Submit Search
Upload
Let's verify the vulnerability-脆弱性を検証してみよう!-
•
19 likes
•
7,194 views
Z
zaki4649
Follow
11/24にIs Community勉強会にて登壇した時の資料です。
Read less
Read more
Engineering
Report
Share
Report
Share
1 of 35
Recommended
9/21に開催したOWASP Connect in Tokyoにて登壇した時の資料です。
最近のやられアプリを試してみた
最近のやられアプリを試してみた
zaki4649
5/23に開催したssmjpでLTした資料です。一部内容の追記をしています。
とある診断員とSQLインジェクション
とある診断員とSQLインジェクション
zaki4649
とある診断員と色々厄介な脆弱性達
とある診断員と色々厄介な脆弱性達
zaki4649
フリーでできるセキュリティチェック OpenVAS CLI編
フリーでできるセキュリティチェック OpenVAS CLI編
フリーでできるセキュリティチェック OpenVAS CLI編
abend_cve_9999_0001
JAWS DAYS 2019に登壇した時の資料です。 セッション中の攻撃デモの動画は以下となります。 https://youtu.be/AyzrYEM601w
PenTesterが知っている危ないAWS環境の共通点
PenTesterが知っている危ないAWS環境の共通点
zaki4649
SSRF対策としてAmazonから発表されたIMDSv2の効果と限界について解説します Security-JAWS 【第16回】 勉強会 2020年2月14日(金) 講演資料
SSRF対策としてAmazonから発表されたIMDSv2の効果と破り方
SSRF対策としてAmazonから発表されたIMDSv2の効果と破り方
Hiroshi Tokumaru
July Tech Festa 2015にて登壇した際の資料です。 なお後日、小河さんがOpen VASのCLI操作の解説について以下のスライドを追加投稿してくれました! 「フリーでできるセキュリティチェック OpenVAS CLI編」 http://www.slideshare.net/abend_cve_9999_0001/openvas-cli-51048313
フリーでやろうぜ!セキュリティチェック!
フリーでやろうぜ!セキュリティチェック!
zaki4649
Linux女子部 「Fedora最新技術情報&Systemd勉強会」 http://connpass.com/event/3859/ で使用した資料です。 変更履歴 2013/11/04 ver1.0 初版 2013/11/05 ver1.1 誤植修正、少し追記 2013/11/06 ver1.2 daemon-reload,mask,テンプレート機能を追記 2013/11/12 ver1.3 User/Groupオプションの説明追加 2013/11/24 ver1.4 誤植修正 2014/05/05 ver1.5 imjournalモジュールの説明追加
Linux女子部 systemd徹底入門
Linux女子部 systemd徹底入門
Etsuji Nakai
Recommended
9/21に開催したOWASP Connect in Tokyoにて登壇した時の資料です。
最近のやられアプリを試してみた
最近のやられアプリを試してみた
zaki4649
5/23に開催したssmjpでLTした資料です。一部内容の追記をしています。
とある診断員とSQLインジェクション
とある診断員とSQLインジェクション
zaki4649
とある診断員と色々厄介な脆弱性達
とある診断員と色々厄介な脆弱性達
zaki4649
フリーでできるセキュリティチェック OpenVAS CLI編
フリーでできるセキュリティチェック OpenVAS CLI編
フリーでできるセキュリティチェック OpenVAS CLI編
abend_cve_9999_0001
JAWS DAYS 2019に登壇した時の資料です。 セッション中の攻撃デモの動画は以下となります。 https://youtu.be/AyzrYEM601w
PenTesterが知っている危ないAWS環境の共通点
PenTesterが知っている危ないAWS環境の共通点
zaki4649
SSRF対策としてAmazonから発表されたIMDSv2の効果と限界について解説します Security-JAWS 【第16回】 勉強会 2020年2月14日(金) 講演資料
SSRF対策としてAmazonから発表されたIMDSv2の効果と破り方
SSRF対策としてAmazonから発表されたIMDSv2の効果と破り方
Hiroshi Tokumaru
July Tech Festa 2015にて登壇した際の資料です。 なお後日、小河さんがOpen VASのCLI操作の解説について以下のスライドを追加投稿してくれました! 「フリーでできるセキュリティチェック OpenVAS CLI編」 http://www.slideshare.net/abend_cve_9999_0001/openvas-cli-51048313
フリーでやろうぜ!セキュリティチェック!
