1 ビジネスセキュリティテストの重要なポイント#
0.1 技術編#
0.1 ログイン認証モジュールテスト#
ブルートフォース攻撃テスト
ローカル暗号化通信テスト
0.12 セッションテスト#
セッション固定テスト
セッションログアウトテスト
セッションタイムアウトテスト
クッキー偽装テスト
暗号文比較認証テスト
ログイン失敗情報テスト
0.2 ビジネス処理モジュールテスト#
注文 ID 改ざんテスト
電話番号改ざんテスト
ユーザー ID 改ざんテスト
メールアドレスとユーザー改ざんテスト
商品番号改ざんテスト
競合条件テスト
0.3 認可アクセスモジュールテスト#
未認可アクセステスト
0.31 権限昇格テスト#
平行権限昇格テスト
垂直権限昇格テスト
0.4 入力出力モジュールテスト#
0.41SQL インジェクションテスト#
数値型インジェクション
文字型インジェクション
検索型インジェクション
0.42XSS テスト#
反射型 XSS
保存型 XSS
DOM 型 XSS
コマンド実行テスト
0.5 ロールバックモジュールテスト#
ロールバックテスト
0.6 キャプチャメカニズムテスト#
キャプチャブルートフォース攻撃テスト
キャプチャ再利用テスト
キャプチャクライアントエコーテスト
キャプチャバイパステスト
キャプチャ自動認識テスト
0.7 ビジネスデータセキュリティテスト#
商品支払い金額改ざんテスト
商品注文数量改ざんテスト
フロントエンド JS 制限バイパステスト
リクエストリプレイテスト
ビジネス上限テスト
0.8 ビジネスプロセス順序テスト#
ビジネスプロセスバイパステスト
0.9 パスワード回復モジュールテスト#
キャプチャクライアントエコーテスト
キャプチャブルートフォース攻撃テスト
インターフェースパラメータアカウント変更テスト
レスポンスステータス値変更テスト
セッションオーバーライドテスト
弱いトークン設計欠陥テスト
パスワード回復プロセスバイパステスト
10 ビジネスインターフェース呼び出しモジュールテスト#
インターフェース呼び出しリプレイテスト
インターフェース呼び出し遍歴テスト
インターフェース呼び出しパラメータ改ざんテスト
インターフェース未認可アクセス / 呼び出しテスト
コールバックカスタムテスト
WebService テスト
実践編#
0.1 アカウントセキュリティテスト#
0.1.2 アカウントパスワードがインターネット上に直接露出#
ある企業のデータベース設定情報漏洩
数千人の従業員情報漏洩
0.1.3 無制限に任意のアカウントにログイン#
SQL インジェクション脆弱性でログイン制限を回避
APP クライアントが任意のアカウントをハイジャック可能
0.1.4 電子メールアカウント漏洩事件#
メールアカウントによる情報漏洩
0.1.5 中間者攻撃#
SSL 証明書詐欺攻撃
SSL ハイジャック
0.1.6 衝突攻撃#
サブサイトに衝突攻撃のリスクあり
0.2 パスワード回復セキュリティケース#
0.2.1 パスワード回復証明書がブルートフォース攻撃可能#
任意のパスワード変更
0.2.2 パスワード回復証明書が直接クライアントに返される#
パスワード回復証明書がリンクに露出
暗号化されたキャプチャ文字列がクライアントに返される
ウェブページソースコードに秘密の質問の答えが隠されている
SMS キャプチャがクライアントに返される
0.2.3 パスワードリセットリンクに弱いトークンが存在#
タイムスタンプの MD5 をパスワードリセットトークンとして使用
サーバー時間をパスワードリセットトークンとして使用
0.2.4 パスワードリセット証明書とユーザーアカウントの関連が不十分#
SMS キャプチャを使用してパスワードを回復
メールトークンを使用してパスワードを回復
0.2.5 ユーザーの携帯電話またはメールを再バインド#
ユーザーの携帯電話を再バインド
ユーザーのメールを再バインド
0.2.5 サーバー側の検証ロジックの欠陥#
パラメータ削除で検証を回避
メールアドレスが操作可能
認証ステップを回避可能
0.2.7 ローカルでサーバーの返答情報を検証#
返答パッケージを変更して検証を回避
0.2.8 登録オーバーライド#
既存のユーザーが再登録可能
0.2.9 セッションオーバーライド#
セッションオーバーライド方式で他人のパスワードをリセット
0.3 権限昇格アクセスセキュリティケース#
0.3.1 平行権限昇格#
システムユーザーが他のユーザーの個人情報を越権で閲覧可能
ウェブサイトユーザーが他のユーザーの情報を越権で閲覧または変更可能
一般ユーザーが他のユーザーの情報を越権で閲覧可能
0.3.2 垂直権限昇格#
一般ユーザーの権限がシステム権限に昇格
バックエンドが管理者アカウントを越権で追加可能
低権限ユーザーがスーパーユーザーの設定情報を越権で変更可能
ユーザーに対応するメニューカテゴリーを変更することで権限を昇格可能
0.4OAuth2.0 セキュリティケース#
CSRF 脆弱性によるバインディングハイジャック
あるコミュニティでの認可ハイジャック
0.5 オンライン決済セキュリティケースのまとめ#
あるファーストフードチェーンの公式サイトでの注文金額改ざん
あるオンラインショッピングモールでの注文数量改ざん
あるサーバー提供者プラットフォームでの注文リクエストリプレイテスト
あるトレーニング機関の公式サイトでの注文その他パラメータ干渉テスト