Fiddler2の簡単な使い方

Fiddlerはセキュリティのテストにも使用できる強力なツールです。Fiddlerとはどんなツールかの説明から、ダウンロードの方法、使い方を簡単に解説しています。

1. Fiddlerとは

Fiddlerとは、Windowsで動作するhttpやhttpsなどのプロトコルに特化したプロキシサーバ―です。 Fiddlerを使うとすべてのアプリの対象プロトコルを使用する要求がFiddler越しで送られるようになります。 Fiddlerでそれらの要求を閲覧したり、書き換えて送ったり、独自に作成した要求を送る、などできます。

2. Fiddler2のダウンロード

Fiddlerは、http://getfiddler.comでダウンロードできます。 Fiddlerのインストールは簡単です。インストーラの説明に従って簡単にインストールできます。

3. Fiddler2の使い方

活用例を示して、簡単なFiddler2の使い方を紹介していきます。

Fiddlerの使い方（セッションハイジャックの例）

セッションで確認ページを表示するお問合せフォームを例にセッションハイジャックの例と、Fiddlerの起動からリクエストの閲覧、独自に作成したリクエストの送信など、簡単なFiddlerの使い方を見ていきます。

例で使用するお問合せフォーム

以下のような確認ページでセッションの内容を表示するお問合せフォームで、他のユーザから窃取してきたCookieの値を使うことで、他のユーザのページが表示されてしまう、セッション管理のお問合せフォームです。

お問合せ入力（/inquiry/input.html）
入力チェック（/inquiry/validate.html）…チェックしてセッションに入力内容を保存
お問合せ確認（/inquiry/confirm.html）…セッションに保存した入力内容を表示
お問合せ送信（/inquiry/finish.html）

Fiddlerの起動

C:\Program Files (x86)\Fiddler2\Fiddler.exeをクリックして起動します。

特定のブラウザの通信のみを表示する

Fiddlerはすべてのアプリケーションの要求をプロキシします。特定のブラウザの通信のみキャプチャするには、FiltersタブのClient Processを使用します。今回はFirefoxを使用します。

左側のFiltersタブを選択し、Use Filtersにチェックをいれ、Client ProcessのShow only traffic fromのプルダウンでFirefoxのプロセスを選びます。

Fiddlerのセッションリストのクリア

左に表示されるセッションのどれかを選択して、右クリック＞Remove＞All Sessionsを選択するとセッションリストがクリアできます。

Fiddlerのセッションの内容表示

上述のお問合せフォームを送信まで行って、たとえば、確認ページ（/inquiry/confirm.html）を探して、ダブルクリックすると左にその内容が表示されます。以下のイメージのようにRawを選択するとヘッダ内容が見やすいです。

WebViewタブを選択するとWebページのイメージが表示されます。

リクエストヘッダ―のコピー

Fiddlerは、かなり凝って作られていて、至るところで右クリックしてみるといろいろな機能が隠されています。リクエストヘッダーのコピーも選択して、Ctrl+Cや右クリック＞Copyの操作でコピーできます。

コピーしたリクエストの送信

ComposerのExecuteボタンでコピーしたリクエストが簡単に送信できます。先ほどコピーしたリクエストヘッダーをRawのところに貼り付けて、HTTPはボディー部と改行で区別するので、改行を2つ追加してExecuteボタンを押すとコピーしたリクエストが送信できます。

なお、例のお問合せフォームは、先ほど送信完了まで行っているので、セッションは破棄されて、確認ページは表示されず、入力ページにリダイレクトされます。

コピーしたリクエストを書き換えて送信

ここでは、別のユーザのCookieの値を窃取してきて、そのCookieを先ほどのリクエストに設定して送信し、セッションハイジャックしてみます。

Cookieの値ですが、たとえば別のブラウザ、ここではChromeを使用しますが、デベロッパーツールなどの開発者ツールを開いてNetworkのところを表示し、確認ページのリクエストを探します。確認ページのリクエストを見つけたら、レスポンスヘッダのところにある、Cookie:の値をコピーします。

Cookieの値をFiddlerのComposerの先ほど入力ページにリダイレクトされたリクエストヘッダ―に設定して、Executeします。

セッションハイジャックされました。

この例はCookieの値だけでセッションハイジャックされました。簡単ですが、自作でセッションを使った場合、セッションのチェックなんて気にしないことも多いのではないでしょうか。

また、ちょっと考えてUserAgentをチェックしてみるかもしれません。でもUserAgentも窃取して貼り付ければ終わりなので、POSTトークンを毎回払いだすなどもっと難解にしたいですね。 Cookieなどのセッション管理情報は窃取されないようにHTTPSに対応し、XSSなどの脆弱性も作りこまないようにするのも重要ですね。