フリーでやろうぜ!セキュリティチェック!
zaki4649
Linux女子部 「Fedora最新技術情報&Systemd勉強会」 http://connpass.com/event/3859/ で使用した資料です。 変更履歴 2013/11/04 ver1.0 初版 2013/11/05 ver1.1 誤植修正、少し追記 2013/11/06 ver1.2 daemon-reload,mask,テンプレート機能を追記 2013/11/12 ver1.3 User/Groupオプションの説明追加 2013/11/24 ver1.4 誤植修正 2014/05/05 ver1.5 imjournalモジュールの説明追加
Linux女子部 systemd徹底入門
Linux女子部 systemd徹底入門
Etsuji Nakai
文字コードに起因する脆弱性とその対策(増補版)
文字コードに起因する脆弱性とその対策(増補版)
Hiroshi Tokumaru
2014-06-25(水) JJUGナイトセミナー「WildFly 8ローンチ記念」の発表資料です。
次世代Webコンテナ Undertowについて
次世代Webコンテナ Undertowについて
Yoshimasa Tanabe
http://www.ospn.jp/osc2016-fall/ 2016/11/06
webエンジニアのためのはじめてのredis
webエンジニアのためのはじめてのredis
nasa9084
2019/11/17に開催した「とある診断員とSecurity-JAWS#01」で行ったflaws.cloudワークショップの資料です。
flaws.cloudに挑戦しよう!
flaws.cloudに挑戦しよう!
zaki4649
社内勉強会資料 追記: 2013-10-31 ついったで指摘( https://twitter.com/akuraru/status/395822183777202176 )を受けたので入れ子集合のノード追加の説明の所を修正しました。
SQLアンチパターン - ナイーブツリー
SQLアンチパターン - ナイーブツリー
ke-m kamekoopa
Burp Suite Japan LT Carnivalで発表した資料です。 2.0で追加された一部の機能について説明しています。
Burp Suite 2.0触ってみた
Burp Suite 2.0触ってみた
Yu Iwama
Acroquest Technology LTxRT 人生がときめくAPIテスト自動化 with Karate Sparking Joy for API Testing Automation
人生がときめくAPIテスト自動化 with Karate
人生がときめくAPIテスト自動化 with Karate
Takanori Suzuki
[秋葉原]第2回ゼロから始めるセキュリティ入門 勉強会(https://weeyble-security.connpass.com/event/48205/)のLT資料です。
脆弱性スキャナVulsで始めるセキュリティ対策
脆弱性スキャナVulsで始めるセキュリティ対策
Takayuki Ushida
DroidKaigi 2019講演資料
FridaによるAndroidアプリの動的解析とフッキングの基礎
FridaによるAndroidアプリの動的解析とフッキングの基礎
ken_kitahara
フリーでできるセキュリティWeb編(SQLMあpを楽しもう)
フリーでできるセキュリティWeb編(SQLMあpを楽しもう)
abend_cve_9999_0001
WACATE2016S セッション資料
テスト設計・テストケース作成 グループ
テスト設計・テストケース作成 グループ
Tomoaki Fukura
2016/05/17に開催したSecurity-JAWSにて登壇した時の資料です。
とある診断員とAWS
とある診断員とAWS
zaki4649
組織にテストを書く文化を根付かせる戦略と戦術 Feb 16, 2016 @ 日本OSS推進フォーラム
組織にテストを書く文化を根付かせる戦略と戦術
組織にテストを書く文化を根付かせる戦略と戦術
Takuto Wada
XSSの初心者向け説明です。初心者向けだけど、きっちり理解したい方向け…
XSS再入門
XSS再入門
Hiroshi Tokumaru
2016/11/18にBurp Suite Japan LT Carnivalで登壇した時の資料です。
