このサイトは Webシステム開発Ⅴ の演習環境です。攻撃手法は この演習環境の外では絶対に試さないこと。
あなたの操作は座席IDごとに記録されます（コマ30でそのログを読みます）。 攻撃系の演習はいつでも各ページの「リセット」で初期状態に戻せます。 罠サイト（別オリジン）: https://trap.y-omasa.work
コマ2 URLの構造
コマ2 1リクエストで何が起きるか
コマ2 HTMLフォームの仕組み
コマ3 GET と POST
コマ4 Cookie の観察
コマ4 セッションの観察
コマ5 SSR と SPA
コマ6 レスポンスヘッダ一覧
コマ7・8・23 入力と出力の可視化（バイト列・検証・エスケープ）
コマ18 CSRFの標的（メッセージ変更）
コマ20 クリックジャッキングの標的
コマ27 ディレクトリリスティング
コマ28 ディレクトリ・トラバーサル
コマ28 .env の直接ダウンロード
コマ30 OSコマンド・インジェクション
コマ31 multipart の中身を見る
コマ32 ファイルアップロード
コマ32 依存ライブラリの脆弱性（SCA）
コマ33・34 パスワードの保存方法（計算速度の比較つき）
コマ34 ログイン機能への攻撃と対策
コマ34 Passkey / WebAuthn
コマ36 ユーザー登録とメール確認
コマ36 パスワードリセット
コマ36 パスワード／メール変更の不備
コマ37 ログに何が残るか（自分の座席のログ）
コマ38 IDOR（不正な直接オブジェクト参照）
コマ38 パラメータ改ざんによる権限昇格
コマ24 JWT の発行とデコード
コマ40 JSONP とコールバック名XSS
コマ40 localStorage / sessionStorage
コマ40 postMessage の送信元検証
コマ39 文字コードとセキュリティ
コマ43 コード読解ドリル
コマ44 総合演習：社内メモ帳（診断対象）