開発経験者向け

Webアプリケーション脆弱性診断講座(初級)　BOOKNS-オリジナルテキスト

著者｜本田 崇 講師

この書籍の概要

Webアプリケーションの脆弱性診断の習得を目指します。初級ではIPAが公開しているウェブ健康診断仕様に則ったWebアプリケーションの脆弱性診断が実施できるようになることを目指します。このウェブ健康診断は、一般的な脆弱性診断ベンダーが実施している脆弱性診断と比較すると診断項目や診断パターンをかなり限定しています。そのため、本格的な脆弱性診断を実施するためには各脆弱性についてより詳しく知る必要があります。ただし、脆弱性診断の一連の流れや必要な知識は扱っており、それらを知ることで開発や管理にも役立ちます。本講座ではそれらをもとに脆弱性診断の全体像に焦点を当て、「Webアプリケーションの基礎知識」「脆弱性診断業務の概要」「診断で利用するツールの使い方」「いくつかの脆弱性」「手動診断の実施の流れ」といった内容を解説していきます。

こんな方におすすめ

・脆弱性診断を実施する方（脆弱性診断の実施者の目線）
・脆弱性の知識を開発に活かしたい方（システムの開発者の目線）
・脆弱性診断を受けるにあたり、事前に知識を知っておきたい方（システムの発注者の目線）

講座詳細を見る
  • 目次
  • 練習問題

第0章

第1回　はじめに

  1. Chapter 1
  2. Chapter 2

第1章

第7回　診断：コマンドインジェクション

  1. Chapter 1
  2. Chapter 2
  3. Chapter 3

第2章

第8回　診断：アクセス制御の不備

  1. Chapter 1
  2. Chapter 2

第3章

第9回　診断：クロスサイト攻撃

  1. Chapter 1
  2. Chapter 2

第4章

付録　脆弱性診断実演演習

  1. SQLインジェクション脆弱性
  2. OSコマンドインジェクション脆弱性
  3. ディレクトリ・トラバーサル脆弱性
  4. アクセス制御の不備1(機能レベルアクセス制御の欠落)
  5. アクセス制御の不備2(安全でないオブジェクト直接参照)
  6. クロスサイト・スクリプティング脆弱性
  7. CSRF(クロスサイト・リクエスト・フォージェリ脆弱性)

コマンドインジェクションの診断に関する説明として適切でないものを次の中から選択してください。

  1. コマンドインジェクションの脆弱性は、コマンド構文への干渉を許す実装時の不具合(バグ)である。
  2. コマンド構文に作用しない文字列を注入した際には正常操作と同じレスポンスが返ってくる。
  3. WebアプリケーションがSQLクエリーやOSコマンドを実行する場合には診断対象とすべきである。
  4. エラー画面からでは注入した文字列が作用したかどうか判断がつかない場合がある。

アクセス制御機能の例として適切でないものを次の中から選択してください。

  1. 購入履歴は、購入者本人以外の第三者からは閲覧できない。
  2. マスタメンテナンス機能は管理者だけが利用できる。
  3. 来週公開予定のニュースリリースは、現時点で閲覧できない。
  4. ユーザーはいつでもアカウント登録できる。

ブラウザに表示される罠ページから攻撃対象である別のドメインに送信されるリクエストに関する説明のうち適切なものを次の中から選択してください。

  1. 送信されるリクエストの送信元はユーザーのブラウザである。
  2. 送信されるリクエストの内容は罠ページの記述によって全て決まる。
  3. 罠ページ上でユーザーが何らかの操作を行うことでリクエストが送信される。
  4. 攻撃者はあらかじめ罠ページを攻撃対象のサイト上に設置する必要がある。

ブラウザに表示される罠ページから攻撃対象である別のドメインに送信されるリクエストを構成する要素のうち、罠ページの記述によって攻撃者がある程度自由に設定できる要素の組み合わせとして適切なものを次の中から選択してください。

  1. URL、フォームデータ
  2. Cookie、フォームデータ
  3. URL、Refererヘッダー
  4. Cookie、Refererヘッダー

クロスサイト攻撃に関する説明のうち適切でないものを次の中から選択してください。

  1. Webサーバーのアクセスログの内容が攻撃者に漏洩する。
  2. 攻撃者は罠URLや罠ページにユーザーを誘導する。
  3. 攻撃が行われたことにユーザーが気付かない場合がある。
  4. ユーザーのブラウザから不正なリクエストが送信される。

BOOKNS（ブックネス）とは、エンジニア育成に特化した定額制のオンライン学習サービスです。
開校20年の歴史をもつITスクール、システムアーキテクチュアナレッジのノウハウが詰まったオンライン教材に、現役講師によるコーチング・試験対策までをオールインワンにした、人材育成サービスの決定版！

お得な
サブスクリプションプランを
ご用意

法人　1ヶ月あたり

5,000 税抜
円/人（税込 5,500円）

個人　1ヶ月あたり

3,000 税抜
円/人（税込 3,300円）

※一部サービスのご利用には別途追加料金が発生致します。