最近のBurp Suiteについて調べてみた
最近のBurp Suiteについて調べてみた
zaki4649
PHPカンファレンス2020での講演資料です。 アジェンダ 誤解1: Cookieは誤解がいっぱい 誤解2: 脆弱性があるページにのみ影響がある 誤解3: 脆弱なECサイトはセキュリティコードを保存している 誤解4: クレジットカードをサイトに保存すると漏洩リスクが高まる 誤解5: ハッシュ値で保存されたパスワードは復元されない 誤解6: 高価なSSL証明書ほど暗号強度が高い 誤解7: TRACEメソッドの有効化は危険な脆弱性である 誤解8: 怪しいサイトを閲覧すると情報が盗まれたりウイルスに感染する 誤解9: イントラのウェブサイトは外部からは攻撃できない 誤解10: セキュリティ情報はウェブで収集する
ウェブセキュリティのありがちな誤解を解説する
ウェブセキュリティのありがちな誤解を解説する
Hiroshi Tokumaru
JJUG CCC 2018 Fall 登壇時の資料です。 #jjug_ccc #ccc_g1
Spring Boot の Web アプリケーションを Docker に載せて AWS ECS で動かしている話
Spring Boot の Web アプリケーションを Docker に載せて AWS ECS で動かしている話
JustSystems Corporation
2015/9/30ささみ発表資料
脆弱性検査ツールってどうよ
脆弱性検査ツールってどうよ
Masakazu Ikeda
ng-mtg#6 AngularJS勉強会の発表資料です。
そろそろ押さえておきたい AngularJSのセキュリティ
そろそろ押さえておきたい AngularJSのセキュリティ
Muneaki Nishimura
セキュリティ・ミニキャンプ in 近畿 2017(神戸)における講演です http://www.security-camp.org/minicamp/kobe2017.html
ウェブセキュリティの常識
ウェブセキュリティの常識
Hiroshi Tokumaru
2018/7/5に第2回Burp Suite Japan LT Carnivalで登壇した時の資料です。
BurpSuiteの大変な一日
BurpSuiteの大変な一日
zaki4649
2018/7/5に第2回Burp Suite Japan LT Carnivalで登壇した時の資料です。
Bapp Storeを調べてみたよ!
Bapp Storeを調べてみたよ!
zaki4649
More Related Content
What's hot
文字コードに起因する脆弱性とその対策(増補版)
文字コードに起因する脆弱性とその対策(増補版)
Hiroshi Tokumaru
2014-06-25(水) JJUGナイトセミナー「WildFly 8ローンチ記念」の発表資料です。
次世代Webコンテナ Undertowについて
次世代Webコンテナ Undertowについて
Yoshimasa Tanabe
http://www.ospn.jp/osc2016-fall/ 2016/11/06
webエンジニアのためのはじめてのredis
webエンジニアのためのはじめてのredis
nasa9084
2019/11/17に開催した「とある診断員とSecurity-JAWS#01」で行ったflaws.cloudワークショップの資料です。
flaws.cloudに挑戦しよう!
flaws.cloudに挑戦しよう!
zaki4649
社内勉強会資料 追記: 2013-10-31 ついったで指摘( https://twitter.com/akuraru/status/395822183777202176 )を受けたので入れ子集合のノード追加の説明の所を修正しました。
SQLアンチパターン - ナイーブツリー
SQLアンチパターン - ナイーブツリー
ke-m kamekoopa
Burp Suite Japan LT Carnivalで発表した資料です。 2.0で追加された一部の機能について説明しています。
Burp Suite 2.0触ってみた
Burp Suite 2.0触ってみた
Yu Iwama
Acroquest Technology LTxRT 人生がときめくAPIテスト自動化 with Karate Sparking Joy for API Testing Automation
