Pentester Academyの無料版の問題の解答。 社内勉強会用に作成。 Burp Suite, Pythonを使って解きました。 問題を解くときの考え方の流れ等もまとめています。 ---- 以下、スライドより抜粋。 ペンテスト（侵入テスト）のMOOCサイトの問題をガンガン解いていきます。 http://www.pentesteracademy.com/ その1.pptx Challenge 1 ～ Challenge 7　 ： 認証突破 その2.pptx Challenge 8 ～ Challenge 11 ： セッションID突破 その3.pptx Challenge 12 ～ Challenge 15 ： トラフィック解析 その4.pptx Challenge 16 ～ Challenge 19 ： HTML injection その5.pptx Challenge 20 ～ Challenge 36 ： XSS その6.pptx以降　　Unvalidated Redirects、CSRF

1. 1 /31
長谷川

2. 2 /31
1. Webアプリのペネトレーションテストのスキルアップ
ペンテスト（侵入テスト）のMOOCサイトの問題をガンガン解いていきます。
http://www.pentesteracademy.com/
その1.pptx Challenge 1 ～ Challenge 7 ： 認証突破
その2.pptx Challenge 8 ～ Challenge 11 ： セッションID突破
その3.pptx Challenge 12 ～ Challenge 15 ： トラフィック解析
その4.pptx Challenge 16 ～ Challenge 19 ： HTML injection
その5.pptx Challenge 20 ～ Challenge 36 ： XSS
その6.pptx以降 Unvalidated Redirects、CSRF
つづく

3. 3 /31
 ツール、言語
◦ ブルートフォース特化系
 Hydra ★会社で使うと多分怒られる
◦ プロキシ系
 Burp Suite ★会社で使うと多分怒られる
◦ スクリプト言語系
 Python ★使い方次第
 問題 ＆ 解き方 ＆ 解答

4. 4 /314
Pentester Academyの無料の問題からいくつか出題
ツール使うか、プログラミングして解いてください。
ツール：Hydra、Metasploit、IronWASP、ZAPなどなど、、
Pythonとかでも解けます。

5. 5 /31
 プロキシ型のWAPツール。
◦ Burp Proxy
 ブラウザ-target アプリケーション間のMITM。Requestの修正等ができる。
◦ Burp Spider
 トラフィックの調査、脆弱性の発見等。
◦ Burp Web Vulnerability Scanner
 脆弱性のチェック。
◦ Burp Sequencer
 シーケンス番号のランダム性のチェック。
などなど
 便利なところ
◦ 勝手にチェックしてくれる。大体何でもできる。
 イマイチなところ
◦ フリー版は機能制限あり。
画面

6. 6 /31
 パスワードクラッカー。
◦ http、telnet、ftp、mysql、、、等に対応。
◦ http://www.thc.org/thc-hydra/
 基本的な使い方
# hydra –l ユーザー名 –p パスワード server protocol path
# hydra –L ユーザー名リスト.txt –P パスワードリスト.txt server protocol path
protocolの例： ftp ftps http[s]-{head|get} http[s]-{get|post}-form
 便利なところ
◦ 認証方式とかをある程度勝手に認識してくれる。高速。
 イマイチなところ
◦ 柔軟性に欠ける。

7. 7 /31
 Python 3を使いました。
 使ったライブラリ
◦ Requests ⇒ http通信用
◦ Hashlib ⇒ MD5の計算用
◦ base64 ⇒ Base64の計算用
◦ Itertools ⇒ パスワード文字列生成
（使用例）
def makePwList(str, n):
pwList = []
a = list(itertools.product(str, repeat = n))
for b in a:
pwList.append(''.join(b))
return pwList
def mymd5(str):
return hashlib.md5(str.encode()).hexdigest()

8. 8 /31
 情報収集：Reconnaissance
◦ 情報を収集する。（データフロー、フィンガープリント、ソース）
 Wireshark、Blind Elephant、httprint
 マッピング：Mapping
◦ ターゲットアプリケーションの検査。
 Burp Spider、SprAJAX、WebScarab
 発見：Discovery
◦ ターゲットアプリケーションの脆弱性の発見。
 エクスプロイト：Exploit
◦ 脆弱性を実証する。
SANS SEC542より

9. 9 /319
Challenge 8 ～ Challenge 11

10. 10 /31
Challenge 8
http://pentesteracademylab.appspot.com//lab/webapp/cookie/1
 ヒント
①簡単です。

