2007年6月5日 Webアプリケーション検査前の情報収集 『How to find your websites 』(jeremiah grossman のブログより) 検査前には、そのWebサイトについて公開されている情報を収集する。Web Security Test 系の書籍には、よく書いてある内容かな。他にも色々収集方法はあるけど、ここに書いてあるのは基礎的なこと。 1) Network Discovery whois情報、公開ポート情報 2) DNS and Zone Transfer 名前の通り。サイトが公開しているDNSから、そのドメイン上に存在するホストに関する情報を取得する。 3) Google and Netcraft site:www.example.com のようにして、そのサイトから取得されたページに関する情報を取得する。 4) The grunt work サイト