web-security-testing

⚠️ 許可された用途のみ このスキルは、教育目的または許可されたセキュリティ評価のみを対象としています。 このツールを使用する前に、システム所有者から書面による明示的な許可を得る必要があります。 このツールの不正使用は違法であり、固く禁じられています。

Web セキュリティテストのワークフロー

概要

インジェクション攻撃、XSS、認証の不備、アクセス制御の問題など、OWASP Top 10 の脆弱性に対する Web アプリケーションのテストに特化したワークフローです。

このワークフローを使用する場合

次の場合にこのワークフローを使用します：

• Web アプリケーションのセキュリティをテストする場合
• OWASP Top 10 の評価を実施する場合
• ペネトレーションテストを実施する場合
• セキュリティ制御を検証する場合
• バグバウンティハンティングを行う場合

必須の確認ゲート 対象へのプローブ、悪用、変更、永続化、データ抽出、または認証情報へのアクセスを試みるコマンドを実行する前に、次の手順を実施してください：

1. 正確な対象の URL、IP、アカウント、またはリソースをユーザーに明示してもらいます。
2. 書面による許可と許可された範囲を確認するようユーザーに求めます。
3. 正確なコマンドを提示し、想定される作用を説明します。
4. 現在の会話で明示的な確認が得られるまで待ちます。

その確認が得られない場合は、読み取り専用にとどめ、防御に関するガイダンスのみを提供してください。サンドボックス、使い捨て VM、または管理されたラボを優先してください。

許可された評価範囲

上記の必須のコマンドごとの確認ゲートに加えて、テスト期間、リクエスト制限、除外するパス、中止条件を定めてください。バグバウンティへの参加だけでは、記載されたすべてのテストが許可されるわけではありません。合成アカウント／データと非破壊的なプローブを使用してください。認証情報のスタッフィング、ブルートフォース、保存型ペイロード、自動スキャナーの使用には、明示的な範囲の許可が必要です。不安定な状態や予期しない機密データが確認された場合は中止し、必要最小限の証拠のみを編集して保持してください。また、網羅的なテストを実施したと記載せず、未テストの領域を報告してください。

ワークフローのフェーズ

フェーズ 1：偵察

呼び出すスキル

• scanning-tools - セキュリティスキャン
• top-web-vulnerabilities - OWASP の知識

アクション

1. アプリケーションの攻撃対象領域をマッピングする
2. テクノロジーを特定する
3. エンドポイントを検出する
4. サブドメインを探す
5. 調査結果を記録する

コピー＆ペースト用プロンプト

Use @scanning-tools to perform web application reconnaissance

フェーズ 2：インジェクションテスト

呼び出すスキル

• sql-injection-testing - SQL インジェクション
• sqlmap-database-pentesting - SQLMap

アクション

1. SQL インジェクションをテストする
2. NoSQL インジェクションをテストする
3. コマンドインジェクションをテストする
4. LDAP インジェクションをテストする
5. 脆弱性を記録する

コピー＆ペースト用プロンプト

Use @sql-injection-testing to test for SQL injection

Use @sqlmap-database-pentesting to automate SQL injection testing

フェーズ 3：XSS テスト

呼び出すスキル

• xss-html-injection - XSS テスト
• html-injection-testing - HTML インジェクション

アクション

1. 反射型 XSS をテストする
2. 格納型 XSS をテストする
3. DOM ベースの XSS をテストする
4. XSS フィルターをテストする
5. 調査結果を記録する

コピー＆ペースト用プロンプト

Use @xss-html-injection to test for cross-site scripting

フェーズ 4：認証テスト

呼び出すスキル

• broken-authentication - 認証テスト

アクション

1. 認証情報のスタッフィングをテストする
2. ブルートフォース対策をテストする
3. セッション管理をテストする
4. パスワードポリシーをテストする
5. MFA の実装をテストする

コピー＆ペースト用プロンプト

Use @broken-authentication to test authentication security

フェーズ 5：アクセス制御テスト

呼び出すスキル

• idor-testing - IDOR テスト
• file-path-traversal - パストラバーサル

アクション

1. 垂直権限昇格をテストする
2. 水平権限昇格をテストする
3. IDOR の脆弱性をテストする
4. ディレクトリトラバーサルをテストする
5. 不正アクセスをテストする

コピー＆ペースト用プロンプト

Use @idor-testing to test for insecure direct object references

Use @file-path-traversal to test for path traversal

フェーズ 6：セキュリティヘッダー

呼び出すスキル

• api-security-best-practices - セキュリティヘッダー

アクション

1. CSP の実装を確認する
2. HSTS の設定を検証する
3. X-Frame-Options をテストする
4. X-Content-Type-Options を確認する
5. リファラーポリシーを検証する

コピー＆ペースト用プロンプト

Use @api-security-best-practices to audit security headers

フェーズ 7：レポート作成

呼び出すスキル

• reporting-standards - セキュリティレポート

アクション

1. 脆弱性を記録する
2. リスクレベルを評価する
3. 修正方法を提示する
4. 概念実証を作成する
5. レポートを生成する

コピー＆ペースト用プロンプト

Use @reporting-standards to create security report

OWASP Top 10（2021）チェックリスト

これは2021年版の分類です。評価で必要な版を選び、対象範囲を明示的に対応付けてください。チェックリストは、すべてのカテゴリをテストした証明にはなりません。

• A01：アクセス制御の不備
• A02：暗号化の失敗
• A03：インジェクション
• A04：安全でない設計
• A05：セキュリティ設定の不備
• A06：脆弱なコンポーネント
• A07：認証の失敗
• A08：ソフトウェア／データの整合性
• A09：ログ記録／監視
• A10：SSRF

品質ゲート

• OWASP Top 10 のすべてをテスト済み
• 脆弱性を文書化済み
• 概念実証を記録済み
• 修正方法を提示済み
• レポートを生成済み

関連ワークフローバンドル

• security-audit - セキュリティ監査
• api-security-testing - API セキュリティ
• wordpress-security - WordPress セキュリティ

制限事項

• タスクが上記で説明した範囲に明確に該当する場合にのみ、このスキルを使用してください。
• 出力を、環境固有の検証、テスト、または専門家によるレビューの代わりとして扱わないでください。
• 必要な入力、権限、安全上の境界、または成功基準が不足している場合は、作業を中断して確認を求めてください。