HOME
OffSec OSWE (Web Expert)

「OffSec OSWE (Web Expert)」の記事一覧

HTTP/2の接続をHTTP/1.1にダウングレードさせる際に発生するスマッグリング攻撃はどれか。

h2cアップグレードメカニズムを悪用して、プロキシをバイパスしバックエンドへ直接通信する。

2026年3月18日

リクエストスマッグリングにおいて、コンテンツ長ヘッダーが優先される不備を突く型はどれか。

フロントエンドがCLを、バックエンドがTEを優先する場合に発生するスマッグリングである。

2026年3月18日

gRPC通信の基盤となるプロトコルで、バイナリフレーミングによる脆弱性が懸念されるものはどれか。

HTTP/2のストリーム管理やフレーム処理の不備は、DoSやスマッグリングの原因となる。

2026年3月18日

リクエストスマッグリングにおいて、転送エンコーディングヘッダーが優先される不備を突く型はどれか。

フロントエンドがTEを、バックエンドがCLを優先する場合に発生するスマッグリングである。

2026年3月18日

CSS等の静的ファイルとしてキャッシュされたページを、攻撃者が他人に閲覧させる攻撃はどれか。

URLの末尾に偽の拡張子を付与し、動的コンテンツをキャッシュサーバーに保存させる。

2026年3月18日

マイクロサービス間通信において、内部通信であることを理由に認証を省略するリスクを何と呼ぶか。

境界防御に依存し、内部ネットワーク内での移動（横展開）を許してしまう状態である。

2026年3月18日

APIのレート制限を回避するために、プロキシのIPアドレスを装う際に使われるヘッダーはどれか。

このヘッダーの値を偽装することで、別のクライアントからのアクセスに見せかける。

2026年3月18日

OpenID Connectにおいて、リプレイ攻撃を防ぐためにリクエストとトークンを紐付ける値はどれか。

クライアントが生成したnonceがIDトークンに含まれているかを確認することで、再利用を防ぐ。

2026年3月18日

DNSのTTLを短く設定し、検証時とアクセス時で解決先を切り替えるSSRFバイパス手法はどれか。

ブラウザやサーバーの同一生成元ポリシーやIP制限を回避するために用いられる。

2026年3月18日

OAuth 2.0において、認可コード横取り攻撃を防ぐために導入された拡張仕様はどれか。

Proof Key for Code Exchangeを使用することで、パブリッククライアントの安全性を高める。

2026年3月18日