ChromeのRecorderを利用したPuppeteerスクリプトによるスキャンの作成
Google Chromeブラウザに組み込まれているDeveloper Toolsには、ブラウザのインタラクションを記録し、PuppeteerスクリプトとしてエクスポートできるRecorder機能が備わっています。これは、複雑な認証フローやチェックアウトなどの高度なインタラクションを有効にする際に非常に役立ちます。
本ガイドでは、ChromeのRecorder機能で生成したPuppeteerスクリプトを使用してWebスキャンを作成する方法について説明します。Puppeteerスクリプトを使用することで、ユーザーのチェックアウトなどの複雑な認証やインタラクションのフローを自動化できます。
report.ostorlab.co へアクセスする
1. 新規スキャンへ移動する。
上部バーのNew Scanアイコンをクリックします。
2. Web Appを選択する。
Web Appオプションを選択して、Webスキャンを作成します。
3. ターゲットURLを追加する。
ターゲットとなるURLまたはドメイン名を追加し、「Continue」をクリックします。続く「Extra Context」ステップは任意です。
4. 「Full Web Scan」をクリックする
Full Web Scanプロファイルを選択します。鍵アイコンと「Unlock Profile」ボタンが表示されているプロファイルは、組織のプランに含まれていません。
5. 「Continue」をクリックする
Continueボタンをクリックします。
6. 「Test Credentials」をクリックする
「Test Credentials」ステップで「+ Test Credentials」をクリックします。
7. 「Script」をクリックする
認証情報の種類としてScriptを選択します。
8. スクリプトをアップロードする。
必要に応じて認証情報にラベルを付け、Puppeteerスクリプトファイルをアップロードします。その下にスクリプトのプレビューが表示されます。
9. オプションのスキャン設定を追加する。
以降のステップは任意です：SBOMファイル、QPSの制限・プロキシ設定・除外URLのリストなどのスキャン設定、カスタムチェック、タグ、そしてスキャンを実行できる時間帯を設定する実行ウィンドウ（Execution window）。
10. 「Start scan」をクリックする
「Start scan」をクリックし、上部バーのScansからスキャンの状況を確認します。スキャンはまずキューに入り、その後実行されます。
Puppeteerスクリプトの作成
ChromeからPuppeteerスクリプトを作成するには、以下の手順に従ってください。
1. ChromeでDeveloper Toolsを開く
- Webページ上で右クリックして
Inspectを選択するか、Ctrl+Shift+I(Windows/Linux) またはCmd+Option+I(Mac) を押します。 - これによりDeveloper Toolsペインが開き、通常はブラウザウィンドウの右側または下部にドッキングして表示されます。
2. Recorderツールへアクセスする
- Developer Toolsペインで、
Recorderと書かれたタブをクリックします。 - 表示されていない場合は、「>>」アイコンの裏に隠れている可能性があります。このアイコンをクリックし、ドロップダウンから
Recorderを選択します。
3. 記録を開始する
Start Recordingボタンをクリックします。これにより、すべてのブラウザインタラクションのキャプチャが開始されます。- 対象のWebサイトで認証フローを操作します。例：
- ログインページへ移動する
- ユーザー名とパスワードを入力する
- ログインボタンをクリックする など
4. 記録を停止する
- 認証フローが完了したら、Recorderペインの
Stop Recordingボタンをクリックします。
5. 確認とエクスポート
- 記録を停止した後、Recorderペインで記録されたすべてのステップを確認できます。必要に応じて、不要なステップを削除したり、不正確なステップを編集して修正したりできます。
- 記録されたインタラクションをPuppeteerスクリプトとしてエクスポートするには、Recorderペインの
SaveボタンまたはExportボタン（具体的なラベルはChromeのバージョンによって異なります）をクリックします。 - コンピュータ上の保存先を選択すると、
.jsファイルとしてダウンロードされます。