ログに何が残るか

この演習サイトは、あなたのアクセスをすべて座席IDごとに記録している （コマ30で Linux のコマンドで読んだのと同じ種類のログ）。ここでは自分のログだけを見られる。

下の3つのフォームは、どれも同じ「ログイン」の送信だが、送り方と記録のしかたが違う。 それぞれ送ってから、下のログを見比べる。パスワード欄には本物のパスワードを入れないこと （例: test-pass-123）。

① GET で送る

② POST で送る（アプリが本文をそのまま記録）

③ POST で送る（アプリがパスワードを伏せて記録）

Webサーバーのアクセスログ（Apache 形式・末尾15行）

Webサーバーは URL（クエリ文字列を含む）を記録するが、POST の本文は記録しない。

172.19.0.6 - - [19/Oct/2026:17:02:07 +0000] "GET /log/ HTTP/1.1" 200 - "Mozilla/5.0 AppleWebKit/537.36 (KHTML, like Gecko; compatible; ClaudeBot/1.0; +claudebot@anthropic.com)"

アプリが出したログ（JSON形式・末尾8行）

アプリは自分で決めた項目を記録する。POST の本文を記録するかどうかはアプリの設計次第。

{"ts":"2026-10-19T17:02:07+00:00","ip":"172.19.0.6","method":"GET","uri":"/log/","query":[],"ua":"Mozilla/5.0 AppleWebKit/537.36 (KHTML, like Gecko; compatible; ClaudeBot/1.0; +claudebot@anthropic.com)"}

見比べて分かること

• ① GET では、パスワードが URL の一部としてアクセスログに残る。 ログを見られる人（運用担当・ログサーバー・バックアップ）全員に見える。パスワードを GET で送ってはいけない理由の一つ。
• ② POST にしても、アプリが本文をそのまま記録すればやはり残る。
• ③ 記録する前に伏せれば残らない。ログに出してはいけないもの（パスワード・セッションID・カード番号など）は、出す側で伏せる。
• 各行の先頭には時刻がある。複数のサーバーのログを突き合わせるには、サーバーの時刻が合っていることが前提になる。

※この演習サイトは教材として、攻撃の痕跡を残すために POST 本文も記録している（②の状態）。 実際のシステムで真似してはいけない。