登録されたそれぞれのシナリオに対して擬似攻撃を送信し、レスポンスを精査して脆弱性を検出します。シナリオは、依存関係を持つエンドポイントのシーケンスです。特定の情報を付与する必要がある場合があります。認証設定を登録することにより、巡回や診断でリクエストを送信する際に付与すべきヘッダー等を指定できます。付与するヘッダー等の値は固定値だけでなく、ログイン操作を表すシナリオをリプレイして動的に抽出することもできます。診断の対象外にしたいこともあるでしょう。そのような場合には、スコープを適切に設定することにより、アプリケーションの特定部分のみを診断することができます。以降のセクションでは、それぞれの概念をより詳しく説明します。スコープ​スコープは、アプリケーションの診断対象とする範囲を定義します。指定することもできます。シナリオ​シナリオは、診断の単位であり、依存関係のあるエンドポイントのシーケンスを表します。以下のようなリクエストの流れをシナリオとして表現でき、エンドポイントの関係性を踏まえた診断が可能となります。リクエストを送信するアイテムを削除するリクエストを送信する前に、アイテムを作成するリクエストを送信するアイテムの作成リクエストを送信した後に、アイテム情報が表示される画面をリクエストし、蓄積型の脆弱性を検出するシナリオは1つ以上のステップから構成され、1つ1つのステップはリクエストを送信するエンドポイントを指します。以下の2ステップからなるシナリオは、アイテムを作成した後にアイテム一覧画面をリクエストするものです。これにより、アイテム作成に起因する蓄積型の脆弱性を検出することができます。入力欄には以下の詳細オプションを記述できます。オブジェクトの配列を指定します。オブジェクトを指定すれば、複数の情報を抽出してそれぞれ変数に格納できます。オブジェクトは、リクエストの結果から値を抽出する方法と、抽出した値を格納する変数名を定義します。基本的な構造は以下の通りです。抽出方法のタイプを指定し、さらに抽出方法ごとの設定項目が続きます。...抽出方法のタイプには以下のいずれかを指定します。いう変数に格納します。いう変数に格納します。ブラウザの開発者ツールを用いて簡単に取得できます。クリップボードにコピーされます。よる検索結果を確認できます。いう変数に格納します。変数に格納した値を、このステップのリクエストパラメータに注入する設定項目です。いうパラメータに注入します。注入先のパラメータを指定します。場合は、パラメータ名をそのまま指定します。場合は、プロパティ名をドットで繋いで注入したい箇所を指定します。部分に値が注入されます。フィールドに記載した変数名を指定します。設定すると、診断時にそのステップに攻撃ペイロードが注入されなくなります。リクエストしてレスポンスに問題がないか検査するシナリオを定義したいとします。付与させることができます。「認証情報の付加箇所」は、リクエストに付与したい情報の箇所を「ヘッダー」「クエリパラメータ」「ボディ」から選択します。リクエストに付与したい値については、「ヘッダー値」または「パラメータ値」の欄にて指定します。付与する値の指定方法としては、「固定値」と「認証リクエストを送信して抽出」の2つがあります。ある場合は「認証リクエストを送信して抽出」が適しています。「固定値」を選択した場合には、リクエストに付与すべき値をそのまま入力します。「認証リクエストを送信して抽出」を選択した場合は、以下の設定項目が追加されます。「認証リクエストのシナリオ」に注入するパラメータを指定します。2つのパラメータを注入します。n}0b6P@5jkjy&7<KFdwANh9f>IY_?,Tyこの設定項目には、以下のプロパティとするオブジェクトの配列を入力します。オブジェクトを用いて指定します。フィールドは省略できます。認証リクエストの送信と抽出を再実行すべき条件を設定します。以下のように設定すると、巡回や診断の初期状態や、前回の抽出から60分が経過した場合に、認証リクエストの送信と抽出が実行されます。フィールドを持ちます。フィールドには以下のいずれかを指定します。フィールドとして指定します。用意された認証処理を使用して認証情報を取得することができます。現時点で対応している認証処理は以下です。「認証リクエストを送信して抽出」を選択し、「認証情報の取得方法」は「用意された認証処理から抽出」に設定すると、指定された認証処理の設定項目が表示されます。等を取得する認証処理です。現時点では、メールとパスワードの認証のみ対応しております。場合だと「認証処理の内容」は以下のフィールドを設定する必要があります。指定する必要があります。フィールドの値は以下が指定可能です。フィールドは値が一つまでしか指定できません。シナリオを後続処理として行う場合のみに複数指定することが可能です。設定された値が抽出されます。「認証情報の更新条件」の設定はシナリオから認証情報を抽出する場合と同じです。等を取得する認証処理です。現時点では、メールとパスワードの認証のみ対応しております。認証の場合だと「認証処理の内容」は以下のフィールドを設定する必要があります。指定する必要があります。フィールドの値は以下が指定可能です。フィールドは値が一つまでしか指定できません。シナリオを後続処理として行う場合のみに複数指定することが可能です。設定された値が抽出されます。「認証情報の更新条件」の設定はシナリオから認証情報を抽出する場合と同じです。等を取得する認証処理です。現時点では、メールとパスワードの認証のみ対応しております。認証のカスタムドメインも現時点では対応しておりません。認証の場合だと「認証処理の内容」は以下のフィールドを設定する必要があります。指定する必要があります。フィールドの値は以下が指定可能です。シナリオを後続処理として行う場合のみに複数指定することが可能です。設定された値が抽出されます。「認証情報の更新条件」の設定はシナリオから認証情報を抽出する場合と同じです。用意された認証処理の後続処理としてシナリオを設定することが可能です。等の外部認証サービスからトークンを受け取り、それを元にアプリケーションがセッションを発行する場合などに適しています。「認証情報の取得方法」は「用意された認証処理に後続処理のシナリオを追加して抽出」を選択します。認証を行った後に「ログイン」というシナリオを実行します。基本的には設定は用意された認証処理とシナリオを単独で設定する場合と変わりませんが、値を用意された認証処理の結果からシナリオに渡すための変更だけは必要です。フィールドを追加します。