例えば、郵便追跡サイトの例をあげてみる。
https://trackings.post.japanpost.jp/services/sp/srv/search/
番号入力ボックスに番号ではなくて
あいうえお
と平仮名を入力して開始ボタンを押してみると、次のようなURLが生成されてページが遷移する。
末尾の/が?に変わり、さらに
という文字が追加されている。
URLの後尾に不正なパラメーターを入力することにより、他のユーザーの情報が漏れてしまったり、サイトのパスワードも漏れてしまうこともある。
俺はこういう攻撃方法もあるのではないか？と思い、今朝調べてみたのだが、この攻撃方法はURLパラメーター改竄攻撃というものらしい。実は20年近く前から俺がURLの末尾をいろいろイジることができることは知っていたのだ。
末尾の余計なディレクトリを消しながら上位のディレクトリにさかのぼりながらディレクトリ内を探ったり、index.htmファイルを探したりとかいろいろ悪さをしていた。
しかし今は仕事に応用してみたいと思い立ったのだ。
仕事で3つのサイトを使いながら現場を回り、その都度IDとPasswordを入力するのは面倒だから、IDとPasswordが入ったパラメーターをURLに付け足し、QRコード化しておき、読み込んで一発でログインできたら便利だと思ったのだ。
URLとパラメーター、Webアプリ、PHP、SQLなど関連する知識は仕入れたいところだ。
P.S.
Gooblogのログイン画面のURLは次のようになっている。
:が%3A
/が%2Fで置き換えられているのが分かるが、ID&Passwordはパラメーターとして入れられないらしい。というかどのようなパラメーターの書き方をすればよいのか分からない。
セキュリティ対策としてパラメーターを入れられないようにしているのかもしれない。
ログイン失敗の場合は次のURLに遷移し、再度やり直しを求められる。
この辺のパラメーターに関しては大いに研究の余地があると言える。
