「まあ、後で気が向いたらちゃんと見てあげるよ」HTTPリクエスト書き換えツールでは、HTTPのリクエストを直接編集できるモードと、解析されたパラメータ(Header、GETパラメータ、POSTパラメータ、Cookieなど)ごとに編集するモードを備えているものもある。HTTPとして正しくないリクエストが送信されたときの挙動などを調べる際にはHTTPのリクエストを直接編集した方がよいが、多くのWebアプリケーションに対するテストでは、Webアプリケーションで使われる特有の値であるGET、POST、Cookieパラメータを操作することの方が多い。解析されたパラメータを一覧で閲覧・編集することで、よりテストをスムーズに行うことが可能となる。(こうやってきれいに整理してあれば、眺めているだけでおかしなパラメータとか見つけられそうだな)実際に、このような形で送信されているパラメータの一覧を見るだけでも、基本的なミスはいくつか発見できることがある。ディレクトリトラバーサルの脆弱性のようなパラメータ値の形式だけである程度推測できるものや、クロスサイトリクエストフォージュリ(CSRF)のような送信されるパラメータの構成・性質で脆弱か否かを判断できるものが挙げられる。いったツールを利用しない場合でも、Webアプリケーションのテストにおいて実際にブラウザから送信されるパラメータの一覧を調べることをお勧めする。「何となくHTTPの基本は分かった気がするから、今度はWebアプリを作るときに使ってみようっと!」きょうの格言HTTPリクエストのパラメータを見れば脆弱性が見えてくるツールを利用するなどしてHTTPリクエストのパラメータを可視化することで今まで見えていなかった脆弱性のかけらが見えてくる。としはる)セキュリティコンサルタントとして、主にWebアプリケーションのセキュリティ検査やWebアプリケーション検査ツールの開発などに従事している。大手ショッピングサイトなどの検査実績を持つ。メールマガジンをご購読ください。申し込みページへITmediaはアイティメディア株式会社の登録商標です。