セキュリティー 「不要なファイルの検出」「プロトコルの不適切な使用」について

Question

ただ今脆弱性診断ツールVEXについて調べていますが「不要なファイルの検出」「プロトコルの不適切な使用」この二つの項目の意味がよくわからずネットで調べてみましたが、見当たりません。分かる方にこれがどのような脆弱性でどのような対策が必要なのかお答えいただきたいです。

また余裕があれば「セカンドオーダーアタック」は具体的にどのようなコードを書けば実行できるのかも教えていただきたいです。こちらもネットで調べてみましたが、情報が少なくて困っております汗

よろしくお願いします。

Comments

[ockeghem]

VEXについての質問であれば、開発元のユービーセキュア社に問い合わせるのが筋であり、また正確な回答が得られると思いますが。商用製品のサポートを代行するのは抵抗感がありますね

Answer 1

VEXのサイトを見ての想像でしかありませんが、
Webサイトを巡回と書いてあるので、Webサイトを正常系、異常系含めてテストした際に使われなかったファイルのことではないでしょうか。

たとえば、開発中にエンジニアが残してしまったテストデータ作成ファイルのようなものかと思われます。
残しておいて悪用されたケースもあると聞きます。

また、プロトコルの不正な利用についても同じだとおもいます。
不自然なポートが開いている、普通Webサイトで使う80と443が別の物に使われている（例えばスカイプ）
独自のソフトウェア・プロトコルで通信してパケットが不完全である、等かなと思います。

Comments

[s.t.]

あと、セカンドオーダーアタックというのはこれもこの会社がどのような定義でこの言葉を使っているのか不明ですが、
おそらくセカンドオーダーに関する脆弱とか、セカンドオーダーSQLインジェクションとかそういうことの総称にしているのではないでしょうか。

【参考URL】
http://d.hatena.ne.jp/koyamayk/20100215/1266160569

[kazoogon]

回答ありがとうございます、助かりました！