JavaScript

認証タイプJavaScriptとは、JavaScriptファイルを用いるSecurify独自の認証システムです。

参考コードを基にJavaScriptファイルを作成すること、様々なWebサービスの認証に対応可能となります。

JavaScriptファイル作成の目的

認証が存在する診断対象アプリケーションに対して、SecurifyScanでクローリングを実行する際に、認証情報（AuthorizationヘッダやCookieの値を）をリクエストヘッダに設定して、認証の突破をはかります。

そのため、JavaScriptファイルで上述の認証情報を取得及び返却する内容を記述し、認証情報を取得することが目的となります

JavaScriptファイル作成方法

JavaScriptファイル作成の要点

JavaScriptファイルにて、認証情報を取得して、返り値として返却します。
例
- Basic認証であれば、Authorizationヘッダにユーザー名とパスワードをBase64エンコードしたものでリクエストをするため、Authorizationヘッダを返すように、JavaScriptを記述する必要があります。
診断対象アプリケーションでのログインの挙動をJavaScriptファイルにて再現するイメージとなります
JavaScriptファイルが正常に動作するか、正常にリクエストヘッダの値を取得できるかどうかはデバッグ環境にて確認ができます

認証に必要な情報の確認方法

一例として、Chromeでの確認方法を記載します。

上述のサイトの場合のJavaScriptファイルのサンプルコードです。

この例の場合、/loginのURLに対して、POSTを実行して、Cookieの値を取得しています。

POSTを実行する際に必要なリクエストヘッダやボディの値を前半で設定しています。

const https = require('https')
const axios = require('axios')
const jsdom = require("jsdom")
const setCookie = require('set-cookie-parser');

const authentication = async() => {
// ログインページへアクセスしてCSRFトークンとCookieの取得
const lognPage = await axios.get('https://example.com/login')
const { document } = new jsdom.JSDOM(loginPage.data).window
const csrf = document.querySelector('body').getAttribute("data-csrftoken")
const cookies = setCookie.parse(loginPage, {
decodeValues: true,
map: true,
})
const key = 'connect.sid'
const value = cookies[key].value
const cookieValue = key+"="+value

// ログイン処理
const reqBody = new URLSearchParams()
reqBody.append('loginForm[username]', 'example')
reqBody.append('loginForm[password]', 'password')
reqBody.append('_csrf', csrf)
const reqHeaders = {
"Content-Type": "application/x-www-form-urlencoded",
"Cookie": cookieValue,
}
await axios.post('https://example.com/login', reqBody, {headers: reqHeaders})

return {"Cookie": cookieValue}
}

JavaScriptファイルの作成ルール

authentication関数を定義する
返り値はmap形式でヘッダを返却する(複数ある場合はカンマ区切りで続けて返す)

const authentication = () => {
// 認証処理
return { "headerKey1": "headerKey2" }
}

参考コード

本コードについてはあくまで書き方の参考となるため、JavaScriptのコードは診断対象の認証方式に合わせて、記載してください。本コードをコピーしても正常に動作しませんので、ご了承ください

Basic認証

以下の情報を記載してください。

username
password

const buffer = require('buffer')

const username = "XXX"
const password = "XXX"

const authentication = () => {
const basic = username+":"+password
let base = buffer.Buffer.from(basic).toString('base64') ;
return {"Authorization": "Basic "+base}
}

usernameとpasswordをbase64エンコードして上述のようにmap形式で返却しています。

Cookie認証

テンプレートはFormに「username」「password」を入力し、Cookieに認証情報を設定する場合を記載しています。

const axios = require('axios')
const setCookie = require('set-cookie-parser');

const username = "XXX"
const password = "XXX"

const authentication = async () => {
const res = await axios.post('https://example.com/cookie-login', {
'username': 'XXX',
'passoword': 'XXX',
})
if (res.status != 200) {
throw new Error(res)
}
const cookies = setCookie.parse(res, {
decodeValues: true,
map: true,
})
const key = 'sessionID'
const value = cookies[key].value
return {"Cookie": key+"="+value}
}

ユーザーのログイン情報（username, password）を渡して、Cookieを返すAPI通信をaxiosを使用して行い、そのレスポンスヘッダを取得して返却しています。

JWT認証

const axios = require('axios')

const username = "XXX"
const password = "XXX"

const authentication = async () => {
const res = await axios.post('https://example.com/jwt-login', {
'username': 'XXX',
'passoword': 'XXX',
})
if (res.status != 200) {
throw new Error(res)
}
const jwt = res.data
return {"Authorization": "Bearer "+jwt}
}

ユーザーのログイン情報（username, password）を渡して、JWTを返すAPI通信をaxiosを使用して行い、そのレスポンスを返却しています。

デバッグ方法

JavaScriptを実行

JavaScriptを実行して想定通りのヘッダが得られているか確認してください。

デバッグ環境を用意したので、JavaScriptが正常に実行できるか確認してください。

デバッグ環境

デバッグ環境のドキュメントに従い、認証処理の記述とデバッグを行ってください。

Securifyで認証通過の確認

想定通りのヘッダが返ってきたら、Securifyで認証が通過できるかの確認をします。

推奨方法は、診断対象をJavaScript認証方式で登録し、ログイン後の画面が表示されるかを確認します。

または、curlコマンドなどを用いて、JavaScriptを実行した結果のヘッダを全て付与した状態で通信し、レスポンスが認証された結果のレスポンスかどうかの確認をしてください。

【Webアプリケーション診断/WordPress診断】認証