目的: インベントリのための統合エントリポイント、および独立したPoCモード。

実行例:

重要な注意: 時間ベースのチェックとPoCモードは、明示的なテスト許可が存在するシステムに対してのみ使用してください。通常のインベントリモードでは、通常のWFS操作のみを使用します。

前提条件

• Python 3.10以降
• 追加のPythonパッケージは不要。両スクリプトは標準ライブラリのみを使用
• WFSエンドポイントへのネットワークアクセス

オプションで実行可能にする場合:

クイックスタート

通常のWFSクエリで候補を検索

デフォルトのパス /geoserver/wfs が自動的に追加されます。したがって、以下の指定は同等です:

異なるインストールの場合は、完全なWFSパスを指定する必要があります。

時間ベースのチェックで候補を検証

明示的に認可されたシステムのみ:

チェック中、候補ごとに測定結果が stderr に表示されます:

スクリーンに合格しただけでは陽性の所見ではありません。2番目のより長い測定も合格した場合のみ、パラメータブロックが出力されます。

診断をファイルに書き込む

--valid-diagnose FILE は詳細な診断を自動的に有効にし、指定されたファイルに書き込みます。

オートモードの流れ

デフォルトモード auto は、WFS情報を次の順序で処理します:

1. GetCapabilities が一度開かれます:

   root@kitploit:~

   /geoserver/wfs?service=WFS&acceptVersions=2.0.0&request=GetCapabilities
   

2. XMLレスポンスがストリーミングされます。FeatureType/Name が見つかるとすぐに、次の typeName が確定します。

3. このレイヤーに対して、version=2.0.0 で直ちに DescribeFeatureType が実行されます。

4. スクリプトはXSD要素を抽出し、IDまたは番号に似た名前を持つ文字列/JSONフィールドを選択します。

5. 候補は呼び出しに応じてチェックされます:

   • --sleep なし: サンプル値が構文的に有効なJSONである必要があります。
   • --sleep N あり: コントロールリクエストと時間ベースのチェックリクエストが測定されます。JSON値チェックはスキップされます。

6. 結果は即座に出力され、フラッシュされます。

7. その後、実行中の GetCapabilities レスポンスから次の typeName が読み取られます。

これにより、最初の結果が表示される前に大きな GetCapabilities レスポンスを完全に処理する必要がなくなります。

フィールド候補の基準

--sleep なしの場合、自動モードはデフォルトでIDまたは番号に似た名前を持つ文字列/JSONフィールドを考慮します。

一方、--sleep ありの場合、--candidate-scope auto はすべての単純な非ジオメトリフィールドを使用します。XSDタイプとID名パターンは、タイミングチェックをブロックしなくなります。これにより、数値、日付/ブール、またはベンダー固有のXSDタイプでの偽陰性が防止されます。

認識される名前パターンには以下が含まれます:

時間ベースのチェックでは、フィールド名はさらに [A-Za-z_][A-Za-z0-9_]* 形式の単純な識別子である必要があります。

JSONチェックとスリープチェックの違い

--sleep なしの場合、観測された値が構文的にJSONとして解釈できるかどうかがチェックされます。したがって、例えば文字列 "383205" も候補と見なされます。その内容が有効なJSON数値を表すためです。このチェックはヒューリスティックであり、脆弱性の証明ではありません。

--sleep 1 ありの場合、時間測定のみが決定します。候補は、チェックリクエストがコントロールリクエストに対して要求されたスリープ時間の少なくとも70パーセントを追加で必要とする場合、デフォルトで陽性と見なされます。--timing-result-type auto は最初に resultType=hits をチェックし、陰性の結果の場合は続いて resultType=results をチェックします。

暫定的に陽性の測定は、必ずより長いスリープ時間で確認されます。明示的な --confirm-sleep がない場合、スクリプトは max(3, --sleep * 3) を使用し、10秒に制限されます。これにより、--sleep 1 での単一のレイテンシスパイクが vulnerable=true につながらなくなります。

コンパクトな出力

標準出力には、有効なレイヤーごとに1つのブロックが含まれます:

parameter_stringN には、正規化されたWFSエンドポイントと、--typename および --field_name の適切な値が含まれます。

--valid-fields N は、個々のフィールドではなくレイヤーブロックをカウントします。N 個未満の有効なレイヤーが存在する場合、残りのカタログが引き続き調査されます。--max-layers を使用すると、最大実行時間を制限できます。

詳細な診断

--diagnose または --valid-diagnose FILE オプションは、以下を追加します:

• 正規化されたWFSエンドポイント、
• 使用された GetCapabilities URL、
• DescribeFeatureType URL、
• XSDフィールドタイプ、
• IDおよび使用可能性フラグ、
• チェックされたサンプル数、
• JSON互換性またはタイミング測定値、
• 生成された GetFeature URL、および
• コピー可能なパラメータ文字列。

