開発者
結果画面
欠陥ごとに再現手順、アカウント別のレスポンス比較、リクエスト・レスポンスの原文を確認できます。レスポンス内の個人情報はマスキングされています。
01診断項目
この6種類を、アカウントを切り替えながら検証します
項目ごとに韓国の基準の条項番号を付けます。診断レポートの基準対応表にも同じ番号が記載されます。
G-01
他人のデータへのアクセス
アカウントAが作成した注文番号で、アカウントBが参照・更新リクエストを送ります。開いてAの値が見えたら欠陥です。
送信例
GET /api/orders/10482OWASP API1 · 安全性確保措置基準 第5条 · ISMS-P 2.5.1
G-02
管理者機能の呼び出し
管理者アカウントでのみ確認したパスを、一般会員のトークンで呼び出します。レスポンスが返ってきたら欠陥です。
送信例
GET /api/admin/membersOWASP API5 · 安全性確保措置基準 第5条 · ISMS-P 2.5.1
G-03
権限フィールドの改ざん
登録・更新リクエストにrole、is_adminなどの値を混ぜて送り、再度参照します。値が変わっていたら欠陥です。
送信例
POST /api/users {"role":"admin"}OWASP API3 · 安全性確保措置基準 第5条 · ISMS-P 2.8.1
G-04
トークンなしの書き込み
書き込みパスをログインなしで呼び出します。ブロックされなければ欠陥です。初期設定ではオフで、テスト用URLでのみオンにします。
送信例
POST /api/orders （トークンなし）OWASP API2 · 韓国の基準との対応は確定前
G-05
ファイルパスの操作
ダウンロードパスに ../ や他人のファイル番号を入れます。ファイルがダウンロードされたら欠陥です。
送信例
GET /api/files/../other-user.pdfOWASP API1 · 韓国の基準との対応は確定前
G-06
エラーの露出
存在しないリソースや不正な値を送ります。500エラーやサーバーのパス・スタックトレースが見えたら欠陥です。
送信例
GET /api/orders/99999999OWASP API8
02結果の受け取り方
結果画面、診断レポート、確認リンク
同じ結果を、読む人に合わせて3つの形でお見せします。
チーム全体
韓国語の診断レポート
表紙、深刻度別の件数、欠陥の目次、欠陥ごとの章、基準対応表を収めたPDFとWeb版です。
発注元の企業
確認リンク
ログインなしで、項目ごとの合否と最終診断日時だけが表示されます。いつでも無効にできます。
03再診断
修正後、その欠陥だけを再診断します
判定は「修正確認」「依然として脆弱」「未診断」「失敗」「待機」の5種類です。回ごとに履歴が残ります。
