発見から、再現手順を固める

前章で偵察した対象に、これまでのコースの目で穴を見つけたとします。次にやることは、もう一度確かめること——ではありません。誰が読んでも、あなたと同じ結果にたどり着ける手順に固めることです。

悪い再現手順を、読んでみる

こんな再現手順を、報告書で見たことがあるかもしれません。

悪い例:
ログインして、注文のページを見ると、他人の情報が見えることがある。

良い再現手順の条件

sec-authz で見つけた IDOR(vuln-portal.js の /orders/1002)を題材に、良い手順を書いてみます。

良い例:

前提: サーバ(vuln-portal.js)が http://127.0.0.1:3600 で起動していること。

1. ブラウザで http://127.0.0.1:3600/login?as=t1 を開く(ユーザー t1 としてログイン)。
2. 続けて http://127.0.0.1:3600/orders を開き、自分の注文一覧を確認する。
   → 注文 ID 1001(三脚・8000円)のみが表示される。
3. ログインしたまま、http://127.0.0.1:3600/orders/1002 を直接開く。
   → 期待: 403(権限エラー)。実際: 200 で、別ユーザー t2 の注文
      (フィルム・3000円)が表示される。

固める、というプロセス

「見つけた」瞬間の操作は、たいてい行き当たりばったりです。あちこち試して、偶然うまくいく。そのままでは、再現手順になりません。

演習

自分が過去のコースで見つけた穴を1つ選び、上の型で再現手順を書き出してみてください。書けたら、一晩置いてから読み返す(あるいは、いま書いた前提を忘れたつもりで読む)と、抜けが見つかりやすくなります。

持ち帰る一言

あなたの記憶ではなく、他人が辿れる手順を書く。 前提を明記し、番号付きの具体的な操作で、期待と実際を対比させる。行き当たりばったりの発見を、最短の再現手順に固める作業が、報告書の心臓を作ります。次は、その穴が「どれくらい深刻か」を評価します。