[B! ratproxy] honeybeのブックマーク

Googleが作ったWebセキュリティ・ツール「ratproxy」 - うさぎ文学日記

寺田さんによるGoogleのWebアプリケーション診断ツール「ratproxy」についての紹介・分析記事、全5回連載（たぶん）。挙動などを細かく分析されていてすばらしいー。ソースコード読んで調べたのかしら。 “受動的”な検出ツール，Web 2.0系のぜい弱性に強み：ITpro 検出できるぜい弱性は42種類，SQLインジェクションは苦手：ITpro Content-Typeなどでクロスサイト・スクリプティングの危険度をチェック：ITpro JavaScriptスクリプトに潜むXSSのぜい弱性も検出：ITpro JavaScript Hijack/JSON Hijackのぜい弱性：ITpro

honeybe 2008/09/12

ratproxy

リンク

“受動的”な検出ツール，Web 2.0系のぜい弱性に強み

この数年来，Webアプリケーションのぜい弱性を狙った攻撃により，個人情報が漏洩したり，Webページが改ざんされる被害がたびたび発生しています。このような被害に遭わないように，Webサイト開発者には今，セキュアなWebアプリケーションを開発することが求められています。セキュアなWebアプリケーションを開発するために一番重要なことは，そもそもセキュアに設計・コーディングすることです。そのためには開発者の教育や開発ガイドラインなどが必要になります。同時に，開発者が作ったものが本当にセキュアであるかを確認するプロセスが必要です。確認の対象となるのは，設計書，ソースコード，実際に稼働するアプリケーションなどですが，一般にWebアプリケーションにおいて広く行なわれているのは，実際に稼働しているアプリケーションを対象とする検査ではないかと思います。この種の検査では，Webアプリケーションに対して様々