アプリケーションテストに応用できるアドオン

Firefoxアドオンの「Web Developer」を使ってセキュリティ問題を発見

この無料のアドオンには、スクリプトの無効化やCookieの表示など、セキュリティテストに役立つ幾つかの機能が用意されている。

公開 2009年04月17日 07時30分

更新 2012年09月04日 18時09分

著者

Kevin Beaver

[TechTarget]

印刷する

　「作業にツールが必要だが適当なものがない」という状況に陥ったことはないだろうか。例えば、煙探知器の電池を交換しようというときや、ドアノブのがたつきを直そうというときのように。

　こうしたときに必要なツールはいつも手元にあるわけではなく、場合によっては買いに行かなければならないかもしれない。開発者が忘れがちなのは、プロジェクトで対処しなければならない問題は、意外にも、バターナイフやつめ切りといった日用品になぞらえられるようなありふれたツールを使って解決できる場合が多いということだ。

　アプリケーションセキュリティの分野に目を向けると、そうしたツールとしてFirefoxのアドオン「Web Developer」が挙げられる。

　Web Developerは、セキュリティテスト用のツールと思われることはまずないが、この用途に重宝する。作者のサイトから手軽にダウンロード、インストールできて便利な上、無料だ。もともとはWebページの微調整やトラブルシューティングのためのツールだが、Web Developerはこの6年の間に、セキュリティ上の不具合を手動で発見するための強力なツールとして進化してきた。

一般的なブラウザツールバーとして表示されるWeb Developer《クリックで拡大》

Web Developerでの脆弱性チェック

　Web Developerは、Cookie解析やフォーム操作、JavaScript解析などが行えるようになっており、一般的なWeb脆弱性スキャナを使うだけでは残ってしまうWebセキュリティホールをふさぐのに役立つ。Web Developerを使ってWebセキュリティの脆弱性をチェックする方法を以下に示す。

1. ［Disable］メニュー

　ブラウザキャッシュ、JavaScript、リファラ送信を無効にし、アプリケーションの挙動を操作して反応を評価し、何が悪用される可能性があるかを調べられる。

2. ［Cookies］メニュー

　Cookieを無効にしたり、Cookie情報を表示したりしてセッションを操作し、ユーザーが何を見たり、行ったりできるかを調べられる。

3. ［Forms］メニュー

　多数のフォーム操作（わたしのお気に入りの脆弱性チェック方法の1つ。セキュリティ攻撃の定番の手口でもある）オプションを使って、フォームフィールドを埋めたり、フィールド長の制限をなくしたりして反応を分析することで、アプリケーションがダウンしない範囲でどれだけ不正入力を受け入れてしまうかを調べられる。

4. ［Information］メニュー

　HTTPレスポンスヘッダやJavaScript情報、ページ情報を表示するオプションが利用できる。ページ情報では、現在のページでSSLが使われているかどうか（これは見落とされがちだ。SSLはどこでも使われるわけではない）が示される。また、下記の図のように、新しいタブを開いて、ページ内のリンクを一覧表示するオプションも用意されている。このオプションにより、テスト対象から漏れていたサイト／アプリケーションの要素が見つかるかもしれない。

リンクや関連サイトのテスト漏れを防ぐのに役立つリンク情報《クリックで拡大》

　なお、［Outline］メニューの［Outline Links］機能は、ページ内のリンクを目立たせる。この機能は、テスト中のサイト／アプリケーションから自分が離れていないことを視覚的に確認しながら作業したい場合に便利だ。

5. ［Options］メニュー

　余計な情報を漏らしてしまいがちなコメントを表示したり、Webプロキシを使って操作されやすい非表示のフォーム要素を表示したりできる。

　Firefoxが性に合わない場合は、Internet Explorer（IE）上でWeb Developerと、ある程度似ているツールを使うという手がある。「Internet Explorer Developer Toolbar」というもので、IE 6とIE 7に対応している。

ブラウザウィンドウの下部に表示されるInternet Explorer Developer Toolbar《クリックで拡大》

　Developer Toolbarは、セキュリティテストに使うという観点から見ると、決して包括的なツールでも便利なツールでもない。だが、スクリプトの無効化やCookieの表示など、セキュリティテストに役立つ幾つかの機能が用意されている。なお、先ごろ公開されたIE 8には、開発者向けツールがあらかじめ搭載されている。

　アプリケーションを徹底的にテストするにはWeb Developerだけでは足りないが、それでもこのツールは重要であり、一度使うと手放せないだろう。

　本稿筆者のケビン・ビーバー氏は、米アトランタにあるPrinciple Logicを経営する独立系情報セキュリティコンサルタントで、執筆、講演も手掛ける。情報セキュリティに関する7冊の著書および共著書がある。

印刷する