人生がときめくAPIテスト自動化 with Karate
人生がときめくAPIテスト自動化 with Karate
Takanori Suzuki
[秋葉原]第2回ゼロから始めるセキュリティ入門 勉強会(https://weeyble-security.connpass.com/event/48205/)のLT資料です。
脆弱性スキャナVulsで始めるセキュリティ対策
脆弱性スキャナVulsで始めるセキュリティ対策
Takayuki Ushida
DroidKaigi 2019講演資料
FridaによるAndroidアプリの動的解析とフッキングの基礎
FridaによるAndroidアプリの動的解析とフッキングの基礎
ken_kitahara
フリーでできるセキュリティWeb編(SQLMあpを楽しもう)
フリーでできるセキュリティWeb編(SQLMあpを楽しもう)
abend_cve_9999_0001
WACATE2016S セッション資料
テスト設計・テストケース作成 グループ
テスト設計・テストケース作成 グループ
Tomoaki Fukura
2016/05/17に開催したSecurity-JAWSにて登壇した時の資料です。
とある診断員とAWS
とある診断員とAWS
zaki4649
組織にテストを書く文化を根付かせる戦略と戦術 Feb 16, 2016 @ 日本OSS推進フォーラム
組織にテストを書く文化を根付かせる戦略と戦術
組織にテストを書く文化を根付かせる戦略と戦術
Takuto Wada
XSSの初心者向け説明です。初心者向けだけど、きっちり理解したい方向け…
XSS再入門
XSS再入門
Hiroshi Tokumaru
2016/11/18にBurp Suite Japan LT Carnivalで登壇した時の資料です。
最近のBurp Suiteについて調べてみた
最近のBurp Suiteについて調べてみた
zaki4649
PHPカンファレンス2020での講演資料です。 アジェンダ 誤解1: Cookieは誤解がいっぱい 誤解2: 脆弱性があるページにのみ影響がある 誤解3: 脆弱なECサイトはセキュリティコードを保存している 誤解4: クレジットカードをサイトに保存すると漏洩リスクが高まる 誤解5: ハッシュ値で保存されたパスワードは復元されない 誤解6: 高価なSSL証明書ほど暗号強度が高い 誤解7: TRACEメソッドの有効化は危険な脆弱性である 誤解8: 怪しいサイトを閲覧すると情報が盗まれたりウイルスに感染する 誤解9: イントラのウェブサイトは外部からは攻撃できない 誤解10: セキュリティ情報はウェブで収集する
ウェブセキュリティのありがちな誤解を解説する
ウェブセキュリティのありがちな誤解を解説する
Hiroshi Tokumaru
JJUG CCC 2018 Fall 登壇時の資料です。 #jjug_ccc #ccc_g1
Spring Boot の Web アプリケーションを Docker に載せて AWS ECS で動かしている話
Spring Boot の Web アプリケーションを Docker に載せて AWS ECS で動かしている話
JustSystems Corporation
2015/9/30ささみ発表資料
脆弱性検査ツールってどうよ
脆弱性検査ツールってどうよ
Masakazu Ikeda
ng-mtg#6 AngularJS勉強会の発表資料です。
そろそろ押さえておきたい AngularJSのセキュリティ
そろそろ押さえておきたい AngularJSのセキュリティ
Muneaki Nishimura
セキュリティ・ミニキャンプ in 近畿 2017(神戸)における講演です http://www.security-camp.org/minicamp/kobe2017.html
ウェブセキュリティの常識
ウェブセキュリティの常識
Hiroshi Tokumaru
What's hot
(20)
文字コードに起因する脆弱性とその対策(増補版)
文字コードに起因する脆弱性とその対策(増補版)
次世代Webコンテナ Undertowについて
次世代Webコンテナ Undertowについて
webエンジニアのためのはじめてのredis
webエンジニアのためのはじめてのredis
flaws.cloudに挑戦しよう!
flaws.cloudに挑戦しよう!
