ペネトレーションテストで検出された脆弱性

公開: 2022-01-02

ペネトレーションテストは、あらゆる組織のシステムのサイバーセキュリティをテストするために実行されるアクティビティです。これは、会社のデータベースへの不正アクセスを検出するプロセスです。技術的には、実際の攻撃の下での反応をテストするために、組織自体がシステムに偽の攻撃を作成します。このテスト方法に関与する人々は倫理的ハッカーとして知られていますが、彼らの仕事は脆弱性を取り除くことを目的としたブラックハットハッカーに似ています。

倫理的なハッカーの助けを借りて追跡できる脆弱性のいくつかを次に示します。

脆弱性＃1：安全でない直接オブジェクトリファレンス

最初のステップは、システムからのあらゆる種類のデータにアクセスするためにユーザー資格情報が必要とされるすべての場所をマップすることです。次に、オブジェクトと情報の目的パラメータを変更することにより、他のユーザーログインがデータにアクセスできるかどうかを確認できます。

簡単に言うと、この脆弱性は、1人のユーザーがその時点でログインしているときに、許可されたユーザーの認証なしでオブジェクト情報を取得できることを示しています。たとえば、2人の別々のユーザーが、1人のユーザーの資格情報を使用してデータに簡単にアクセスできるのではなく、組織の購入情報とメッセージにアクセスできるとします。したがって、これにより、攻撃者はシステムをバイパスしてシステムのリソースにアクセスできます。

脆弱性＃2：特権の昇格

ユーザークレデンシャルプロセスに従うことで検出される脆弱性は、システムが許可されたユーザーの識別に失敗し、検証なしでユーザーがシステムでアクションを実行できるようにすることです。

特権の昇格には、垂直型と水平型の2つのタイプがあります。垂直方向のエスカレーションの場合、攻撃者はユーザーに付与された特権よりも高い特権を求めます。水平方向では、攻撃者はユーザー資格情報の制限までの特権のみが許可されます。この欠陥は、システムの制御が不足しているために検証されています。

また読む：テストを容易にするトップ10の自動化ツール

脆弱性＃3：クロスサイトスクリプティング–保存

ハッカーが任意のフォームまたはドキュメントのフィールドに入力することによって保存されたすべての入力を保存できる、1つの危険な悪意のある攻撃。この保存された情報は、後でユーザーのWebブラウザーを乗っ取るか、ユーザーに害を及ぼす他の形式で機密情報を使用するために保持されます。

スクリプトをシステムに適用することにより、システムでこのエラーを検出しました。これらのスクリプトは適切にフィルタリングされていないため、システムをこのテストにかけると、この脆弱性の影響を受ける入力フィールドの数が検出されます。

脆弱性＃4：クロスサイトスクリプティング–反映

攻撃者が悪意のあるコードをHTTPブラウザに反映できる段階で成功する最も一般的なタイプの脆弱性の1つ。ビューアが許可されていない、または有害なリンクを開くと、このコードがシステムに挿入され、ユーザーのシステムにウイルスが拡散する可能性があります。

この脆弱性は、テスターが悪意のあるサイトをテストグラウンドに置き、スクリプトを操作してエラーを分析するときに明らかになります。

脆弱性＃5：URLリダイレクト

この脆弱性は、ハッカーが攻撃者コードの助けを借りてユーザーのシステムに侵入することができたクロスサイトスクリプティングの継続です。これで、被害者のセッションにアクセスし、資格情報をログインして、悪意のあるサイトにユーザーをリダイレクトできます。最悪の事態が発生した場合、ハッカーは被害者のシステムへのリモートシェルアクセスを取得する可能性があります。

脆弱性：＃6HTMLインジェクション

クロスサイトスクリプティングとHTMLインジェクションは、かなりの特徴を共有しています。それらを分離する唯一のことは、ここでは攻撃者コードがHTMLタグに挿入されていることです。ハッカーはユーザーの入力を制御でき、被害者が任意のフィールドに入力した機密情報にアクセスできます。この脆弱性を検出するために、テスターは、ハッカーがそのような攻撃から取得できるアクセスの範囲をチェックするために、いくつかのスクリプトを実行しました。

脆弱性＃7：暗号化されていないチャネルを介して強制されたアプリケーション

テスターによる特定の検出を必要としない一般的な脆弱性の1つは、既知のコードを持つ保護されていないネットワークサイトの使用です。たとえば、HTTPSまたはその他の保護された暗号化を介して送信されるデータは、厳しい制限や脆弱性から安全ですが、HTTPサイトはユーザーに多くのセキュリティリスクをもたらす可能性があります。

たとえば、HTTPを介して送信されたプレーンテキスト、フォームベースの資格情報、または機密情報の入力は、セキュリティで保護されていないネットワークドメインを介して攻撃者によってアクセスされる可能性があります。

脆弱性＃8：セッション固定

この脆弱性は、ユーザーがセッションにログインする直前に発生します。ここで、攻撃者は、有効なユーザーセッションをハッキングすることにより、クライアントとユーザーの間で発生しているセッションを盗もうとします。ハッカーは、アクセスできる可能性のある有効なユーザーセッションIDを生成し、後でユーザーに同じIDを使用するように誘導します。これらの手順により、攻撃者は被害者の情報を使用できるようになります。

