クラウドメタデータが潜在的に公開される可能性 - ペンテスト

[PrettyGirl]

これらはZAPペネトレーションテストソフトウェアのattackモードからのものです。信頼度が低いと表示され、出力応答にはHTTP/1.1 301 Moved Permanentlyと表示されていますが、すべて問題ないでしょうか？

1. クラウドメタデータが漏洩する可能性

レスポンスヘッダー

HTTP/1.1 301 Moved Permanently
Server: nginx
Date: Wed, 01 Nov 2023 10:10:17 GMT
Content-Type: text/html
Content-Length: 162
Connection: keep-alive
Location: https://examplesite.com/latest/meta-data/
Strict-Transport-Security: max-age=63072000

2. 非表示ファイルが見つかりました www.mysite.com/.hg

確認のために他にどのようなテストを実行できますか？

[Falco]

市販のペネトレーションテストソフトウェアの結果はほとんどがゴミであり、すべての誤検知を説明するのは時間の無駄です。

再現可能な手順で実際のセキュリティ上の問題を見つけた場合は、HackerOne まで報告してください。

[PrettyGirl]

返信ありがとうございます。

推奨されるペネトレーションテストソフトウェア/ウェブサイトはありますか？

あなたが言及したHackerOneもペネトレーションテストをサービスとして提供していることに気づきました。それはディスコースまたはチームメンバーのいずれかによって所有されているか、リンク/提携していますか？

[Falco]

CDCKはセキュリティレポートの処理と、ペネトレーションテストソフトウェアからの報告のような偽の報告のトリアージをHackerOneに委託しています。CDCKとH1の間に関連性はありません。

[PrettyGirl]

迅速なご返信ありがとうございます。