実践 Webペネトレーションテスト ―攻撃者の視点で学ぶWebアプリケーションセキュリティ

3章アプリケーションへの攻撃 - 目的達成のための脆弱性調査

この章では、Webペネトレーションテストで特に悪用されやすい代表的な脆弱性を紹介します。個別の脆弱性を紹介する前に、まずはどういった脆弱性が発見されやすいのか、その傾向について触れます。

近年のWebサービスはマイクロサービスアーキテクチャ、サードパーティ連携といった要素を取り込みながら、そのアーキテクチャと依存関係は指数関数的に複雑化しています。増加し続けるWebサービスの全機能を網羅的かつ継続的にセキュリティ検証することは、リソースや納期といった現実的な制約から困難を伴う場合が少なくありません。その結果として、既知の基本的な脆弱性が見過ごされたり、あるいは新たなコンテキストにおいて再発したりするケースが散見されます。

さらに、開発者自身がその内部仕様や潜在的なリスクを完全には把握していないサードパーティ製ライブラリやモジュールの利用は、予期せぬ脆弱性の組み込みへと繋がり得ます。

ケーススタディ1：限定的な診断範囲

ある企業では、自社で運営するニュース配信サイトのセキュリティ品質を担保するため、セキュリティベンダーによる脆弱性診断を毎年実施していました。コスト最適化の観点から、ベンダーの提案に基づき、診断対象範囲をユーザインターフェースが存在する主要な画面（ニュース閲覧画面、検索機能など）に限定していました。しかし、この診断範囲外に設定されていたニュース記事の画像配信用APIサーバに深刻なSSRF（Server-Side Request Forgery）脆弱性が潜んでいました。攻撃者はこの脆弱性を悪用し、画像配信用サーバを踏み台として内部ネットワークに侵入、機密性の高い情報へのアクセスに成功しました。さらに調査を進めたところ、新たな問題が明らかとなりました。過去に存在したユーザコメント投稿機能のAPIエンドポイントが、機能廃止後もサーバ上にアクティブな状態で残存していたのです。このAPIにはSQLインジェクションの脆弱性が存在しており、もし攻撃者がWebアーカイブサービスなどを通じてこのエンドポイントを発見していれば、データベース内の情報が不正に操作・窃取されていた可能性がありました。 ...