私は試したことがないが、脆弱性診断というサービスがあるらしい。それを受けると数十万かかり、また結果を受け取るのに１週間ほどかかるらしい。
とてもではないが、一般では簡単には手を出すことができないサービスであることはわかる。
だがしかし、最近勉強会で知ったのだが、「vaddy」というサービスを教えてもらった。
vaddyってなに？
こちらです。
脆弱性診断がなんと無料で診断してもらえる。さらにJenkinsなんかのCIに組みこむこともできる。
ただ、すべてを診断してもらうには有料プランにアップグレードしなければいけないが、XSSとSQLインジェクションでも十分うれしいサービスだと思う。
せっかくなので、色々なサイトに試してみたが、特に脆弱性は確認できず(´・ω・`)
いや、すごくいいことなんだけど。
で、とある案件にアサインしたときにPlayframeworkを使って開発しているサイトがあったんだけど、「ここでもためそうかな」と思って診断したところ、そこで脆弱性が見つかった（°ω°；
おおっと！これが脆弱性が見つかった画面か！
喜んだ直後、XSSのサイトを開発してしまったと後悔しました。。。落ち込みましたorz
ちなみに脆弱性のコードはこちら
Html(formValue.get.memo.replaceAll("(\r\n|\r|\n)","<br>"))
Viewのコードで、とあるデータを引っ張ってきて、改行を<br>へ変更して、html表示するというコード。
「あー」って思った人は私はあざ笑ってください。もうご存知ですね。これでは<script>タグが余裕で動作します。XSSです。
これはすぐに修正しました。
とまぁ、こんな感じで脆弱性を発見できることができましたとさ。ありがとうVaddy！
え？俺？！ アッハイ反省しております.......orz
