SSTエンジニアブログスマートフォン用の表示で見るSSTエンジニアブログSSTのエンジニアによるWebセキュリティの技術を中心としたエンジニアブログです。脆弱性診断はじめまして!百田と申します。普段は脆弱性診断を業務としています。お恥ずかしながら、その他のローカルプロキシツールはほとんど使ったことがありません...。使ってみることに!ということで、今回はそのときのことについて、のらりくらりと書き綴ります。どんなものかを書いておきます。通信における、リクエスト/レスポンス内容の確認や改変が可能なツールです。(それ以外にも色々できるようですが...。プロキシ、ローカルプロキシなどと呼ばれています。使われている印象です。カスタマイズできる機能です。通信に対し、リクエストの内容の一部を自動で改変するという用途で使用しました。サイトにおいて、以下のような条件を持つファイルアップロードの機能を診断することになりました。エンコードされていない場合にはエラーが発生する※他にも細かい条件がありましたが、さまざまな理由により省略しています。Technology診断の際には、疑似攻撃値を挿入して、リクエストを送信します。例として、疑似攻撃値が"Script"という文字列だった場合は、以下のようにします。値の末尾に"Script"を挿入している診断業務では、さまざまな疑似攻撃値を挿入してリクエストを送信する作業に、それ専用のツールを使用しています。ここで、ひとつ疑問が浮かびあがりました。エンコードし、リクエストを送信したらどうなるだろうか?」つまりこういうことですね。エンコードして送信する機能がありません。しようかなーと思っていると、ふと、あるえらいひとが度々こんなことを言っていたことを思い出しました。他のプロキシツールにもちょっとは興味がありました。使ってみることにしました。インストール(実際はインストール済みでしたが、一応記載しています。使い方を一切知らなかったため、以下の記事を読みました。実行させられることがわかりました。機能も使ってみようということで、今回は以下の設定を行いました。サイトに実装を似せたローカルの検証環境を指定しています。この設定によって検証環境への通信に対してのみ、指定したスクリプトが実行されます。いうのが今回指定したスクリプトです。スクリプトの内容は以下のとおりです。//元から存在するものは省略}このスクリプトはとりあえず動けばいいという感覚で書いたため、何かしらの考慮漏れがあると思います。通して診断対象の機能へ疑似攻撃を行うだけです。苦労したこと初めてやることには苦労がつきものです。使えたように見えますが、実際には何度もコケています。使うにあたって苦労したことをつらつらと書きます。いうプログラミング言語を使用して書きますが、この言語で苦戦しました。