しかし、Hiddenフィールドやセレクトボックス、ラジオボタンなどのパラメータは開発者が変更できないと思い込んでいることが多いため、Textなどでは発見されない脆弱性が見つかることが多々ある。
そこで、検査の際にはHTTPリクエストを変更できるプロキシを使用する。そのようなツールのひとつに、AppScanに付属するHTTP Proxyがある。このツールは、Watchfireのウェブサイトからダウンロードできる。
こうしたツールには、他にもオープンソースの「Paros」や「WebScarab」などもある。
今回は、AppScan付属のHTTP Proxyを使った検査方法を紹介する。このツールはAppScanに付属するものだが、自由に使用できる。
HTTP Proxyの使い方は、以下のとおり。
1）ブラウザのプロキシ設定で、プロキシサーバを「localhost」に、ポート番号を「8080（デフォルト値）」に設定する。HTTP Proxyの待ちうけポート番号は、HTTP Proxyのメニュー「Edit」「Preferences」で変更できる。
2）HTTP Proxyが転送するHTTPリクエスト/HTTPレスポンスの処理方法を「Manual」に設定する。これにより、受け取ったHTTPリクエストをHTTP Proxyで受けて、その内容を変更してからサーバに送信することが可能となる（図3）。
図3：HTTP Proxyが転送するHTTPリクエスト/HTTPレスポンスの処理方法を「Manual」に設定する（※クリックすると拡大画像が見られます）。
3）受け取ったHTTPリクエスト/HTTPレスポンスを変更し、
図4：
3）受け取ったHTTPリクエスト/HTTPレスポンスを変更し送信する（※クリックすると拡大画像が見られます）。
実際に手動によるセキュリティ検査では、このようなツールを使用するのが有効になる。
