html-injection-testing

⚠️ 許可された用途のみ このスキルは、教育目的または許可されたセキュリティ評価のみに使用してください。 このツールを使用する前に、システム所有者から明示的な書面による許可を得る必要があります。 このツールの不正使用は違法であり、固く禁じられています。

必須の確認ゲート 対象の調査、悪用、変更、永続化、データの抽出、または認証情報へのアクセスを試みるコマンドを実行する前に、次の手順を実施してください。

1. ユーザーに正確な対象の URL、IP、アカウント、またはリソースを明示するよう求めます。
2. 書面による許可と許可された範囲を確認するようユーザーに求めます。
3. 正確なコマンドを提示し、想定される影響を説明します。
4. 現在の会話内で明示的な確認が得られるまで待ちます。

その確認がない場合は、読み取り専用の対応にとどめ、防御に関するガイダンスのみを提供してください。サンドボックス、使い捨ての VM、または管理されたラボを優先してください。

許可された用途のみ：このスキルは、許可されたセキュリティ評価、防御的な検証、または管理された教育環境でのみ使用してください。

HTML インジェクションのテスト

詳細ガイド

このスキルを実行する前に、詳細ガイドをお読みください。完全な手順と参考資料が記載されています。安全性、前提条件、検証要件は必須として扱ってください。特定の作業では関連するセクションを読み込み、最初から最後まで作業する場合はガイド全体をお読みください。

前提条件

必要なツール

• 開発者ツールを備えた Web ブラウザー
• Burp Suite または OWASP ZAP
• Tamper Data または同等のプロキシ
• ペイロードのテスト用 cURL

必要な知識

• HTML の基礎
• HTTP リクエスト／レスポンスの構造
• Web アプリケーションの入力処理
• HTML インジェクションと XSS の違い

制約と制限事項

攻撃の制限事項

• ブラウザーは一般に提供されたマークアップを解析するため、サニタイズはアプリケーション側の責任です
• CSP によってインラインスタイルやスクリプトが阻止されることがあります
• WAF によって一般的なペイロードがブロックされる場合があります
• 出力を適切にエスケープするアプリケーションもあります

テスト時の考慮事項

• HTML インジェクションと XSS を区別します
• ブラウザーで視覚的な影響を確認します
• 複数のブラウザーでテストします
• 保存型か反射型かを確認します

深刻度の評価

• 深刻度は実際の状況と影響によって異なります。HTML のみのインジェクションは、実証されたスクリプト実行とは異なります
• フィッシングと組み合わさると影響が大きくなります
• 改ざんや評判への損害を考慮します
• 認証情報を窃取できる可能性を評価します

使用する場面

このスキルは、概要で説明されているワークフローまたはアクションを実行する際に適用できます。