owasp-top10-analysis

OWASP Top 10 分析

Web アプリケーションをカテゴリーごとに確認し、見落としがないようにします。

カテゴリー別チェックリスト（2021）

A01 アクセス制御の不備

• IDOR をテストします。2 つのテストアカウント間で識別子（ユーザー ID、UUID、ファイル名）を入れ替えます
• UI 上で隠すだけでなく、すべてのエンドポイントでサーバー側の強制が行われていることを確認します
• HTTP メソッドのオーバーライド、ID 内のパストラバーサル、プロフィール更新時のマスアサインメントを試します
• ログアウト後やロール降格後に、管理者用ルートへ強制ブラウジングできないことを確認します

A02 暗号化の失敗

• TLS 1.2 以上のみが許可され、HSTS が設定されていることを確認します
• 平文プロトコル、ハードコードされたキー、パスワードに対する弱いハッシュ（MD5／SHA1）を探します
• パスワードがユーザーごとのソルトとともに bcrypt／argon2 でハッシュ化されており、シークレットがクライアントバンドルに含まれていないことを確認します

A03 インジェクション

• SQL／NoSQL／ORM インジェクション：パラメーター化クエリが使用されていることを確認します。検索だけでなく、sort／filter／order パラメーターもテストします
• ファイルアップロード／ファイル名の処理、画像処理、PDF 生成における OS コマンドインジェクション
• メール／レンダリング機能におけるヘッダーインジェクション、テンプレートインジェクション（SSTI）

A04 安全でない設計

• ビジネスロジックの悪用：負の数量、通貨の混同、クレジット／クーポン処理での競合状態
• 信頼境界の侵害：クライアント側で算出される価格、署名されていない割引トークン

A05 セキュリティ設定の不備

• デバッグモード、デフォルト認証情報、詳細すぎるエラー、ディレクトリー一覧表示
• 不要な機能の有効化（PUT、TRACE）、過度に許可的な CORS（認証情報と * の併用）

A06 脆弱なコンポーネント

• SBOM を既知の CVE と照合し、管理されていない／EOL の依存関係にフラグを立てます
• クライアント側のライブラリーも確認します（npm audit／Retire.js のシグナル）

A07 認証の失敗

• クレデンシャルスタッフィングへの耐性（レート制限、MFA）、セッション固定、脆弱なパスワードポリシー
• セッショントークン：ログイン時に更新され、ログアウト時に無効化され、secure／httpOnly フラグが設定されていること
• MFA のバイパス経路：リセット、バックアップコード、OAuth アカウントのリンク

A08 完全性の失敗

• 署名されていないアップデート／信頼できないデータのデシリアライズ（対象を選択します：memcached、JWT、ファイルパーサー）
• CI/CD パイプライン：依存関係の固定、来歴の検証

A09 ログ記録とモニタリング

• 認証イベント、アクセス制御の拒否、入力検証の失敗が、コンテキストとともにログに記録されていること
• ログにパスワード／トークンが含まれず、ブルートフォース攻撃に対するアラートが設定されていること

A10 SSRF

• URL を取得する機能（Webhook、インポーター、プレビュー生成ツールなど）：localhost、リンクローカル（169.254.169.254）、IPv6 の同等のアドレス、DNS リバインディングをテストします
• スキームとリダイレクトの処理がサーバー側で強制されていること

出力

各所見について、カテゴリー、証拠、再現手順、重大度、修正方法を記載します。網羅性を示す証拠として、カテゴリーごとに確認済みの該当なし項目も記録します。