Hello there, ('ω')ノ 検索にも“スキル”がある OSINTの基本は「検索」です。 でもただのGoogle検索と、プロのOSINT検索はまったく違います。 ✔️ 調べるキーワードの工夫 ✔️ 検索演算子の活用 ✔️ 専門的な検索エンジンの使い分け ――これらを使いこなせば、誰…

Hello there, ('ω')ノ 「調べる前」にすべきことがある OSINT（オープンソース・インテリジェンス）は、思い立ったらすぐに始められる反面、準備不足のまま着手すると失敗するリスクも高い分野です。 「情報漏洩しない環境で調査できるか」 「自分の情報が…

Hello there, ('ω')ノ OSINTは「調べる」だけではない OSINT（オープンソース・インテリジェンス）は、ただGoogleで検索するだけのものではありません。 真に価値のある情報にするには、「集める → 整理する → 意味づける → 伝える」という流れが必要です。…

Hello there, ('ω')ノ 「調べれば分かる」時代の到来 「ネットに出ている情報なんて、誰が見るの？」 …と思っていませんか？ 実は今、政府機関も大手企業も、サイバー犯罪集団さえも、OSINTをフル活用しています。 この記事では、現実の業務でどう使われて…

Hello there, ('ω')ノ OSINTブーム、その背景とは？ ここ数年、OSINT（オープンソース・インテリジェンス）は軍事・セキュリティの専門領域から、ビジネス、広報、採用、人事、リスク管理など多くの分野へと急速に広がっています。 なぜ今、こんなにもOSINT…

Hello there, ('ω')ノ OSINTにも“やり方の違い”がある？ OSINT（公開情報からの情報収集）には、大きく分けて2つのアプローチがあります： パッシブ（受動的）OSINT アクティブ（能動的）OSINT この違いを理解しておくことは、社内での情報収集活動の安全性…

Hello there, ('ω')ノ こんな時代、すでに始まっている インターネット上には、私たちが意識しないうちに、「見られて困る情報」や「使われると危険な情報」 が山ほどあります。しかも、それらのほとんどは公開されているのです。 驚くかもしれませんが、SN…

Hello there, ('ω')ノ OSINTってなんの略？ 「OSINT」とは Open Source Intelligence（オープンソース・インテリジェンス） の略称です。日本語では「公開情報から得られるインテリジェンス」と訳されることが多いです。 OSINTは、新聞、SNS、企業のWebサイ…

Hello there, ('ω')ノ 目的： シリアライズされたセッション情報を改ざんし、管理者権限を取得。その後、carlosユーザーを削除することでラボを完了させます。 ️ 初期準備 ログイン情報：wiener:peter 使用ツール：Burp Suite（ProfessionalでもCommunityで…

Hello there, ('ω')ノ 概要 シリアライズとは、プログラム内のオブジェクトを文字列やバイト列に変換する仕組みです。多くのWebアプリでは、セッション情報やユーザー情報をクッキーなどでやり取りするためにこの方法を使います。 しかし、オブジェクトの内…

Hello there, ('ω')ノ どうやって見つけるの？ 1. 通信の中にシリアライズされたデータがないか探す Burp Suiteやプロキシツールで、Webアプリケーションとサーバーのやり取り（リクエストとレスポンス）を観察します。 よく見かけるシリアライズ形式 PH…

Hello there, ('ω')ノ どれくらい危険なのか？ 1. リモートコード実行（RCE） 攻撃者が任意のプログラムコードをサーバー上で実行できる。 最も深刻な影響。 サーバーの完全乗っ取りが可能になる。 情報漏えい、改ざん、バックドア設置など何でもできるよ…

Hello there, ('ω')ノ 根本的な原因：過小評価と誤解 多くの開発者は、「ユーザーからのデータをそのままデシリアライズすることがどれほど危険か」を十分に理解していません。 その結果、以下のような誤った安心感や不完全な対策が原因で、深刻な脆弱性が…

Hello there, ('ω')ノ 定義 インセキュア・デシリアライゼーションとは、ユーザーから送られてくるデータをそのままデシリアライズ（復元）してしまう危険な処理のことです。 このとき、攻撃者が細工した悪意のあるオブジェクトデータを送ると、意図しない…

Hello there, ('ω')ノ シリアライズ（Serialization）とは？ シリアライズとは、プログラムの中で扱っている複雑なデータ（オブジェクトや構造体）を一連のバイト列（または文字列）に変換するプロセスです。 こんなときに使う！ データをネットワーク越し…