Webアプリケーション・セキュリティ診断｜制作メニュー

診断概要

Webで使用しているCGIなどを含む動的コンテンツのページにおいて、不正アクセスの危険性が潜んでいないか調査します。

主な検査のポイント

１）クロスサイトスクリプティング　※１
２）ＳＱＬインジェクション　※２
３）パラメータ改ざんによる不正操作
４）隠しフィールドの改ざんによる不正操作
５）クッキーの改ざんによる不正操作
６）ディレクトリ遷移　※３
７）セッションハイジャック
８）クロスサイトリクエストフォージェリ

※１　クロスサイトスクリプティング
攻撃者が作成した悪意のあるスクリプトをWebアプリケーションを介してWeb閲覧者のブラウザ上で実行
されてしまう脆弱性の有無について診断

※２　SQLインジェクション
想定していないSQLをWebアプリケーションに実行させることによりデータベースを不正に操作されてしまう脆弱性の有無について診断最大100パラメータ

※３　ディレクトリインデックス
対象ディレクトリに含まれるファイルの一覧を表示してしまい公開を意図していないファイルの閲覧・実行を許可してしまう脆弱性の有無について診断

診断対象

基本URLを起点とし、そのリンク先にあるWebページ（同一ドメイン内、より下部ディレクトリにあるものに限ります）

診断対象外

１）日本語ドメインのURL

２）PCからインターネット経由でアクセスできない場合

３）診断対象のサイトにアクセスするために特別な機器やソフトウェアを用いる場合

４）JavaやFlash等のクライアントアプリケーションと連携したページ

５）ファイルアップロード(multipart)等のリクエスト形式のページ

６）画像ファイル、動画ファイル、PDF、Flash、圧縮ファイル等

７）その他、起点となるURLからたどることができないページ、または、形式がHTML、JavaScript、スタイルシート以外であるページ

８）お客さまが診断対象外として指定したページ

各種の不正アクセスの概念図

下記のサイトに参考となるイメージが載っています。

参考ＵＲＬ）
独立行政法人　情報処理推進機構
http://www.ipa.go.jp/security/vuln/vuln_contents/index.html

フリーソフト

サイトのチェックが出来るフリーソフトは幾つかありますが、その中から幾つかピックアップして紹介します。

１）ＸＳＳ対応チェックツール

製品名：FireFox Addon XSS Me
ＵＲＬ：https://addons.mozilla.org/en-US/firefox/addon/xss-me/

２）セキュリティ診断ツール

製品名：Nikto（ニクト）
ＵＲＬ：http://www.cirt.net/nikto2