検査中のブラウザ画面
検査中のブラウザ画面
[画像のクリックで拡大表示]
検査結果レポート
検査結果レポート
[画像のクリックで拡大表示]

 アシアルはWebアプリの脆弱性(セキュリティ・ホール)を検査できるサービス「Chorizo!」を開始した。ブラウザでプロキシとしてChorizo!のサーバーを指定し,対象サイトを閲覧するだけで検査できる。サーバー内部からの検査やスキャンの履歴・解析,アドバイザ機能などを備えた有償版も提供する。

 検出できるWebアプリケーションの脆弱性は,クロスサイト・スクリプティング(UTF7によるものを含む),SQLインジェクション,クロスサイト・リクエスト・フォージェリ,コードインクルージョン(入力時にファイルのインクルードを指定する)など。入力データに対する出力をチェックして脆弱性の存在を判定する。

 ブラウザでプロキシとしてChorizo!のサーバーを指定し,検査対象ページにアクセスすると,Chorizo!のサービスが検査を行う。アクセスしたページだけではなく,そこからリンクされているページすべてを検査することも可能。プロキシとして使用するほか,Chorizo!のサイトで検査対象URLを入力して使用することもできる。

 有償サービスでは,詳細なスキャン履歴および解析結果の提供,PHPのコード例を使用したアドバイスの提示が行われ,レポートがHTMLだけでなくPDFとしても出力される。検査対象ホストも5ホストまで登録できるほか,リンク先ページの検査も,3段階の深さのリンク先まで一度に検査できる。

 また,PHPアプリケーションの場合は,Morcilla PHPエクステンションを検査対象サーバーにインストールし,詳細な検査および改善のためのレポートが取得できる。例えば,php.iniファイルでdisplay_errors=Offと設定し,サーバーのログファイルの中にログのSQLエラーが設定されている場合,外部からはSQLインジェクション脆弱性が存在するかどうか判定できないが,Morcillaを使用することで発見できるという。またPHPソースコードのエラーが発生した行などを報告する。

 有償サービスの価格は初年度5万2000円で,2年目以降6万2800円。

Chorizo!ホームページ