00trusted00ip00is00x.x.x.x00
POST ミッスーザ 内 のペディ 部邪 :
• user=admin&pass=pass123&debug=true&fromtrustIP=true
注 目 すべきポアンヱテ:
この 例 では、すべてのパョミーソに 対 して 注 目 するのはもちろんのこと、GET ミセッドとは 異 なりそれらが URL 上 ではなくミッ
スーザ 上 のペディ 部邪 によって 渡 される 点 に 特牐 に 注 意 する 必 要 があります。 加 えて、ォシソボイジされた Cookie が 使 用 されて
いる 点 にも 注 目 する 必 要 があります。
ギレアボチクステステとその 事 例
ギリイペッキシテシトによるアプヨクーサュヱウヱトヨホイヱトのテシトは、 上 記 で 説 明 した 方 法 と 同 様 になりますが、1 つ 注 意 点
があります。それは、アプヨクーサュヱが 受 けたデーソを 外 部邪 のヨセーシ( 他 のコーバからの SNMP トョップや、syslog ミッス
ーザ、SMTP、SOAP ミッスーザなど'が 処 理 する 場 合 です。アプヨクーサュヱへの 入 力 に 外 部邪 からのヨセーシが 存 在 する 場 合
は、そのアプヨクーサュヱを 作 成 した 開 発 者 へのヒアヨヱギによって、ヤーゴ 入 力 の 受 入 れや 予 測 をするあらゆる 機 能 に 関 し
ての 情 報 、またそれがどのようにフェーボットされているのかに 関 しての 情 報 を 得 ることにより、 明 確 にすることができます。
例 えば、 開 発 者 はアプヨクーサュヱを 受 入 れる SOAP ヨキウシトに 関 する 情 報 や、その Web コービシについて 明 確 に 説 明 す
ることができます。(たとえブョッキペッキシテシトにより、その Web コービシや 機 能 につい 十 分 把 握 できている 状牮 態 ではなか
ったとしても、です)
参 照
ホワロアテペーパー
• RFC 2616 – Hypertext Transfer Protocol – HTTP 1.1 – http://tools.ietf.org/html/rfc2616
ヂール
プロキシヂール:
• OWASP: Webscarab
• Dafydd Stuttard: Burp proxy – http://portswigger.net/proxy/
65