脆弱性診断
Hello there, ('ω')ノ 金曜日からPCを製作していて、環境構築などで忙しく。 今回は、x300のベアボーンにRyzenのCPUを組み合わせて。 これがなかなか、コンパクトで性能もよくて。 さて、下記のサイトでXXEを試すためすことに。 https://challenge.acictf.co…
Hello there, ('ω')ノ XXEは、XML外部エンティティインジェクションの略で。 WEBアプリケーションのXMLデータの処理を妨害できる脆弱性で。 多くの場合、アプリケーションサーバのファイルシステム上のファイルを表示して。 アプリケーション自体がバックエ…
Hello there, ('ω')ノ CRLFインジェクションについて、脆弱性診断ガイドラインを拝見すると。 診断を実施すべき箇所は、レスポンスヘッダに値を出力しているところで。 操作を行う対象は、レスポンスヘッダに値を出力しているパラメータで。 診断方法として…
Hello there, ('ω')ノ Nucleiは、テンプレートに基づいてターゲットスキャンするツールで。 https://github.com/projectdiscovery/nuclei/releases/ 解凍して。 tar tar -xzvf nuclei_2.2.0_linux_amd64.tar.gz 実行ファイルを移動して。 mv nuclei /usr/loc…
Hello there, ('ω')ノ DotDotPwnは、ディレクトリトラバーサルの脆弱性を発見するツールで。 dotdotpwn サポートされているファジングモジュールはhttpで。 dotdotpwn -m http -h 192.168.1.51/bWAPP スタートするとどのようなディレクトリを調査しているか…
Hello there, ('ω')ノ Commixは、[ comm ]および[ i ] njection e [ x ] ploiterの略で。 コマンドインジェクションの脆弱性とバグについてテストするツールで。 Commixは、攻撃ベクトルでターゲットの脆弱性テストを実行して。 攻撃ベクトルは、クラシック…
Hello there, ('ω')ノ 先日、導入したやられサイトを使用して。 Juice Shopにアクセスして、ログインして。 test@mail.com/pass123 ブラウザで、Cookieを確認してみると。 tokenというItemがあって。 内容は下記のとおりで。 eyJ0eXAiOiJKV1QiLCJhbGciOiJSUz…
Hello there, ('ω')ノ このところ、モバイル系の調査や環境構築で時間をとられてしまって。 WEBアプリ系やプラットフォーム系もやること山積みで。 さらには、ペネトレーションテストやデジタルフォレンジックスもで。 さて、最新の調査によると。 Androidと…
Hello there, ('ω')ノ 最近は、脆弱性診断のマニュアルをカテゴリごとにブラッシュアップしていて。 これまで経験したことのない脆弱性の確認方法があったので。 HTTPメソッドベースのアクセス制御の回避らしく。 まずは、１つ目のブラウザで下記の管理者で…
Hello there, ('ω')ノ 脆弱診断でOWAP ZAPやBurp Suiteを使っていると。 同じ脆弱性でも微妙にCWE-IDが違っていたりと。 また、以前作成した脆弱性項目のCWE-IDともズレがあったりと。 なかなか神経質な性格なもので、ほっておけなくてCWE-IDの親子関係から…
Hello there, ('ω')ノ このところ、診断項目の見直しや整理を粛々とやってきて。 軽微な間違いはあるかもしれませんが、これまで以上に納得できるようになって。 それなりにまとまってきたかなあと。 Best regards, (^^ゞ
Hello there, ('ω')ノ 今年のはじめには、下記なようなものをつくってみて。 https://cysec148.hatenablog.com/entry/2020/01/14/113237 それから知識も増える中、うまく整理ができていないものもあって。 各方面では、脆弱性の名称が異なっていたりまとめて…
Hello there, ('ω')ノ まずは、WebGoatを起動して。 Burp Suiteのレスポンスの内容からSet-Cookieを検索して。 右クリックでSend to Sequencerを選択して。 分析のターゲットとなるWEAKIDを選択して。 Start live captureを押すと画面が立ち上がって。 キャ…
Hello there, ('ω')ノ シリアライズされた値を確認したくて。 まずは、Java Serial Killer Burpの拡張機能をインストールして。 Mutillidaeを起動して。 Java Serial Killerを選択して。 ただ、Mutillidaeにはシリアル化されたオブジェクトがないので。 自分…