ユーザーがログインするたびに、新しいセッションIDが作成され、Cookieの有効期限も8日間に設定されるため、攻撃者はユーザーの機密情報に簡単にアクセスできます。

脆弱性＃9：電子メール爆撃

電子メール爆撃の行為は、スパム電子メールを送信している被害者のメールシステムをオーバーフローさせるために行われます。これにより、システムがサービス拒否攻撃の犠牲になる可能性があります。この攻撃では、ハッカーは同時に複数のコンピューターを犠牲にする可能性があります。メールボムには3種類あります。

1.大量のメール

多数の重複する電子メールをサーバーに送信すると、スパムフォルダー内の電子メールの送信が開始される可能性がありますユーザーの。

2.リンクリスト

この攻撃では、ユーザーはメールサブスクリプションを受信するために特定のメールアドレスにサインアップします。一部の電子メールはシステムにウイルス攻撃を仕掛ける可能性があるため、ユーザーは不要な電子メールの購読を解除する必要があります。

3.Zip爆撃

これは、大企業で採用されたウイルス対策ソフトウェアのソリューションを克服するために導入されたメールボムの変種です。この種の攻撃では、送信者は「Z」のような繰り返しのアルファベットのみをメールで送信します。これにより、ファイルが圧縮され、ソフトウェアが検出しにくくなります。

脆弱性＃10：ディレクトリリスト

この脆弱性の下で、攻撃者は、インデックスページを作成していない場合、ユーザーのディレクトリファイルにアクセスする可能性があります。このような状況では、ハッカーはシステムファイルを直接攻撃できるリソースパスを特定できます。したがって、ディレクトリに保持されている機密ファイルはすべて、ハッカーのアクセスに侵入します。これは、インデックスページを作成し、ディレクトリから機密ファイルを削除することで防ぐことができます。

脆弱性＃11：アカウントロックアウトポリシーが適用されていない

ハッカーは、ブルートフォース攻撃によってアカウントにアクセスしようとする可能性があります。この場合、ハッカーは間違ったパスワードを何度も入力する可能性があり、最終的にシステムに障害が発生すると、ユーザーは自分のアカウントにアクセスできなくなります。したがって、これは、ログインゲートウェイが試行回数を超えるメカニズムを持たないことを意味します。

脆弱性＃12：同じサイトスクリプティング

この脆弱性の下では、サブドメインにループバックがあり、特定の電子メールアドレスを入力しているときにユーザーが別のローカルホストに転送される可能性があります。これは、ユーザーがすでに同じアドレスのローカルホストを使用していて、ローカルホストのサービスを停止した場合にのみ修正できる場合に発生します。私たちの開発者はこの脆弱性をテストし、ローカルホストにpingを実行した後、システムは正常な応答を受け取りました。

脆弱性＃13：ブラウザのキャッシュ管理–ログアウト時の戻るボタンの問題

これはシステムエラーであり、攻撃者がシステムにアクセスしているために発生しません。この脆弱性の下で、Webサイトでブラウザの戻るボタンを押しても、ログアウトした後でもユーザーセッションが終了しないことがわかりました。これにより、ログインしたユーザーのアカウントにアクセスし、内部に保持されている機密情報を使用する人の脅威が明らかになります。

脆弱性＃14：オートコンプリートが有効

オートコンプリート機能は、システムがユーザー名、パスワード、およびその他の連絡先情報を保存しているブラウザでフォームに自動的に入力します。この保存されたデータを使用すると、消費者が繰り返し訪問したときにフォームのフィールドに自動的に入力できます。システムが許可されていない第三者を管理している場合、この優れた機能が脆弱性に変わり、機密情報の悪用を引き起こす可能性があります。

脆弱性＃15：弱いパスワードポリシー

弱いパスワードの問題は、すべてのユーザーに適切な長さに従うパスワードポリシーを作成するように強制することで解消できます。また、ブルートフォースや辞書攻撃にアクセスしても、パスワードの複雑なレベルを予測することはできません。攻撃者はアプリケーションに簡単にアクセスできるため、パスワードを辞書の単語の一部にしないでください。

脆弱性＃16：セキュリティヘッダーがありません

当社の開発者は、クロスサイトスクリプティング（XSS）などの攻撃や、システム内のコードによって注入される可能性のあるその他の攻撃を防ぐコンテンツセキュリティポリシーのセキュリティヘッダーを確認しました。

これに加えて、x-XSS保護のヘッダーも検証され、Internet Explorer、Chrome、およびSafariでサポートされているクロスサイトスクリプティング（XSS）も防止されます。

そして最後のヘッダーstrict-transport-securityは、ユーザーがHTTPSタグのみを持つサイトを閲覧することを制限します。これにより、システムの安全性が確保され、HTTPタグは安全でないと見なされるため、接続は確立されません。

脆弱性＃17：機密情報の開示

この脆弱性は、ユーザーのシステム情報にアクセスできないサードパーティからの機密情報にアプリケーションが失敗した場合に発生します。このタイプの攻撃は中小企業組織にとって非常に重要であるため、特定のアプリケーションを開発した後は、このセキュリティテストの問題を無視してはなりません。

どんな質問でも!! お問い合わせフォームにご記入いただくだけで、専門家から折り返しご連絡いたします。