Tweet

第4回 まこと先輩と星野君とCSRFの微妙な関係

　Webアプリケーション検査も手慣れてきました

　以前立ち話で聞いた、高橋さんが携わっているプロジェクトに終わりが見えてきたらしい。そのプロジェクトとは、顧客向けにサービスを展開するためのWebアプリケーションを新たに導入するというものだ。テスト環境を構築し、納品されたWebアプリケーションがようやく動く状態になったのだ。

　星野君は早速Webアプリケーションを調べることにした。どうやら、hiddenとセレクトボックスの入力値で、入力チェックおよびサニタイジング（無害化）がなされていなかったため、クロスサイトスクリプティングがいくつか存在している。しかし、SQL インジェクションのような危険度の高いものはなかった。

　ついに“あの人”に会えるのかな？

　結局、星野君が見つけた脆弱性以外にもいくつか修正しなければならない個所があったので検品についてミーティングを実施することとなった。星野君も自分が見つけた脆弱性に関して説明するため簡単な資料を用意した。

　ついこの間はタバコ減らしてるとかいっていたのに、やっぱりなんだかんだいって結構吸ってるんじゃん、と星野君は思った。

　星野君は、少しドキドキしていた。実は星野君はまこと先輩と直接会ったことが一度もない。しかも、脆弱性について話さなくてはいけないので、間違ったことを喋って怒られないか不安だったのだ。

　星野君はそんな不安を抱えながらもミーティングの準備をし、会議室へと向かった。会議室へ向かう途中、高橋さんが喫煙所でのんびりとタバコを吸っているのが見えたが、先に会議室へ行って準備をしておくことにした。

　会議室にはすでに3人が来ていた。2人はWebアプリケーションの開発会社の人だ。もう1人は検品を手伝ってくれたシステム部門の人のようだ。開発会社の人と名刺交換を済ませ、システム部門の人のところへあいさつに行った。

　システム部門の人は、物腰の柔らかい感じのおっとりとした女性だった。 「まこと先輩じゃなかったのかぁ」。星野君はガッカリしたようなほっとしたような複雑な心境だった。

1/3

Index
まこと先輩と星野君とCSRFの微妙な関係
	Page1 Webアプリケーション検査も手慣れてきました ついに“あの人”に会えるのかな？
	Page2 星野君の検査には見落としがあります！ クロスサイトリクエストフォージェリって何だ？
	Page3 Webアプリ改造計画発動−CSRF編

星野君のWebアプリほのぼの改造計画　連載インデックス

＠ITメールマガジン　新着情報やスタッフのコラムがメールで届きます（無料）

RSSフィード