Hello there, ('ω')ノ 安全でないデシリアライゼーションを勘違いしていたのでまとめておくことに。 コンピュータサイエンスでは、オブジェクトはデータ構造で。 つまり、データを構造化する方法で。 いくつかの主要な概念をわかりやすくすると。 シリアル化…
Hello there, ('ω')ノ 概要 安全でない直接オブジェクト参照は、アプリケーションがユーザ提供の入力に基づいてオブジェクトへの直接アクセスを提供するときに発生します。 この脆弱性の結果として、攻撃者は認証をバイパスし、データベースレコードやファイ…
Hello there, ('ω')ノ Nessusは、インターネットまたはオフラインで接続して更新できて。 オフラインで更新するには、更新パッケージをダウンロードする必要があるので。 手間のかからない更新だとインターネット接続のほうがよろしいかと。 前回、Linuxにイ…
Hello there, ('ω')ノ 脆弱性診断といっても単にツールが使えて診断できるだけではビジネスにはならず。 プロセス管理というものが必要であって。 机上でシミュレーションしながら考えてまとめてみることに。 どのタイミングでどのようなドキュメントが発生…
Hello there, ('ω')ノ このところ、ずっと脆弱性診断結果報告書の書き方について勉強したりと。 まずは、項目の洗い出しから。 次にそれらの項目は、どの工程のタイミングで発生したものかを。 すると、 ヒヤリングシート ⇩ 診断実施計画書 ⇩ 診断結果報告書…
Hello there, これまで主要な脆弱性診断ばかりやってきたものの。 『脆弱性診断ガイドライン』をみると、他にもいろいろとあって。 ひとつひとつ丁寧につぶしていこうかなと。 『不要なHTTPメソッド』には、TRACEメソッドについて書かれており。 下記のよう…
Hello there, 脆弱性診断となるといろんな参考資料があって。 内容を十分に理解している方であれば、すんなりとわかるかもしれませんが。 これからの方であれば、カテゴリ分けがまちまちなので。 頭の中がスパゲティ状態となったり。 さらには、ボリュームが…
Hello there, 脆弱性診断を実施する際に前準備というものが必要かと。 顧客相手にしても自社内にしても実施計画書はしっかりと作っておいたほうが。 実施計画書がOutput情報であれば。 それを作成する際のInput情報はヒヤリングシートであって。 そのように…
Hello there, 脆弱性診断には、大きく分けると自動(ツール)診断と手動診断とあって。 自動診断は誤検知もありますので、手動での検証が必要で。 手動診断においては、実施しながら検証も行うといった感じで。 自動診断ではレポートを出力する機能があるはず…
Hello there, 実際に中小企業が、自社で脆弱性診断をしようとすると。 まっさきに思いつくのは、参考書だったり、セミナーだったり。 中小企業からするとセミナー料金は高額の領域だったりと。 仮にセミナーを受講させたところで。 セミナーで能力を身につけ…
Hello there, 無料のスキャナーツールはいろいろとありまして。 SkipfishやWapitiなど。 ただ、性能はまちまちで。 ちょっとしたベンチマークテストを見ていると気になるツールもあって。 ZAPの結果は、以下のとおりでして。 Vegaの結果は、以下のとおりで。…
Hello there, 脆弱性診断をするための前提知識を習得したら。 次は、脆弱性の種類について理解し。 どのように診断するかといった流れになるかと思いますが。 脆弱性診断をトレーニングする環境を並行して整えておくのもよいかと。 トレーニングサイトは、仮…
Hello there, セキュリティエンジニアが不足しているという中。 セキュリティに限らず、いろんなところで人で不足ではありますが。 出生率も減少しており、事態はさらに深刻化するのは目に見えており。 さて、ホワイトハッカーというとイメージもよさそうで…
Hello there, 海外には多くのやられサイトがあって。 それぞれに個性もあり。 わかりやすかったり。 わかりにくかったりと。 国内だとIPAがやられサイトらしきものを提供していたかと思いますが。 使ったことはなく。 IPAのウェブ健康診断の項目が海外のやら…
Hello there, そもそも下のような紐づけを行ったきっかけは。 bWAPPがOWASP TOP10 2010ベースだったためであり。 現在、IPAから出ているウェブ健康診断項目が含まれているかどうか。 を確認してみたかったからであって。 IPAウェブ健康診断項目から逆にOWASP…
Hello there, せっかくなのでKaliでsqlmapを使おうとすると。 sqlmapどころか。 gitも。 pythonも。 DockerからpullしたKaliには入っていなくて。 片っ端からインストールすることに。 まずは、gitをインストールして。 次にphythonをインストールして。 sql…