11. 11 /31
 情報収集：Reconnaissance
◦ 何をすればよくわからないが、Guestと認識されているようなの
で、何でユーザーを識別しているか探す。

12. 12 /31
 マッピング：Mapping
 発見：Discovery
◦ Burp Suite、ブラウザのプロキシ設定。
◦ 1回通信してパケットを取得。
ユーザーID「TUE9PQ==」でGuestを識別している？
末尾の==なのでおそらくbase64文字

13. 13 /31
 マッピング：Mapping
 発見：Discovery
TUE9PQ==
↓base64デコード
MA==
↓base64デコード
0
1
↓base64エンコード
MQ==
↓base64エンコード
TVE9PQ==
じゃあ1で試してみよう
0 = Guest？

14. 14 /31
 マッピング：Mapping
 発見：Discovery
ブラウザ（IE） Burp Suite Webサイト
ヘッダ修正
Webプロキシモードで動作

15. 15 /31

16. 16 /31
Challenge 9
http://pentesteracademylab.appspot.com/lab/webapp/sid/1?sid=Bg8WF
0U=
 ヒント
①簡単です。 （結構難しかった）
②ユーザー名：administrator, vivek, jack

17. 17 /31
 情報収集：Reconnaissance
◦ 何をすればよくわからないが、Guestと認識されているようなの
で、何でユーザーを識別しているか探す。
◦ http://pentesteracademylab.appspot.com/lab/webapp/sid/1?sid=Bg
8WF0U=
◦ SID 「Bg8WF0U=」 これまたbase64っぽい
ただ、上記をbase64デコードしても
謎の文字にしかならない
「Bg8WF0U=」
↓base64デコード
「E」
#ここで2日悩んだ

18. 18 /31
 情報収集：Reconnaissance
URLのsidを削ったところ。
関数実行エラーの文字列が表示された。
キー「azsd123443」とXORしたものにbase64エンコードかけるのが期待値みたい。
#こういうことがあるので、エラーログをブラウザに出すのはセキュリティ上よくない。

19. 19 /31
 マッピング：Mapping
 発見：Discovery
Pythonで作成。
こんな感じです。
1文字ずつキーとXORとって、最後にbase64。
実行結果
vivek以外にjack、administratorも。

20. 20 /31

21. 21 /31
Challenge 10
http://pentesteracademylab.appspot.com/lab/webapp/sid/2
 ヒント
①簡単です。

22. 22 /31
 情報収集：Reconnaissance
◦ 何をすればよくわからないが、Guestと認識されているようなの
で、何でユーザーを識別しているか探す。

23. 23 /31
 情報収集：Reconnaissance
Burp Suteで確認。 ⇒Session IDというのが付与されている。
何回かのやり取りをキャプチャしてみると1000～1100のSession IDが使われている。

24. 24 /31
 マッピング：Mapping
 発見：Discovery
Burp suiteでブルートフォース攻撃。
Session ID=1089で当たりが返ってきた

25. 25 /31

26. 26 /31
Challenge 11
http://pentesteracademylab.appspot.com/lab/webapp/sid/3
 ヒント
①簡単です。
②数学的な知識は不要です。

27. 27 /31
 情報収集：Reconnaissance
◦ 何をすればよくわからないが、Guestと認識されているようなの
で、何でユーザーを識別しているか探す。

28. 28 /31
 情報収集：Reconnaissance
Burp Suteで確認。 ⇒Session IDというのが付与されている。
何回かのやり取りをキャプチャしてみると様々なSession IDが使われている。

29. 29 /31
 情報収集：Reconnaissance
s3だけパターンを見つけられた。
s3は先頭2桁だけが変化している。
以下、3回分のSession IDまとめ。
#実際は100回分くらいを3日くらい見続けた。
s1 s2
1回目 242743691184191397063280763411374103598 279711302001927534525615217214990216994
2回目 306552790323432124501728563420822905300 23395061794763681404043925725936374646
3回目 85762014545564581630106001907284405461 145296478719836887854774187636431404957
s3 s4
1回目 58931866611669874561943317207057605631 119301278746600829112682755710696170517
2回目 65931866611669874561943317207057605631 96561790454004337980794465987712861797
3回目 72931866611669874561943317207057605631 218121769334797971259365299634671484220
s5
1回目 102170964743407604923759045746462511091
2回目 159866628310839260821650083792937476178
3回目 94682286335788228352994231689453049835

30. 30 /31
 マッピング：Mapping
 発見：Discovery
Burp suiteでブルートフォース攻撃。
s3の先頭2桁「69」で当たりが返ってきた

31. 31 /31