実践 Webペネトレーションテスト ―攻撃者の視点で学ぶWebアプリケーションセキュリティ

7章制限の回避と突破

Webペネトレーションテストを実施していると何かしらの制限にぶつかることが数多くあります。特定のリソースへのアクセス自体の制限であったり、攻撃を阻止するための防御機構、認証や暗号技術を用いた防御機構などがその一例です。

何かしらの脆弱性の兆候を発見したとしても、こうした制限のせいで攻撃が成立しないままだとペネトレーションテストとしては最終的に攻撃が成功しなかった、という評価になります。これらの制限が正しく動作しているかを検証する意味でも、制限の回避や突破はテストにおいて重要な要素です。

また、暗号化によって保護されている、一見堅牢に見える実装であっても、暗号化の方法に誤りがあることで保護機構が破綻してしまう場合もあります。

本書の締めくくりとして、このような制限、セキュリティ機構を突破するテクニックを様々な観点から紹介します。

7.1　アクセス制御の回避

Webアプリケーションにおいて、何かしらアクセス制限を設けることは一般的です。特によく見られるのは、ユーザにアクセスしてほしくない開発環境や、管理者向けの画面、連携システム向けのAPIなどに対する制限です。アクセス制限を突破できれば、攻撃対象が増えるだけでなく、内部情報を引き出すこともできるでしょう。

本書の3章ではログイン認証に関する攻撃手法を紹介しましたし、4章ではIDとパスワードによる認証をベースとした管理画面へのアクセス制限が登場しました。ここではこれまで紹介してこなかった、IPアドレスによるアクセス制限の回避手法を紹介します。

さらに、こういったアクセスの制限方法だけでなく不正なアクセスから保護したい対象リソースにも少し目を向けてみましょう。こういった点に注目しながら、特定のURLパスに対するアクセス制限がかかっている場合の回避手法や、CDNを通じてオリジンサーバへのリクエストが制限されている場合の回避手法を紹介します。 ...