「わざと脆弱性を持たせたWebアプリ」で練習を：Security&Trust ウォッチ（59）

命名・「やられWebアプリケーション」（仮）

　構築したWebアプリケーションがセキュアかどうかを確かめる方法として、疑似的に攻撃を行うことで問題を発見する「脆弱性診断」があります。脆弱性診断は専門業者が実施することがほとんどだと思いますが、あなた自らが脆弱性診断の技術を身につけることで、セキュアWebアプリケーションについての理解が深まるとか、自社内で脆弱性診断ができるようになるといったこともあるかもしれません。

　脆弱性診断の技術を身につける過程では、脆弱性を見つける手法を試したり、診断ツールを試したりする必要がありますが、診断といえど攻撃と同様のことを行うので、気軽に実稼働環境で実験するわけにもいきません。ましてや、他人や他社のWebサイトで試すなどはもってのほかです。

　そこで、わざと脆弱性を持たせたWebアプリケーションと、それを動作させる環境が必要になります。

　このような環境をわざわざ開発して用意することもできるかと思いますが、もっと手軽に行いたいものです。世の中にはこういった要望に応える、“わざと”セキュリティホールを作り込んで脆弱性を持たせたWebアプリケーション環境がいくつも提供されています。

　ここでは、わざと脆弱性を持たせたWebアプリケーションを「やられWebアプリケーション」と呼ぶことにします（ほかによいネーミングがあれば広めてください）。この「やられWebアプリケーション」を脆弱性診断の腕試しやトレーニング、診断ツールのテストなどに活用してみてください。

すぐに起動できて、すぐに試せる「BadStore.net」

　やられWebアプリケーションの中でもすぐに試せる「BadStore.net」を紹介します。Webアプリケーションの脆弱性だけではなく、OSやWebサーバなどの脆弱性も含まれていて、無償で提供されています。

　BadStore.netはISOイメージで配布されていて、Linux（Trinux）とWebサーバ（Apache）がすでにインストールされています。もちろん、やられWebアプリケーションも設定済みの状態で入っているので、面倒なインストール作業などはほとんどありません。

【セットアップ手順】

1．BadStore.netのISOイメージをダウンロード

2．BadStore.netを起動

3．ネットワーク設定を確認

4．やられWebアプリケーション「BadStore.net」にアクセス

BadStore.net のトップページ

BadStore.net の脆弱性を探してみよう

　BadStore.netにはWebアプリケーションの脆弱性を主とした数々の脆弱性が用意されています。

　手始めに「Sign our Guestbook」という掲示板の書き込みページ（/cgi-bin/badstore.cgi?action=guestbook）にあからさまに怪しいフォームがあるので、そこにクロスサイトスクリプティング（XSS）の脆弱性を探すためによく使われているペイロード「<script>alert("XSS");</script>」を挿入してみましょう。

怪しい個所にXSSのペイロードを挿入してみる

　「Add Entry」ボタンを押してペイロードを送り込むと、ブラウザには「XSS」と書かれたアラートが表示されるはずです。

XSSの脆弱性が見つかった瞬間

　ブラウザの標準機能だけで脆弱性診断を行うのは厳しいので、実際には脆弱性診断のツールなどを使って試すのがよいでしょう。ダウンロードしたマニュアルの2.4章には、脆弱性診断などに使えるお勧めのツール類が載っていますので、そちらも参考にしてみてください。どうしても見つけられない場合や答え合わせには、マニュアルの4章にチートシート（カンニングペーパーのようなもの）が載っているので参考にしてみましょう。

まだまだあるやられWebアプリケーション

　ここでは使いやすくすぐ試せる「BadStore.net」を紹介しましたが、これはどちらかというと入門編に位置付けられます。もの足りない方はほかのやられWebアプリケーションを試してみてはいかがでしょうか。

●WebGoat

　国内では「OWASP Top Ten Project」などで有名なOWASP（The Open Web Application Security Project）が提供しているやられWebアプリケーションです。チュートリアルやヒントなども満載で、脆弱性診断のトレーニングに利用するのに適しています。JavaとTomcatをインストールした環境があれば、WindowsやUNIXなどで動作します。

●moth

　盆栽がロゴのアルゼンチンのセキュリティ会社Bonsaiが提供するやられWebアプリケーションで、Webアプリケーションのセキュリティスキャナーのテストなどを目的として開発されたようです。mod_security経由やPHP-IDS経由などの環境での試験も行うことができます。

　VMwareのイメージで配布されています。インストールは起動して、moth / mothでログインしてネットワーク設定を行うだけです。

●Hacmeシリーズ

　アンチウイルスソフトで有名なMcAfeeが買収したFoundstoneが提供しています。「Hacme Travel」「Hacme Bank」「Hacme Shipping」「Hacme Casino」「Hacme Books」などがあり、それぞれ動作環境が若干異なりますが、基本的にはWindows環境で動作します。

●既知の脆弱性があるアプリケーション

　専用のやられWebアプリケーションではなく、すでに脆弱性があると分かっている古いバージョンのアプリケーションのパッケージなどをダウンロードしてきてセットアップするという方法もあります。

　いうまでもないと思いますが、やられWebアプリケーションを誰でもアクセスできる環境にセットアップしないようにしましょう。