Webアプリケーション診断

Webアプリケーション診断では、保有するWebアプリケーションシステムに対して、疑似攻撃を行い、Webアプリケーションシステムに存在する情報漏えいや改ざんといった様々なリスクを調査するサービスです。

サービス内容

Webアプリケーション診断は、手動診断をメインとし、網羅性や機械的なテストを実現するため独自の補助ツールを組み合わせて疑似攻撃を行い、Webアプリケーション上の脆弱性を調査するサービスです。

MBSDのWebアプリケーション診断サービスは2001年から他社に先駆けてスタートし、豊富な手動診断の経験と技術力を保有しています。

3,000サイト以上、100,000リクエスト以上の診断実績(2017年4月～2022年3月実績)

新たな脆弱性(0day)や脆弱性を検出する手法に関するドキュメントの公開などを行っています。
技術ドキュメントはこちらで公開しています。

JPCERT/CCとIPAが共同で運営するJVN（Japan Vulnerability Notes）への脆弱性報告の公表において、新たな脆弱性(0day)を累計200件以上も報告しています。未知の脆弱性を発見する高いスキルを持つセキュリティエンジニアが弊社に多数在籍しています。

診断項目	詳細
HTTPSの適用有無 HTTPSの適用範囲(機能)	HTTPSの未使用/適用漏れ

診断項目	詳細
認可処理の有無/認可方法認可処理の適用範囲	認可制御の欠如不正なパラメータ操作による越権不正な画面遷移による越権

診断項目	詳細
セッション管理方法セッションIDの設計セッションIDの生成/再生成/破棄 Cookieの生成/破棄 Cookieの用途画面遷移の管理/監視有無	セッションハイジャックセッションフィクセーションセッションIDの漏えい Cookie発行時の不備(Secure) Cookie発行時の不備(httpOnly) クロスサイトリクエストフォージェリ

診断項目	詳細
入力値の形式入力値の検証有無/検証方法入力値の用途入力値の取扱いアップロード処理の有無と挙動	入力値検証の回避 SQLインジェクションディレクトリトラバーサル OSコマンドインジェクション HTTPヘッダインジェクション不正なファイルアップロードバッファオーバーフローその他の各種インジェクション

診断項目	詳細
コンテンツの生成方法値の出力有無/出力形式/出力箇所例外発生時の挙動	クロスサイトスクリプティング不要なエラーメッセージの出力不要な情報の出力(HTMLコメント)

診断項目	詳細
設計/仕様上の問題機能の悪用可否クロスオリジンのアクセス制御設定	オープンリダイレクトサーバサイドリクエストフォージェリ不正なパラメータ操作ビジネスロジックに関わる不備不要な情報の出力デバッグ機能の残存 JavaScriptハイジャック

診断項目	詳細
製品/ソフトウェアの設定公開コンテンツ	バージョン情報の出力ローカルIPアドレスの出力不要なHTTPメソッドが有効コンテンツの公開設定不備ディレクトリインデックス