SQLアンチパターン - ナイーブツリー
SQLアンチパターン - ナイーブツリー
Burp Suite 2.0触ってみた
Burp Suite 2.0触ってみた
人生がときめくAPIテスト自動化 with Karate
人生がときめくAPIテスト自動化 with Karate
脆弱性スキャナVulsで始めるセキュリティ対策
脆弱性スキャナVulsで始めるセキュリティ対策
FridaによるAndroidアプリの動的解析とフッキングの基礎
FridaによるAndroidアプリの動的解析とフッキングの基礎
フリーでできるセキュリティWeb編(SQLMあpを楽しもう)
フリーでできるセキュリティWeb編(SQLMあpを楽しもう)
テスト設計・テストケース作成 グループ
テスト設計・テストケース作成 グループ
とある診断員とAWS
とある診断員とAWS
組織にテストを書く文化を根付かせる戦略と戦術
組織にテストを書く文化を根付かせる戦略と戦術
XSS再入門
XSS再入門
最近のBurp Suiteについて調べてみた
最近のBurp Suiteについて調べてみた
ウェブセキュリティのありがちな誤解を解説する
ウェブセキュリティのありがちな誤解を解説する
Spring Boot の Web アプリケーションを Docker に載せて AWS ECS で動かしている話
Spring Boot の Web アプリケーションを Docker に載せて AWS ECS で動かしている話
脆弱性検査ツールってどうよ
脆弱性検査ツールってどうよ
そろそろ押さえておきたい AngularJSのセキュリティ
そろそろ押さえておきたい AngularJSのセキュリティ
ウェブセキュリティの常識
ウェブセキュリティの常識
More from zaki4649
2018/7/5に第2回Burp Suite Japan LT Carnivalで登壇した時の資料です。
BurpSuiteの大変な一日
BurpSuiteの大変な一日
zaki4649
2018/7/5に第2回Burp Suite Japan LT Carnivalで登壇した時の資料です。
Bapp Storeを調べてみたよ!
Bapp Storeを調べてみたよ!
zaki4649
12/20に#ssmjpにて登壇した際の資料です。 LT中では説明しきれなかった部分を若干つけたししています。 なお、PoCのデモ動画は以下にアップロードしています。 https://youtu.be/OWqBYuExKqo
ノリとその場の勢いでPocを作った話
ノリとその場の勢いでPocを作った話
zaki4649
2015/1/15 OWASP Night 15thで登壇した時の資料です。 パネルの途中で本田さんがご説明された「Fiddlerアドオンによる魔改造」のスライドは以下にて公開されております! http://www.slideshare.net/hagurese/proxywariifiddleraddon
Proxy War EPISODEⅡ
Proxy War EPISODEⅡ
zaki4649
Proxy War
Proxy War
zaki4649
7/19に開催されたSECCON 2014 オンライン予選に参加した時に、自分が解いたWeb 100と300の問題のwrite upを書きました。
とある診断員のSECCONオンライン予選
とある診断員のSECCONオンライン予選
zaki4649
ssmjpでLTさせてもらった時の資料です。ちょっと編集してます。
はじめてのWi-Fiクラック
はじめてのWi-Fiクラック
zaki4649
More from zaki4649
(7)
BurpSuiteの大変な一日
BurpSuiteの大変な一日
Bapp Storeを調べてみたよ!
Bapp Storeを調べてみたよ!
ノリとその場の勢いでPocを作った話
ノリとその場の勢いでPocを作った話
Proxy War EPISODEⅡ
Proxy War EPISODEⅡ
Proxy War
Proxy War
とある診断員のSECCONオンライン予選
とある診断員のSECCONオンライン予選
はじめてのWi-Fiクラック
はじめてのWi-Fiクラック
Let's verify the vulnerability-脆弱性を検証してみよう!-
1.
Let‘s verify the vulnerability! -脆弱性を検証してみよう!- @tigerszk 2017/11/24 Is
Community勉強会
2.
自己紹介 Shun Suzaki(洲崎 俊) ユーザ企業のセキュリティチームに所属する セキュリティエンジニア Twitter: とある診断員@tigerszk •
ISOG-J WG1 • Burp Suite Japan User Group • OWASP JAPAN Promotion Team • IT勉強会「#ssmjp」運営メンバー I‘M A CERTAIN PENTESTER! 公開スライド:http://www.slideshare.net/zaki4649/ Blog:http://tigerszk.hatenablog.com/
3.
脆弱性の検証って? 公開された脆弱性情報について、 自分で試して詳細を確認してみること CVE 2017-xxxxx CVE 2016-yyyy
CVE 2017-zzzzz
4.
なぜ脆弱性を検証するのか?
5.
僕が検証する理由 • 単純に面白いし楽しい • たまにマジで感動する •
自分の目で確認することが重要 • 手を動かすことで色々勉強になる • 世の中の役に立つこともある • 自分の業務にも役立つこともある
6.
