mod_negotiation および Multiviews を有効にして構成された Apache Web サーバーは、拡張子のないファイル名を持つ細工された無効なリクエストを受信すると、既知の MIME タイプと一致するリソースの疑似ディレクトリリストを返す可能性があります。この機能が攻撃者に悪用され、ブルートフォースメソッドに頼らずにサーバー上の非表示のリソースが発見される可能性があります。スキャナーが、この手法を使用してサーバー上のファイルを検出しました。

ターゲットで Humans.txt ファイルが検出されました。

Humans.txt は、Web サイトの構築に貢献したさまざまなユーザーに関する情報を含むファイルです。

ターゲットで Security.txt ファイルが検出されませんでした。

Web サービスのセキュリティリスクが独立したセキュリティ研究者によって発見された場合、このファイルはチャネルを定義して適切に開示され、サードパーティの研究者が組織によって定義された方法で問題を安全に開示できるようにします。

組織は、連絡先やその他の情報が定義された形式で含まれる security.txt ファイルの作成を検討し、そのファイルをサーバーの .well-known ディレクトリの下に配置する必要があります。

ターゲットで Security.txt ファイルが検出されました。

Web サービスのセキュリティリスクが独立したセキュリティ研究者によって発見された場合、このファイルはチャネルを定義して適切に開示されます。

そのため、セキュリティの問題が、組織によって定義された方法でサードパーティの研究者によって安全に開示される可能性があります。

リモートホストには、Web「ロボット」がメンテナンスやインデックス作成目的で Web サイトの特定のディレクトリを訪問しないように意図された、「robots.txt」という名前のファイルが含まれています。悪意のあるユーザーは、影響を受けるサイトにある機密文書やディレクトリを知るためにこのファイルのコンテンツを使用できることや、直接それらを取得できることや、他の攻撃の標的にできることもあります。

サイトマッププロトコルを使用すれば、クロールに利用可能な Web サイト上の URL について検索エンジンに通知することができます。最も単純な形態のサイトマップは、サイトの URL を一覧表示した XML ファイルです。

多くのサイト所有者が、スパイダリングを通してサイトマップを構築しているのではなく、Web ルートディレクトリ構造に対するスクリプト化された実行によって構築していることがわかっています。その場合は、攻撃者が、サイトマップを使用して、Web サーバールート内のすべてのファイルとディレクトリを列挙できる可能性があります。

Apache サーバーは、.htaccess や .htpasswd ファイルへのアクセスを適切に制限しません。認証されていないリモートの攻撃者がこれらのファイルをダウンロードして、重要な情報を漏洩する可能性があります。

通常、ファイルの共有には、ディレクトリリストを許可する Web サーバーが使用されます。

ディレクトリリストを使用して、クライアントは、Web サーバーでホストされているすべてのファイルとフォルダの簡単なリストを表示できます。クライアントは、各ディレクトリをトラバースし、ファイルをダウンロードできます。

サイバー犯罪者は、ディレクトリリストの存在を利用して、機密ファイルを発見したり、保護されたコンテンツをダウンロードしたり、Web アプリケーションの構造を学んだりします。

スキャナーが、影響を受けるページがディレクトリリストを許可していることを検出しました。

ファイルを Web サーバーにアップロードするメソッドはいくつもあります。使用できるメソッドの 1 つは、HTT Pの「PUT」メソッドです。「PUT」メソッドは主にアプリケーションの開発中に使用され、開発者は Web ルート内のサーバーにファイルをアップロード (または配置) できるようになります。

設計の性質上、通常、「PUT」メソッドにはフィルタリング機能がないため、サーバー側の実行可能なコード (PHP、ASP など) をサーバーにアップロードすることが可能です。

サイバー犯罪者は、既存のページを改ざんしたり、Web シェルをアップロードしてサーバーをコントロールしたりしようとして、「PUT」メソッドをサポートしているサーバーを検索します。

スキャナーが、影響を受けるパスによってクライアントが「PUT」メソッドを使用できるようになることを検出しました。このテスト中、スキャナーは Web ルート内のサーバー上でファイルを「PUT」し、その場所に対して「GET」リクエストを正常に実行し、コンテンツを検証しました。

スキャナーは、サイバー犯罪者と同じ方法を利用して、リモートの Web サーバーに Web バックドアまたは Web シェルが存在する可能性があると判断できました。サーバーが以前に侵害された場合、サイバー犯罪者は高い確率でバックドアをインストールして、必要に応じてサーバーに簡単に戻ることができます。これを達成する 1 つの方法は、Web サーバーの Web ルート内に Web バックドアまたは Web シェルを配置することです。これにより、サイバー犯罪者は HTTP/S セッションを通じてサーバーにアクセスできるようになります。非常に不適切な慣行ですが、管理者が Web バックドアまたは Web シェルをそこに配置し、リモートで管理アクティビティを実行できるようにしている可能性があります。攻撃の最初の偵察段階で、サイバー犯罪者は、最も一般的でよく知られているものの名前をリクエストして、これらの Web バックドアまたはシェルを特定しようとします。応答を分析することで、Web バックドアまたは Web シェルが存在するかどうかを判断できます。これらの Web バックドアまたは Web シェルは、サーバーをさらに侵害する容易なパスを提供する可能性があります。