例:

その他のインベントリモード

すべてのレイヤーを一覧表示

ネームスペースに制限:

レイヤーのXSDフィールドを表示

各フィールドは、名前、XSDタイプ、nillable、id_candidate、usable_property を含むJSONオブジェクトとして出力されます。

選択したフィールドの値をエクスポート

すべてのプロパティをエクスポート:

--unique を使用すると、選択したフィールド値の同一の組み合わせが一度だけ出力されます。

wfs_inventory.py のパラメータ

統合エントリポイント

geoserver_sqli_working.py はインベントリ機能を直接呼び出すことができます。--valid-fields が指定されると、インベントリのみが実行され、プログラムはその後終了します。

統合スクリプトによるインベントリ

この際、以下のパラメータが内部的に wfs_inventory.py に渡されます:

明示的な --sleep がない場合、インベントリモードでは時間ベースのチェックは無効のままです。

独立したPoCモード

明示的に認可されたテストシステムのみ:

PoCモードでは、ターゲットパスは自動的に正規化されません。ここでは完全なWFSエンドポイントを指定する必要があります。

このモードは、最初にベースライン/スリープテストを実行し、次に既存の時間ベースのOracleバリアントをテストし、確認が成功するとデフォルトでサーバー/データベースメタデータを読み取ります。--query を使用すると、代わりに独自のスカラークエリを指定できます。

PoCモードは現在、内部的にTLS証明書検証を無効化します。純粋なインベントリには、TLSがデフォルトで検証される wfs_inventory.py を優先的に使用してください。

geoserver_sqli_working.py のパラメータ

JSONLレポート

オートモードは、テキストブロックの代わりにJSON Linesを生成できます:

--diagnose を使用すると、各レコードにURL、候補メタデータ、チェック値、フィールド固有のGetFeature URLが追加で含まれます。

プロキシとTLS

プロキシを使用:

独自のプロキシCAを信頼:

認可されたテストシステムのTLSチェックを無効化:

--proxy-ca と --insecure は同時に使用できません。

大規模なWFSカタログとパフォーマンス

大きなGetCapabilitiesレスポンスの場合、以下のオプションが役立ちます:

注意事項:

• GetCapabilities は一度だけ要求され、その後ストリーミングされます。
• --valid-fields 4 は、4つの有効なレイヤーの後にのみスキャンを終了します。ヒットが少ない場合、検索は最後まで、または --max-layers まで実行されます。
• --sample-size 1 はJSONヒューリスティックの負荷を軽減します。
• スリープモードでは、JSONサンプルはスキップされます。クエリパスごとに、1つのコントロールリクエストと1つのチェックリクエストが実行されます。--timing-result-type auto では、hits の陰性結果の後に、追加で2つの results リクエストが実行されます。
• 暫定的に陽性の候補は、スケーリングされた確認のためにさらに2つのリクエストを引き起こします。その後でのみ、脆弱と見なされます。
• --candidate-scope id はタイミングリクエストの数を減らしますが、他の名前を持つ脆弱なフィールドを見逃す可能性があります。
• --namespace と --start-layer-index は、検索空間をさらに制限できます。

トラブルシューティング

The read operation timed out

• サーバーの応答が遅い場合は --timeout を増やします。
• 長い再試行を避けるために --retries 0 を設定します。
• --max-layers と --namespace を使用します。
• JSONヒューリスティックには --sample-size 1 を使用します。

出力がない

• --sleep なしの場合、候補は --candidate-scope に応じてXSD/名前チェックとJSON構文チェックに合格する必要があります。
• --sleep ありの場合、時間的に確認された候補のみがパラメータブロックとして出力されます。陰性の測定は [sleep-check] として stderr に表示されます。
• 希望する数のヒットが存在しない場合、スキャンが長時間実行される可能性があります。この場合は --max-layers を設定します。

Cannot do natural order without a primary key

最初のGetFeatureページでは、スクリプトは startIndex=0 を送信しません。一部のGeoServer/JDBCレイヤーは、プライマリキーなしでも自然な順序を強制するためです。追加ページのエクスポート時には、そのようなレイヤーはプライマリキーまたはサーバー側でサポートされるソートを必要とする場合があります。

schema does not define ...Type

スクリプトは、通常の <LayerName>Type と、グローバルなXSDレイヤー要素で参照される異なるタイプまたは匿名の complexType の両方を考慮します。エラーが続く場合は、関連する DescribeFeatureType レスポンスを --diagnose で確認する必要があります。

サンプルチェック時のHTTP 400

完全なOWSエラーメッセージが stderr に出力されます。一般的な原因は、サポートされていないプロパティ、サーバー側のページング設定、またはレイヤー固有のデータソース構成です。

ターミナルでの直接ヘルプ