AppScan

Hiddenフィールドとは、Webブラウザの画面には表示されないHTMLフォーム項目です。画面には表示されないですが、Webブラウザからリクエストを送信するときに一緒に送信される仕組みです。この値は通常変更されることがないため、複数のWebページをまたがって情報を保持するために利用されます。

よくある使用例としては、ショッピングサイトにおいて商品の価格をHiddenフィールドに埋め込むといった方法です。しかし、この情報はHTMLソースを表示すれば誰にでも参照可能で、容易に改ざんも可能なのです。実際、商品価格をHiddenフィールドに埋め込んでいたショッピングサイトにおいて、値を改ざんされたために通常価格よりも安い値段で商品を出荷してしまった事例が過去にたくさん報道されています。
以下に、具体的な手口を図解します。

改ざんを行うためには、このHTMLページをローカルにダウンロードし、エディタを使って40という数字を書き換えるだけです。 実際にこの数字を2ドルに書き換えて、再度Webブラウザに読み込ませてみます。

すると、画面上の価格が2ドルに変更されてしまっています。この情報をWebサーバに送信して、アプリケーション側で処理してしまった場合、40ドルのカメラは2ドルで購入されてしまうでしょう。このように、通常変更されるはずのないHiddenフィールドの値を不正に改ざんする攻撃をHiddenフィールドの不正操作といいます。