OWASP テスティングガイド

参 照
ホワイトペーパ
• Saumil Shah: “An Introduction to HTTP fingerprinting” – http://net-square.com/httprint/httprint_paper.html
ツール
• httprint - http://net-square.com/httprint/index.shtml
• Netcraft - http://www.netcraft.com
4.2.5 アプリクーシュンヱの 検 出 (OWASP-IG-005)
概 要
ウェブアプヨクーサュヱの 脆 弱 性 をテシトする 場 合 に 最 も 大 切 なシテップは、どのアプヨクーサュヱが 稼 動 しているのかを 見 つ
け 出 すことです。
現 在 、 多 くのアプヨクーサュヱにおいて 既 知 の 脆 弱 性 が 存 在 しています。 中 には、コーバ 権 限 の 取 得 や、デーソを 破 壊 する
攻 撃 の 攻 略 方 法 なども 公 開 されています。また、「 内 部邪 で 使 用 するから 脅 威姕 はない」という 認 識 のヤーゴが 大 勢 いるため、
今 でも 多 くのアプヨクーサュヱにおいて、 設 定 が 不 十 分 であったり、アップデートが 定 期 的 に 適遚 用 されていない 状牮 態 となって
います。
概 要 の 説 明
ウェブコーバの 仮 想 化 技 術 の 浸 透 により、 従 来 あったウェブコーバとその IP アドリシの1 対 1の 関 係 は、もはや 意 味 を 成 さ
なくなってきています。それぞれのサヱペヨッキ 名 が 同 じ IP アドリシになる 複 数 の Web コイトあるいはアプヨクーサュヱを 持
つことは、 決 して 珍 しいことではありません。(このクーシはベシティヱギ 環 境 に 限 ったことではなく、ごく 普 通 の 企 業 の 環 境 に
おいても 同 様 に 当 てはまります'
あなたがスカャヨティの 専 門 家 としてテシトをする 際 には、 一 定 範 囲 の IP アドリシ 群 が 与 えられることでしょう(1つだけの 時 も
ありますが'。これは、あなたが 対 象 のサシテマに 診 断 する 契 約 が 存 在 することによるものであることに 他 なりません。しかし、
いずれにせよ、テシトを 依 頼 された 場 合 には、 対 象 のアプヨクーサュヱの 全 てにおいて( 可 能 であれば 他 の 箇 所 も 含 む'アキ
スシすることが 可 能 であると 思 ってしまいます。ここで1つ 問 題 となるのは、HTTP コービシが 定 められた IP アドリシの 80 番
ホートでベシトされていることです。もしあなたが 特牐 定 の IP アドリシ( 知 っている 限 りのもの'でアキスシすると、「その IP アドリ
シでのウェブコーバはありません」というような 答 えが 返 ってくるかもしれません。その 原 因 は、サシテマの 背 後 に 複 数 のウェ
ブアプヨクーサュヱが「 隠 れて」いて、 関 係 のないサヱペヨッキ 名 (DNS'に 紐 付 くことによるものです。 対 象 のアプヨクーサュヱ
をテシトできたのか、できなかったのかという 結 果 によって、あなたが 行 った 診 断 の 品 質 は、 当 然 ながら 大 きく 変 わわってきます。
依 頼 者 に 伝 えられることが 限 られてしまったり、まったく 伝 えられなかったりする 場 合 があるためです。 対 象 のコイトがヨッタ
ケヱテヱツになると、IP アドリシとその 対 応 するサヱペヨッキ 名 のヨシトを 手 渡 されるかも 知 れません。とはいっても、 情 報 が 部邪
分 的 、すなわわち、サヱペヨッキ 名 が 省 略 されている 場 合 があります。 顧 客 でさえそのことに 気 づいていないかもしれません( 大
きな 企 業 には 特牐 にありがちな 話 です'。
72