バックアップ名らしいファイルの検出
サーバーに置いたファイル名の一覧から、バックアップや旧版らしいものを見つける。
ファイル名やパスの一覧を貼り付けると、.bak・.old・末尾の ~・Copy of・圧縮アーカイブなど、OWASP が挙げるバックアップや旧版の命名パターンに当たるものを一覧にします。一覧は端末の外へ送信しません。
バックアップらしいファイル名を見つける
入力した内容は送信されません。貼り付けた文字や選んだファイルは、お使いのブラウザの中だけで処理します。本サイトのサーバーや第三者へ送信・保存しません(通信を禁止する設定でページを配信しています)。
結果
エラー 0 件・警告 7 件・情報 2 件
指摘(エラー・警告・情報)
- 警告 2 行 バックアップや旧版らしい名前です(拡張子 .bak)。公開領域に置かれていないか、不要なら削除してよいかを確認してください(OWASP WSTG-CONF-04)。
- 警告 3 行 バックアップや旧版らしい名前です(拡張子 .old)。公開領域に置かれていないか、不要なら削除してよいかを確認してください(OWASP WSTG-CONF-04)。
- 警告 4 行 バックアップや旧版らしい名前です(拡張子の前に .old)。公開領域に置かれていないか、不要なら削除してよいかを確認してください(OWASP WSTG-CONF-04)。
- 警告 5 行 バックアップや旧版らしい名前です(圧縮アーカイブ .zip)。公開領域に置かれていないか、不要なら削除してよいかを確認してください(OWASP WSTG-CONF-04)。
- 情報 6 行 旧版の可能性がある弱い手がかりです(拡張子 .txt(弱い手がかり))。通常のファイルにも多い拡張子なので、内容と置き場所で判断してください。
- 警告 7 行 バックアップや旧版らしい名前です(「Copy of 」で始まる名前)。公開領域に置かれていないか、不要なら削除してよいかを確認してください(OWASP WSTG-CONF-04)。
- 警告 8 行 バックアップや旧版らしい名前です(末尾の ~、拡張子 .txt(弱い手がかり))。公開領域に置かれていないか、不要なら削除してよいかを確認してください(OWASP WSTG-CONF-04)。
- 警告 9 行 バックアップや旧版らしい名前です(.snapshot ディレクトリ)。公開領域に置かれていないか、不要なら削除してよいかを確認してください(OWASP WSTG-CONF-04)。
- 情報 全体 名前のパターンによる疑いの抽出だけです。公開されているか、中身に秘密が含まれるかは判定していません。指摘がなくても安全とは言えません。
| 入力したファイル | 10 件 |
|---|---|
| 疑いが強いもの | 7 件 |
| 弱い手がかり | 1 件 |
疑いのあるファイル名の一覧
| 行 | パス | 該当するパターン |
|---|---|---|
| 2 | index.php.bak | 拡張子 .bak |
| 3 | config.old | 拡張子 .old |
| 4 | viewdoc.old.jsp | 拡張子の前に .old |
| 5 | backup.zip | 圧縮アーカイブ .zip |
| 6 | README.txt | 拡張子 .txt(弱い手がかり) |
| 7 | Copy of report.docx | 「Copy of 」で始まる名前 |
| 8 | notes.txt~ | 末尾の ~、拡張子 .txt(弱い手がかり) |
| 9 | /web/.snapshot/daily.0/a.html | .snapshot ディレクトリ |
初期表示は入力例「公開フォルダーの一覧に旧版らしい名前が混ざる」の結果です。入力を変えるとその場で処理し直します。判定の根拠は仕様と根拠にまとめています。
ご利用にあたって
- この点検は名前のパターンだけです。実際の公開状態は、外部からの取得可否を別の方法で確認してください。
- 本番サーバーの調査は、自分が管理する環境だけで行ってください。
使い方
- 公開用フォルダーのファイル名の一覧を、1 行に 1 つずつ貼り付けます(サブフォルダーを含むパスも可)。
- 一覧に出たファイルのうち、疑いが強いもの(警告)と弱い手がかり(情報)を見分けます。
- 警告のファイルは、公開領域に置かれていないか、不要なら削除してよいかを確認します。
- 指摘がなくても安全とは限りません。この点検は名前の確認だけです。
入力例と結果
代表的な入力・境界の入力・壊れた入力の例です。例ごとに入力・出力・指摘と、その結果になる理由(検算)を載せています。
| 入力例 | 結果 |
|---|---|
| 公開フォルダーの一覧に旧版らしい名前が混ざる | エラー 0 件・警告 7 件・情報 2 件 |
| 大文字・区切りが違うパスと、先頭が点のファイル | エラー 0 件・警告 4 件・情報 1 件 |
| 弱い手がかりしかない一覧 | エラー 0 件・警告 0 件・情報 3 件 |
| 旧版らしい名前がない一覧 | エラー 0 件・警告 0 件・情報 1 件 |
| 一覧が空の場合 | エラー 1 件・警告 0 件・情報 0 件 |
このツールでできないこと(制約)
- ファイルが実際に公開されているかは調べません。サーバーへ問い合わせる処理は、入力を送信しない方針のため行いません。
- 名前を変えたバックアップ、中身だけが旧版のファイル、パターン外の名前は見つけられません。
- Windows の 8.3 形式の短い名前など、フィルタ回避に使われる名前の解析はしません。
よくある質問
指摘がなければ、公開フォルダーは安全ですか?
いいえ。この道具は命名パターンを調べるだけで、パターンに当たらないバックアップや、設定の不備、権限の問題は見つけられません。指摘なしは「この点検項目では指摘なし」という意味です。
.txt が弱い手がかりなのはなぜですか?
OWASP は旧版の置き換え拡張子として txt を挙げていますが、README.txt のような通常のファイルも多いためです。警告ではなく情報として、内容と置き場所で判断してもらう扱いにしています。
貼り付けた一覧は送信されますか?
点検はお使いのブラウザの中だけで行い、ファイル名の一覧をサーバーや第三者へ送信・保存しません。ページは通信を禁止する設定で配信しています。