検証すると色々わかることがある 自分で試さないとわからないことが結構ある 正しい内容を正確に把握したい 攻撃は簡単に成功するの? どのぐらい危険なの? 被害を受けそうなものは? 対策はどうやるの?
7.
どうやって検証するのか?
8.
こんな流れでやってます アウト プット 脆弱性の 分析 攻撃の 実行 環境構築情報収集
9.
1.情報収集
10.
どんな情報を収集するの? 脆弱性に関する以下のような情報を収集 – 脆弱性の概要 – 攻撃の条件(リモート?ローカル?) –
攻撃の種類(RCE?権限昇格?) – 影響範囲(対象は何か?該当するバージョンなどは?) – 対策方法(現時点で根本対策はあるのか?暫定対策は?) – Exploit(攻撃コード)の有無 これ
11.
Exploitは誰が公開する? • 発見者が検証目的のためPoC (Proof-of- Concept)として公開される •
公開された修正内容や情報を解析され、 作成される • 実際に行われていた攻撃を分析した結果、 脆弱性の存在が判明するようなケースも 【参考】 セキュリティのアレ(35):脆弱性情報を読み解く際の必須用語、 exploit(エクスプロイト)とは - @IT : http://www.atmarkit.co.jp/ait/articles/1610/10/news008.html
12.
よくあるパターン セキュリティ技術者・研究者 など誰かが脆弱性を見つける 開発ベンダに報告 Exploit(攻撃コード) が公開される 開発ベンダが パッチなどをリリース 脆弱性の存在が公表される 大体ここらへんで 情報を収集したり 検証する
13.
検証は結構時間との勝負 • 危険な脆弱性であれば、Exploitが公開され てから実際の攻撃が始まるまでの間隔が 非常に短いケースなどは多い • 適切な対応を行うためにも、なるべく 早く正しい情報を把握することが必要 •
Exploitを分析することで、対応策の検討、 攻撃の検出、脆弱性の存在検出などの 材料を得ることができる
14.
どうやって情報収集するの? • まあまずとりあえずはググる • TwitterやBlogなど –
自分が知りたい情報などを良く配信してくれる方 などをフォローしておくとよいかも – やっぱり海外の方が情報配信が早い印象 • Githubとかを検索してみる – 修正がでている場合にはコードの中身を diffって確認してみたりする – CVEとかそれっぽいワード検索するといきなり ヒットしたりも • 知り合いと情報交換 – Slack や SNS経由などで情報を交換
15.
Exploitが投稿されるサイトなどもチェック • Exploits Database https://www.exploit-db.com/ •
cxsecurity https://cxsecurity.com/wlb/
16.
2.環境構築
17.
• 収集した情報をもとに、脆弱な環境を構築 – 該当するバージョンは? –
OSなどは限定されているのか? – 特別な設定や実装などの条件が必要なのか? • 併せて対策実施後に攻撃が成立しないかを 確認するための準備をしておくと良いかも • OSSとかであれば楽だが、勿論モノによっ ては簡単には用意できないものもある 脆弱な環境を用意
18.
試したいExploitを実行するための環境も 用意しておく必要がある • Pythonで書かれているものが多い印象 • オーバーフローなどメモリ関連の脆弱性では Cが多い •
最近はgoとかで書かれたExploitもたまに見る Exploitコードを動作させる環境も用意
19.
• VMWareやVirtualBoxなどをよく使う • スナップショットは必須 •
よく使うプラットフォーム環境はあらかじめ 複数環境用意しておくとよいかも • Windowsは業務でならMSDNを用意して もらう、個人だったらmodern.IEとか TechNet Evaluation Centerでしょうがない から頑張る 仮想環境を使うのが良い
20.
• 最近は検証用の環境をDockerイメージで 配布しているケースなども多い • ものによっては慣れるとサクッと環境を 構築できるし、切り戻しも楽 Docker使えると便利かもよ? 【参考】 Dockerを使って、Apache
Struts2の脆弱性S2-037のやられ環境を手 軽に作る - DARK MATTER : http://io.cyberdefense.jp/entry/2016/06/22/Docker%E3%82%92%E4%BD%BF%E3%81%A3%E3%81%A6 %E3%80%81Apache_Struts2%E3%81%AE%E8%84%86%E5%BC%B1%E6%80%A7S2- 037%E3%81%AE%E3%82%84%E3%82%89%E3%82%8C%E7%92%B0%E5%A2%83%E3%82%92%E6% 89%8B%E8%BB%BD%E3%81%AB%E4%BD%9C
21.
