shikata ga nai

Private? There is no such things.

診断対象外の脆弱性についてかいてみた

Hello there, ('ω')ノ

 

脆弱性診断ともなると以外と経費がかかるもので。

ただ、依頼はしたものの報告される脆弱性が軽微なものが多かったりと。

真面目にすべてを改修しようとすると時間も経費もかかったり。

診断企業に依頼する際には、対象外の脆弱性を示すことひとつの策だったり。

たとえば、報告するのに十分なほど重大でない脆弱性を対象外としたり。

 

対象外の脆弱性(例)

・プログラムが所有/運営していないコンテンツ/サービスのバグ

・サポートされていないブラウザのユーザに影響を与える脆弱性

・範囲外のドメインのサブドメインの乗っ取り

・ありえない量のユーザインタラクションを必要とするSelf-XSS、またはXSSバグ

・匿名ユーザが利用できるフォームのCSRF

・静的ページでのユーザーインターフェイスのクリックジャッキング

・エラーメッセージ

・HTTP404コード/ページ、またはその他のHTTP非200コード/ページ

・フィンガープリントバナーの開示、公開情報の開示

・既知の公開ファイルまたはディレクトリの開示

・スクリプト、またはその他の自動化と意図された機能のブルートフォーシング

・「オートコンプリート」または「パスワードの保存」機能の存在

・安全なHttpOnlyCookieフラグの欠如

・HTTPS混合コンテンツ

・HTTPセキュリティヘッダーがありません

  Strict-Transport-Security

  X-Frame-Options

  X-XSS-Protection

  X-Content-Type-Options

  Content-Security-Policy

 

Best regards, (^^ゞ

ひとりひとりの自覚をもった行動で、医療従事者と保健所職員を助けよう。

f:id:ThisIsOne:20200404115457p:plain