模擬報告を書く — 型に沿って、手元で

前の章の型を、実際に使います。題材は、旗艦コースであなた自身が立てて・見つけた IDOR(127.0.0.1:3000 のメモ掲示板で、他人の非公開メモが ID 指定で見えた件)にします。自分の自作環境での発見なので、安全に「報告書を書く練習」ができます。

法と倫理ゲート

手を動かす前に

このコースは攻撃の技術に触れます。実習してよい相手は、次の3つだけです。

• (a) 自分で作った練習用のやられ環境(このサイトが配る自作ターゲット)
• (b) あなた自身の許可された環境(自分の Thousand SKY・secret-notes-ctf など)
• (c) CTF 競技の中(規約の範囲で)

実在する第三者のシステムを許可なく触ることは、不正アクセス禁止法に触れます。 このゲートは、その線引きを毎回の入口で確かめるためのものです。詳しくは「セキュリティの法と倫理」へ。

上の (a)(b)(c) の範囲だけで実習することに同意します。

テンプレート

これをコピーして、各欄を自分の言葉で埋めてください。

■ 要約
（何が・どこで・どう危ないか。1〜2行）

■ 対象
（URL / 機能 / 画面。分かれば日時・バージョン）

■ 再現手順
1.
2.
3.
（そのとおりにやれば再現する手順を、番号で）

■ 影響
（悪用されると、誰の・どんな情報が・どうなるか）

■ 切り分け（どこまで確認し、どこから先は触っていないか）
（3つの禁を守った範囲を明記する）

■ 修正の提案（あれば・提案として）
（こう直せるのでは、という案。断定しない）

■ 連絡・扱いの希望
（追加確認の連絡先、公表時期の希望など）

記入例(IDOR を題材に)

型が掴めるように、埋めた例を置きます。あなたの言葉で書き直す下敷きにしてください。

■ 要約
ログイン後のメモ表示機能で、他人のメモ ID を URL に指定すると、
本人でなくても非公開メモを閲覧できます（認可不備 / IDOR）。

■ 対象
自作の練習アプリ「メモ掲示板」
GET /notes/:id （例: http://127.0.0.1:3000/notes/3 ）

■ 再現手順
1. ユーザー u1（架空 太郎）としてログインする（/login?as=u1）。
2. 自分の一覧に表示されない ID を URL に直接指定する（/notes/3）。
3. 他ユーザー u2（架空 花子）の非公開メモの本文が表示される。

■ 影響
ログイン済みの利用者なら誰でも、ID を変えるだけで
他人の非公開メモを閲覧できます。連番 ID のため総当たりも容易で、
全利用者の非公開情報が漏れうる想定です。

■ 切り分け
他人のメモが 1 件表示されることを確認した時点で調査を止めました。
複数 ID の総当たりや、表示された内容の保存・持ち出しは行っていません。

■ 修正の提案（提案として）
メモを返す前に、サーバ側で「そのメモの所有者＝ログイン中の利用者」か
を確認し、不一致なら 403 を返す形が考えられます。

■ 連絡・扱いの希望
追加確認が必要でしたらご連絡ください。修正が完了するまで、
本件は公表しません。

書けたら、5つの目で見直す

仕上げに、自分の報告書を次のチェックで見返します。

• 再現できるか — 手順どおりにやれば、本当に再現する?(あいまいな「〜すると」で飛ばしていないか)
• 急ぎ度が伝わるか — 影響から、相手が優先度を判断できるか?
• 節度が伝わるか — 切り分け欄で、必要以上に触っていないと分かるか?
• 責めていないか — 相手を身構えさせる言い回しが混じっていないか?
• 持ち出していないか — 取れたデータの中身を、報告書に貼り付けていないか?(事実と手順で足りる)

持ち帰る一言

型に沿えば、誰でも相手が動ける報告書を書ける。 要約から連絡希望まで、とくに再現・影響・切り分けを具体的に。そして、責めずに・持ち出さずに。この素振りが、いつか本物の場面であなたを支えます。次はまとめて、T0(法と倫理)を締めます。