検証環境のちょっとした小ネタ あらかじめ複数バージョンのソフトウェアが 動作している環境などを準備していると検証が はかどるかも? • 僕が調べたApacheバージョン判定の小ネタ – とある診断員の備忘録
: http://tigerszk.hatenablog.com/entry/20 17/09/04/212108 • PHPの全バージョンの挙動をApacheモジュー ルとして試す | 徳丸浩の日記 : https://blog.tokumaru.org/2016/12/mod phpall.html
22.
3.攻撃コードの実行
23.
• 準備ができたら、あとは攻撃が成功するのか とにかく試してみる • 脆弱な環境で成功したら、今度は対策を実施 した環境で成功しないかも試してみる •
通常すんなり上手くいかないことが多い – 環境構築が上手く行ってない – Exploitが作成者の環境に依存していて 自分の環境では上手く動かない – そもそもExploitがまともに動かない 環境ができたらあとはやるだけ
24.
なんでだろ? 業界の人は攻撃が成功するとなぜか皆さん 「刺さる」 と表現している気がします。 アレは一体、なんでなんだろ?w 僕も良く使うけどw https://www.reddit.com/r/pics/comments/61muuz/this_pufferfish _booped_by_a_dolphin/より引用
25.
情報の交換はすごく重要 僕の場合は知り合いとSlackなどで 情報交換しながら検証しています Strutsのアレ Tomcatのアレ
26.
4.脆弱性の分析
27.
正直ここが一番難しい • 3の工程までは環境作るのがちょっとめんど いが、割と簡単にできる • 何故こんな脆弱性が存在するのかの原理分析 は地道に分析していかなければならないため 時間がかかる •
検証対象に関する知識、コードを読む技術、 リバースエンジニアリングの技術などが必要 • 有識者の方が原理に関して詳細な解説を公開 している場合などもあるので、その場合はか なり読み込む • 正直、自分もここら辺のノウハウとかを是非 より深く知りたい
28.
脆弱性分析のちょっとした小ネタ • デバッガを利用してWebアプリの脆弱性を分析 してみた -
とある診断員の備忘録 : http://tigerszk.hatenablog.com/entry/2017/11/17/175839 最近Webアプリでの脆弱性分析のコツを教 えていただいたのでまとめてみました。
29.
試してみた結果をもとに分析 • 調査、検証の結果から、今回の脆弱性に ついて自分なりの分析・評価をする – 収集した情報の通り脆弱性は発現したのか? –
攻撃が成立する条件どうなのか? – 攻撃による影響度はどうなのか? – 公開されている対策は有効だったのか? – 実際に試して、他に気づいたことはないか?
30.
5.アウトプット
31.
分析した結果を形にしてみる • 社内などに情報を共有する • Twitter、Blogなどで情報を公開する •
レポートを作成する • 脆弱性を検出するためのコードを 自分で書いてみる
32.
どこまでを公開するか結構悩む • オープンな場で、情報を公開する時 には、どこまで公開すべきなのかと か色々悩む時がある • 情報の収集・共有に関して最近読ん で参考になった –
セキュリティ対応組織(SOC/CSIRT)強化に向け た サイバーセキュリティ情報共有の「5W1H」 http://isog-j.org/output/2017/5W1H- Cyber_Threat_Information_Sharing_v1.0.pdf
33.
情報を公開すると意外と反響がある 過去脆弱性検証関連で、自分がBlogなどで公開し てみたら意外と反響があり、ちょっとは役に立っ たようでうれしかった! • とある診断員によるJoomla!の脆弱性検証まとめ https://togetter.com/li/1041878 • Apache
Struts2の脆弱性(CVE-2017-5638) を検証してみた http://tigerszk.hatenablog.com/entry/2017/03/08/063334
34.
そのひと手間がもしかしたら 世の中をセキュアにするために 役立つのかもしれない!
35.
Let’ Try!