Badstoreを用いた実践の回答編

1. Badstoreでの診断実践編
SQL Injection & XSS
実習課題(4)解答編
2017/05/27
Burp Suite Japan User Group
1

2. SQL Injection
2

3. カートに追加
3

4. カートに追加
4
• cartitemパラメーターを「'（シングルクオート）」に
書き換えるとエラー発生

5. カートに追加
5

6. 注文確定
6

7. 注文確定
7
• email、ccard、expdateパラメーターを
「'（シングルクオート）」に書き換える
とエラー発生

8. 注文確定
8

9. パスワードリセット
9

10. パスワードリセット
10
• emailパラメータ－を「'（シングルクオート）」
に書き換えるとエラー発生

11. パスワードリセット
11

12. プロフィール変更
12

13. プロフィール変更
13
• fullname, newemail, emailパラメーターを
「'（シングルクオート）」に書き換えると
エラー発生

14. プロフィール変更
14

15. Web健康診断の診断手法
では見つけられないSQL
インジェクション
15

16. カート表示
16

17. カート表示
17
• CartIDは構造が決まっている（時刻:個数:価格:品番1:品番2）
• 構造を崩さないようシングルクオートを入れる
• CartID=1470803541%3A2%3A24%3A1000'%3A1003
• CartID=1470803541%3A2%3A24%3A1000%3A1003'

18. 注文確定
18

19. 注文確定
19
• 構造を崩さないようシングルクオートを入れる
• CartID=1470803541'%3A2%3A24%3A1000%3A1003
• CartID=1470803541%3A2'%3A24%3A1000%3A1003
• CartID=1470803541%3A2%3A24%3A1000'%3A1003
• CartID=1470803541%3A2%3A24%3A1000%3A1003'

20. 注文履歴参照
20

21. 注文履歴参照
21
• SSOidは構造が決まっている
かつ
• エンコードされている

22. YmlnQHNwZW5kZXIuY29tOjk3MjYyNTV
lZWMwODNhYTU2ZGMwNDQ5YTIxYjMz
MTkwOkJpZyBTcGVu%0AZGVyOlU%3D
%0A
YmlnQHNwZW5kZXIuY29tOjk3MjYyNTV
lZWMwODNhYTU2ZGMwNDQ5YTIxYjMz
MTkwOkJpZyBTcGVuZGVyOlU=
big@spender.com:9726255eec083aa56
dc0449a21b33190:Big Spender:U
SSOidのデコード
22
URLデコード
Base64デコード

23. big@spender.com':9726255eec083aa56
dc0449a21b33190:Big Spender:U
YmlnQHNwZW5kZXIuY29tJzo5NzI2MjU
1ZWVjMDgzYWE1NmRjMDQ0OWEyMW
IzMzE5MDpCaWcgU3BlbmRlcjpV
YmlnQHNwZW5kZXIuY29tJzo5NzI2MjU
1ZWVjMDgzYWE1NmRjMDQ0OWEyMW
IzMzE5MDpCaWcgU3BlbmRlcjpV
SSOidのエンコード
23
Base64エンコード
URLエンコード（この例では不要）

24. 注文履歴参照
24
• シングルクオートを挿入後、エンコードしなおして、
SSOidを書き換える

25. 注文履歴参照
25

26. XSS
26

27. ゲストブック書き込み
27

28. ゲストブック書き込み
28
• name, email, commentsパラメーターが
エスケープされずに返ってくる

29. パスワードリセット
29

30. パスワードリセット
30
• emailパラメーターがエスケープ
されずに返ってくる

31. 送料検索
31

32. 送料検索
32
• argsパラメーターがエスケープさ
れずに返ってくる

33. アカウント情報変更
33

34. アカウント情報変更
34
• fullname、newemail、
newpasswdパラメーターがエ
スケープされずに返ってくる
• newpasswdとvnewpasswd
は両方同時に書き換えること

35. Web健康診断の診断手法
では見つけられないXSS
35

36. ヘッダー
36
• 登録したFull nameが
表示されている

37. ヘッダー
37
• リクエスト内に「test」という値の
パラメーターはない

38. ヘッダー
38
• ソースとなるパラメーターは
こちら

39. アカウント登録
Full Name:
"><hr>
攻撃者のア
カウントでロ
グインする罠
を作成
攻撃者のアカ
ウントでログイ
ンさせられる
ヘッダー表示
ヘッダー
39
攻撃の手順はこうなります。
データベース

40. アカウント情報表示
40
• ヘッダーと同様
• 登録したFull Nameと
Emailが表示されている