さらに悪用する

Aikido Pentest の検出結果に対して Exploit Further が何を行うのか、いつ使うのか、そして検出結果が証明された時点でデフォルトの実行が停止する理由。

さらに悪用する 1件のペンテストの指摘に対する任意のフォローアップです。デフォルト実行では問題の存在を証明して停止します。このアクションは、Aikido にその指摘を継続調査させ、秘密情報、データベース資格情報、または他の接続サービスなど、より大きな影響に到達できるかどうかを示します。

より深い実行では、データの読み取りや変更が可能で、アプリケーションの一部に影響を与えることがあります。実行するのはテスト環境.

内容

Aikido は次のように表示します さらに悪用する で 攻撃分析 指摘にまだ現実的なエスカレーションの可能性がある場合です。確認すると、Aikido は同じ対象に対してフォローアップを開始し、その同じ指摘を新しい結果で更新します。新しい評価は開始しません。

確認画面には、フォローアップで試行する内容が一覧表示されます。例えば次のようなものが含まれます:

より深い実行でより大きな影響が見つかると、その指摘の重大度、証拠、修復方法が変わることがあります。

使用 さらに悪用する 検証済みの指摘が実際にどこまで及ぶのかを知る必要があり、対象が多少影響を与えても問題ない場合です。

Aikido が他に到達できる範囲を示すと、中程度または低い指摘が高または重大になることがあります。
指摘が実際より深刻に見えることもあります。Aikido が秘密情報を読めず、資格情報を取得できず、他のサービスへ移動できない場合、影響は最初の実行で既に証明された範囲にとどまります。
修正の優先順位を付ける前に、その証拠が欲しいはずです。

すでに修正方法が十分明確な指摘では、これをスキップしてください。修正内容を確認するには、再テストを使用します。再テストは修正を検証します。Exploit Further は攻撃を継続します。

Aikido Pentest エージェントは指摘を証明したら停止します。依頼しない限り、攻撃の継続、データベースのダンプ、1つのバグがどこまで及ぶかの把握は行いません。

この制限は意図的なものです:

最初の実行では、バグが実在することを示す最小限の証拠を使います。ほとんどの問題は無害なシグナルで確認されます。
さらに進めることは、より大きな影響を追うことを意味します。秘密情報の読み取り、資格情報の取得、別のサービスへの移動は、データを変更したりアプリの一部を停止させたりする可能性があります。Aikido は、対象が安全だと確認されるまで待ちます。
多くの指摘は実際の影響があり、次に進む有用な手順はありません。自動の第2段階は、修正内容を変えずにリスクだけを増やします。

Attack Analysis を開く

ペンテストの指摘を開き、 攻撃分析へ移動します。指摘を開いている間、このアクションを利用できます。
Exploit Further をクリック

指摘が対象条件を満たしている場合は、 さらに悪用する.

指摘にエスカレーションの可能性がない場合、すでにエスカレーション済みの場合、またはこのペンテストで既に2回のエスカレーションを使い切っている場合、このボタンは無効のままです。理由はボタンにカーソルを合わせると表示されます。また、ペンテストを管理する権限も必要です。
対象を確認

フォローアップで何を試行するかを確認してください。クリック 攻撃の継続 これは安全なテスト対象である場合のみ。
更新された指摘を確認

Aikido はフォローアップを実行し、同じ指摘を最新のエスカレーション結果で更新します。