入力および出力に関することでもう1つ特記すべきこととして、セッション変数を利用したWebアプリケーションでは、入力と出力の場所が異なる場合が多いことが挙げられる。このような場合にも検査を行えるツールはすでに存在はするが、多くのツールではページをまたがった検査には対応できていないのが現状である。そのため、ツールによる脆弱性の自動検知は難しくなる場合が多い。攻撃者から見た場合、入力と出力の場所が異なることは容易に把握することができ、手動での攻撃には、脆弱となる場合も少なくない。セッション変数で画面遷移状態を管理している場合などでは、セッション状態を考慮していないツールではそもそも該当の機能に到達すること自体が難しくなる場合が存在する。そのようなWebアプリケーションはセッションの状態(セッション変数の状態)を考慮した検査が可能なツールを利用するか、手動での検査を必要とする。hiddenを利用した場合とセッション変数を利用した場合とでは、作り自体が異なってくるため、発生する問題の個所も異なる場合がある。特定の問題が解決された分、別の問題が発生している可能性があることを考えておかなければならない。メールマガジンをご購読ください。申し込みページへITmediaはアイティメディア株式会社の登録商標です。