仕様と根拠

見るパターン

OWASP のテストガイド WSTG-CONF-04(v4.2)には、旧版やバックアップのファイル名の付け方として、拡張子の ~・bak・txt・src・dev・old・inc・orig・copy・tmp・swp、Windows のコピーで付く「Copy of 」、圧縮アーカイブの .tar・.zip・.gz、エディタが作る file~、/.snapshot ディレクトリなどが挙げられています。この道具はそれらに当たる名前を拾います。

強い疑いと弱い手がかり

.txt・.src・.dev・.inc は普通のファイルにも多い拡張子のため、弱い手がかり(情報)として別に扱います。.bak・.old・.orig・.copy・.tmp・.swp・末尾の ~・Copy of・圧縮アーカイブ・.snapshot・拡張子の前に old などがある名前は、疑いが強いもの(警告)です。

判定の限界

名前のパターンだけを見ます。そのファイルが外部から取得できるか、中身に秘密が含まれるかは判定しません。名前を変えて置かれたバックアップは見つけられません。指摘がないときも「安全」とは表示せず、この点検項目では指摘なしと表示します。

根拠にした仕様・資料

指摘の段階

• エラー: 仕様に反していて、正しく読めない・処理できない入力です。
• 警告: 読めるものの、仕様の推奨に反する・矛盾する・意図と違う結果になりやすい入力です。
• 情報: 誤りではありませんが、知っておくとよい扱い(読み飛ばした部分や解釈)です。

入力の扱い(送信しない仕組み)

処理はすべてお使いのブラウザの中で行います。処理の本体はこのサイトから配信する小さなスクリプト(/app.js)で、外部のサービスやライブラリを読み込みません。ページはブラウザに通信を禁止させる設定(Content-Security-Policy の connect-src)つきで配信しており、入力した内容がサーバーや第三者へ送られることはありません。ファイルを選んだ場合も、端末の中で読み込むだけです。

このツールでできないこと(制約)

• ファイルが実際に公開されているかは調べません。サーバーへ問い合わせる処理は、入力を送信しない方針のため行いません。
• 名前を変えたバックアップ、中身だけが旧版のファイル、パターン外の名前は見つけられません。
• Windows の 8.3 形式の短い名前など、フィルタ回避に使われる名前の解析はしません。