OWASP Connect in Tokyo #2 で利用した資料です。

1. OWASP Cheatsheet
を参考にやられアプリ
作ってみた
@halkichisec
OWASP Connect in Tokyo#2
2019.01.25

2. OWASP Connect in Tokyo #2 2019.01.25
Who am I?
>幸田将司
セキュリティエンジニア:
- 脆弱性診断を主な業務にしています。
- たまにセキュリティ啓蒙活動とかも。
経歴:
- 業界入ってからからずっとセキュリティ部門
- 現在はフリーランスとして活動中。
twitter:
- @halkichisec

3. OWASP Connect in Tokyo #2 2019.01.25
今回お話する内容
1. やられ アプリ(サイト)とは
2. OWASP CheatSheetとは
3. 今回つくった環境

4. OWASP Connect in Tokyo #2 2019.01.25
前回のOWASP Connect資料より
https://owaspprteam.connpass.com/event/99292/
＠とある診断員さんの資料

5. OWASP Connect in Tokyo #2 2019.01.25
やられアプリとは

6. OWASP Connect in Tokyo #2 2019.01.25
やられアプリ(サイト)とは
意図的に脆弱性を作り込んであるアプリケーションのこと
• XSS
• CSRF
• SQLインジェクション
• OSコマンドインジェクション...etc
そんなもの何に使うの?

7. OWASP Connect in Tokyo #2 2019.01.25
やられアプリ(サイト)とは
利用するメリット
• 脆弱性の学習に
(名前は知っているけど...どういう脆弱性か知らないやつとか)
• スキャンツールを試せる
(OWASP ZAPとかぶんまわせる)
• 攻撃しても怒られない!

8. OWASP Connect in Tokyo #2 2019.01.25
OWASP で公開されているアプリ
OWASP BWA (The Broken Web Applications)
色々な脆弱性を盛り込んだ アプリ群
VMイメージ/ISOで配布
おすすめはbWAPP

9. OWASP Connect in Tokyo #2 2019.01.25
OWASP で公開されているアプリ集
• OWASP Vulnerable Web Applications Directory Project
https://www.owasp.org/index.php/
OWASP_Vulnerable_Web_Applications_Directory_Project
⇨PHP, Java率が高め

10. OWASP Connect in Tokyo #2 2019.01.25
OWASP CheatSheetとは

11. OWASP Connect in Tokyo #2 2019.01.25
OWASP CheatSheetとは
そもそもCheatSheetってなんぞや
• セキュリティにおけるチートシート。
• 実装の注意点、スタンダードを網羅している。
• 脆弱なコードのパターンや攻撃の文字列なども。
• セキュリティに興味があるエンジニアさんなら、検証の文字列をまず
は自分のアプリケーションに片っ端から試してみるのも良いかも。

12. OWASP Connect in Tokyo #2 2019.01.25
OWASP CheatSheetがフォローしている項目

13. OWASP Connect in Tokyo #2 2019.01.25
• Authentication
認証についてのスタンダード。
パスワード長は? メールアドレスの妥当性チェックは?
• Input Validation
入力値はいつチェックする?どこまで見る?
• Output Encoding
出力時のサニタイズとかとか...主にXSS。
• Cross Domain
外部ドメインからのリソース取得に関する注意事項。
• Logging
ログに出力するべき物は何か。
• Uploads
ファイルアップロードの注意事項。
OWASP CheatSheetがフォローしている項目
(機能ピックアップ)

14. OWASP Connect in Tokyo #2 2019.01.25
• もちろん脆弱性ベースでも資料が用意されている
https://www.owasp.org/index.php/OWASP_Cheat_Sheet_Series#OWASP_Cheat_Sheets
SQL Injection Prevention,
XSS (Cross Site Scripting) Prevention,
OS Command Injection
などなど
• 言語ベースもある(PHP, Java, Rubyなど)
コード例が載っているのでより具体的!

15. OWASP Connect in Tokyo #2 2019.01.25
今回つくったやられアプリで参考にしたもの
• Ruby on Rails Cheatsheet
RailsのGood/Badパターンのまとめ。
サンプルコードが多いので僕のようなコピペプログラマも安心。

16. OWASP Connect in Tokyo #2 2019.01.25
今回つくったやられアプリ
• Rails_Broken_App (Ruby on Rails)

17. OWASP Connect in Tokyo #2 2019.01.25
• Rails_Broken_App
https://github.com/halkichi0308/rails_broken_app
• コンセプトはOWASP BWAのRealistic, Intentionally Vulnerable Applications
ECサイトのつもり。
• フォローした脆弱性
• XSS
• SQL injection
• Open Redirect
• CSRF
• セットアップ
3つコマンド叩くだけ。
$ git clone https://github.com/halkichi0308/rails_broken_app
$ cd rails_broken_app
$ docker-compose up -d
鋭意開発中

18. OWASP Connect in Tokyo #2 2019.01.25
紹介したいところ
• Dockerを使っているので起動が早い。(2回目以降)
• ソースコードから脆弱性のある箇所が見える。
• 脆弱性を修正してすぐに確認できる!
脆弱性のあるコードと
対策されたコードを記載

19. OWASP Connect in Tokyo #2 2019.01.25
デモ

20. OWASP Connect in Tokyo #2 2019.01.25
OWASP CheatSheetを使うメリット
• セキュリティ対策の指標になる!
まず何をすれば良い?どこまで対策すれば良い?
• ユーザへの説明に利用できる!
この脆弱性ならこの資料を参照して〜の様に
• やられサイト作る時のアイデアがGETできる!

21. OWASP Connect in Tokyo #2 2019.01.25
なんか難しそう...。でも大丈夫。
日本語に翻訳されている資料もありまぁす
• OWASP CheatSheetSeries日本語版 (オワスプジャパン)
http://blog.owaspjapan.org/post/154618734454/2016owaspcheatsheetseriesin
dexjapaneseedition
• Ruby on Rails に関するチートシート(JPCERT)
https://jpcertcc.github.io/OWASPdocuments/CheatSheets/RubyOnRails.html

22. OWASP Connect in Tokyo #2 2019.01.25
皆さんもやられアプリ挑戦してみてはいかがでしょうか?