Webアプリケーションの隠れたフィールド操作 - ダミー

一部のWebサイトおよびアプリケーションは、Webページに隠れたフィールドを埋め込み、ウェブサーバとブラウザとの間に状態情報を保存する。非表示のフィールドはWebフォームで表現されます。

コーディングが貧弱なため、隠されたフィールドには、バックエンドデータベースにのみ格納される機密情報（電子商取引サイトの製品価格など）が含まれることがよくあります。ユーザーは隠しフィールドを表示すべきではありません。そのため、名前はありますが、好奇心が強い攻撃者は次の手順で発見して悪用することができます。

<！ --1 - >

1. Internet Explorerでソースコードを表示するには、ページ→ソースの表示を選択します。 Firefoxでは、表示→ページソースを選択します。

2. これらのフィールドに格納されている情報を変更します。

   たとえば、悪意のあるユーザーが価格を$ 100から$ 10に変更する可能性があります。

3. ページをサーバーに再ポストします。

   このステップにより、攻撃者はウェブ購入時の低価格などの不利益を得ることができます。

   <！ - 2 - >

認証（ログイン）メカニズムに隠しフィールドを使用することは特に危険です。ユーザーがログインしようとした回数を追跡するために、非表示のフィールドに依存するマルチファクタ認証侵入者ロックアウトプロセスに遭遇する可能性があります。この変数は、ログイン試行ごとにゼロにリセットされるため、スクリプト辞書またはブルートフォースログイン攻撃。

Web Proxy（webInspectに付属）やParos Proxyなどのいくつかのツールは、隠しフィールドを簡単に操作できます。

<！ - 3 - >

隠されたフィールドに出くわした場合は、それらを操作して何ができるかを見ることができます。それはそれと同じくらい簡単です。