Web サーバーで使用できる HTTP メソッドはいくつもあります (「OPTIONS」、「HEAD」、「GET」、「POST」、「PUT」、「DELETE」など)。これらのメソッドはそれぞれ異なる機能を実行し、Web サーバーでの使用が許可されている場合に、それぞれ関連するレベルのリスクがあります。

Apache の「.htaccess」ファイル内の「<Limit>」ディレクティブを使用して、管理者はブロックしたいメソッドを定義できます。ただし、これはブラックリスト化のアプローチであるため、サーバー管理者が誤って特定の HTTP メソッドのブロックのために追加し忘れ、アプリケーションやサーバーに対するリスクのレベルを増大させる可能性があります。

スキャナーが 1 つ以上の HTML オブジェクトタグを検出しました。このタグは、オーディオ、ビデオ、Java アプレット、ActiveX、PDF、Flash などのマルチメディアを HTML ページに埋め込むために使用されます。

Web Distributed Authoring and Versioning (WebDAV) は、Web サーバーに対する基本的なファイル管理 (読み取りおよび書き込み) を可能にする機能です。この機能により、基本的には Web サーバーをクライアントが従来のファイルシステムとしてマウントできるようになり、ユーザーは、他のメディアやネットワーク共有と同じように、非常に単純な方法でアクセスできるようになります。

発見されると、攻撃者は WebDAV の有効なディレクトリから情報を収集しようとしたり、悪意のあるファイルをアップロードしたりして、サーバーを危険にさらす可能性があります。

スキャナーが、影響を受けるページが WebDAV アクセスを許可していることを検出しました。これは、サーバーが WebDAV に固有のいくつかの特定のメソッド (「PROPFIND」、「PROPPATCH」など) を許可するために検出されました。ただし、スキャナーがこの機能をサポートしているため、WebDAV コンポーネントでさらにテストする必要があります。

スキャナーが、リモートの Web サーバーで共通のディレクトリを検出しました。

Web アプリケーションは多くの場合、複数のファイルとディレクトリで構成されています。時間の経過とともに、一部のディレクトリが Web アプリケーションによって参照されない (使用されない) ようになり、管理者や開発者によって忘れられる可能性があります。Web アプリケーションは共通のフレームワークを使用して構築されているため、発見できる共通のディレクトリが含まれています (サーバーに依存しません)。

攻撃の最初の偵察段階で、サイバー犯罪者はディレクトリが Web アプリケーションのさらなる侵害に役立つことを見込んで、参照されていないディレクトリを見つけようとします。これを行うために、サイバー犯罪者は一般的な名前を含む単語リストを使用して何千ものリクエストを行います。サーバーからの応答ヘッダーは、ディレクトリが存在するかどうかを示します。

スキャナーが、リモートの Web サーバーで共通の機密ファイルを検出しました。

Web アプリケーションは多くの場合、複数のファイルとディレクトリで構成されています。時間の経過とともに、一部のファイルが Web アプリケーションによって参照されない (使用されない) ようになり、管理者や開発者によって忘れられる可能性があります。Web アプリケーションは共通のフレームワークを使用して構築されているため、発見できる共通のファイルが含まれています (サーバーに依存しません)。

攻撃の最初の偵察段階で、サイバー犯罪者はファイルが Web アプリケーションのさらなる侵害に役立つことを見込んで、参照されていないファイルを見つけようとします。これを行うために、サイバー犯罪者は一般的なファイル名を含む単語リストを使用して何千ものリクエストを行います。サーバーからの応答ヘッダーは、ファイルが存在するかどうかを示します。

HTTP TRACE メソッドを使用すると、クライアントはサーバーにリクエストを送信し、サーバーの応答で同じリクエストを返すことができます。これにより、クライアントは、サーバーがリクエストを期待通りに受信しているかどうかを判断できます。多くの場合、このメソッドはデバッグ目的で使用されます (リクエストが変更されずに到着することを検証するなど)。

多くのデフォルトのインストールでは TRACE メソッドがまだ有効になっています。

それ自体は脆弱ではありませんが、サイバー攻撃者に HTTPOnly Cookie フラグをバイパスする方法を提供するため、XSS 攻撃によってセッショントークンへのアクセスに成功する可能性があります。

スキャナーが、影響を受けるページが HTTP TRACE メソッドを許可することを検出しました。

ID	名前	深刻度
113165	Apache mod_negotiation の代替ファイル名の漏洩	medium
113041	Humans.txt ファイルが検出されました	info
112723	Security.txt ファイルが検出されませんでした	info
112722	Security.txt ファイルが検出されました	info
98705	Robots.txt ファイルが検出されました	info
98681	Sitemap.xml ファイルが検出されました	info
98630	Apache の .htaccess と .htpasswd の漏洩	medium
98084	ディレクトリリスト	medium
98099	一般に書き込み可能なディレクトリ	high
98097	バックドアの検出	critical
98095	.htaccess ファイルの LIMIT ディレクティブの不適切な構成	medium
98092	HTML オブジェクト	info
98087	WebDAV	info
98072	共通ディレクトリの検出	info
98071	共通ファイルの検出	info
98048	HTTP TRACE が許可されています	low

検出

Web App Scanning 用の Web Servers ファミリー

medium

info

info

info

info

info

medium

medium

high

critical

medium

info

info

info

info

low