サービス概要
公開Webサイト、会員向けサービス、管理画面、業務システム、Web APIなどを対象に、外部からの攻撃とログイン後の権限悪用を検証します。一般的な脆弱性に加え、役割ごとの操作範囲や業務フロー、非同期処理、外部サービス連携など、システム固有の挙動を確認します。
設計資料やソースコードをご提供いただける場合は、外部から観測しにくい条件分岐やデータフローも対象にできます。
対象例
- コーポレートサイト、EC、予約・決済、会員向けサービス
- 管理画面、社内業務システム、マルチテナント型SaaS
- REST、GraphQL、WebSocketなどを利用するWeb API
- 認証基盤、外部ID連携、ストレージ、メール、決済などの連携機能
- 開発中のテスト環境、リリース前のシステム、運用中のサービス
主な検証観点
認証・認可とセッション
アカウントの識別、パスワード再設定、多要素認証、セッション管理、ロールやテナントの境界を確認します。権限や認証の設定だけでなく、認証の回避につながる脆弱性も検証します。
入力とデータ処理
SQL／OSコマンドなどのインジェクション、XSS、SSRF、パストラバーサル、データ競合、デシリアライズ、テンプレート処理など、入力が到達する処理に応じて不備を確認します。
仕様とビジネスロジック
金額や数量、状態遷移、承認フロー、非同期ジョブなどを分析し、正常な機能の組み合わせによって制約を回避できないか検証します。
構成と外部連携
セキュリティヘッダー、キャッシュ、エラー情報、公開ファイル、既知の脆弱性に加え、クラウドや外部APIへ渡る認証情報と信頼関係を確認します。
攻撃・リスクの具体例
- IDを書き換えることで、別ユーザーや別組織の情報を閲覧・変更できる
- URL取得機能からクラウドのメタデータや内部APIへアクセスできる
- ファイルアップロードと公開経路の不備を組み合わせ、意図しないデータが実行・配信できる
- 同時リクエストによって在庫、残高、利用回数などの制限を超えられる
- 不正な入力を与えることで、メモリ不足やデッドロックなどによるサービス妨害が発生する
進め方と成果物
対象URL、画面・API、利用者ロール、テスト用アカウント、重要な機能などを整理し、実施範囲（スコープ）と禁止操作を決めます。本番環境を対象とする場合は、負荷やデータ変更を避ける条件を個別に設計します。
報告書には、再現手順、想定される影響、技術的な原因、推奨対策、対応優先度を記載します。必要に応じて、安全な範囲で脆弱性を再現可能なリクエストやPoCも共有します。