リモート Web サーバーでホストされている CGI スクリプトに対して、「admin」、「debug」、または「test」などの追加パラメーターを含むリクエストを送信すると、Nessus は著しく異なる応答を少なくとも 1 つは生成することができました。これは、実際にはパラメーター自体が応答に表示されていなくても可能でした。

こうした動作は、このようなパラメーターが非表示でも、影響を受けるアプリケーションによって使用されることを示唆しており、攻撃者が認証をバイパスしたり、機密データを読み込んだり（スクリプトのソースなど）、アプリケーション動作を改ざんしたり、権限取得のために類似の攻撃を行えたりする可能性があることを示唆しています。

注意：このスクリプトは実験段階であるため、偽陽性になりやすい傾向があります。

検出

CGI 汎用非表示パラメーターの検出

medium Nessus プラグイン ID 44134

変更ログが見つかりません