セキュリティキャンプ 全国大会 2019のLTで発表した資料

1. GoGoMakeDAST
俺の作っているものを聞いてくれ
GoGoMakeDAST
1

2. 自己紹介
名前 :
Twitter : a_zara_n
GitHub : a-zara-n
所属
サークル : IPFactory
勉強分野
Web (Dev | Sec)
趣味
DAST系のツール自作
GoGoMakeDAST
2

3. これまで
参加した
イベント
セキュリティキャンプ
‘18 ミニキャンプ in 兵庫 受講生
’18 全国大会 開発運用コース 修了生
’19全国大会 開発運用コース チューター
CODE BLEU ’18 学生スタッフ
SecHack365 ’19
開発駆動コース トレーニー
MBSD Cyber Security Challenges
‘17 4位 , ‘18 2位
GoGoMakeDAST
3

4. 4
GoGoMakeDAST
質問です

5. 5
GoGoMakeDAST
みなさん.*を自作したい
思ったことはございませんか?

6. 6
GoGoMakeDAST
そのなかで僕が作りたい
DevSecOpsに順応できる
セキュリティツール

7. 7
GoGoMakeDAST
きっかけ
昨年参加したSecHack365に参加した
サークルの先輩

8. 8
GoGoMakeDAST
※イメージです

9. 9
GoGoMakeDAST
作ってみたいものもあるし
応募してみます

10. 10
GoGoMakeDAST
LocalProxy
Matchlock
Web API
Command
Web UI
CLIモード
APIモード
操作用
インターフェース
Terminal
Wrap Library
Browser
Extension
Proxy
外部
永続化
ツール
間連携
機能群
スキャナー
クローラー
ファイル置換
レポート
Headless browser
ロギング
将来的に

11. 11
GoGoMakeDAST
作ってきたもの 作りたいもの
作りたい理由
簡単な設計図
採択

12. 12
GoGoMakeDAST
LocalProxy
Mini Matchlock
Web API
Web UI
APIの
5割程度反映
APIモード
操作用
インターフェース
Proxy
外部
永続化
機能群
スキャナー
クローラー
Headless browser
ロギング
4月後半から
作り始めて

13. 設計
サーバーサイド
 Golang
 DDDに基づいた
レイヤードアーキテクチャ
WebUI
 Nuxt.js
13
GoGoMakeDAST

14. 14
GoGoMakeDAST
静的な要素 ソースコード

15. 食材
(1人 開発分)
 Golang 1.11.4
 elazarl/goproxy 0.0.0-20190421051319
 gorilla/websocket 1.4.0
 jinzhu/gorm 1.9.8
 labstack/echo 3.3.10+incompatible
 sergi/go-diff 1.0.0
 labstack/gommon 0.2.9
 urfave/cli 1.20.0
 Nuxt.js 2.0.0
 @nuxtjs/axios 5.5.4
 @nuxtjs/vuetify 1.0.0
15
GoGoMakeDAST

16. 食材
(1人 開発分)
 Golang 1.11.4
 elazarl/goproxy 0.0.0-20190421051319
 gorilla/websocket 1.4.0
 jinzhu/gorm 1.9.8
 labstack/echo 3.3.10+incompatible
 sergi/go-diff 1.0.0
 labstack/gommon 0.2.9
 urfave/cli 1.20.0
 Nuxt.js 2.0.0
 @nuxtjs/axios 5.5.4
 @nuxtjs/vuetify 1.0.0
16
GoGoMakeDAST
WebUI
API
レスポンス検証
Proxy

17. 17
GoGoMakeDAST
Topページの整備
Proxyのロギング
ホワイトリスト

18. 18
GoGoMakeDAST

19. 19
GoGoMakeDAST
API操作
検出のアラート受け止め側のLog

20. 20
GoGoMakeDAST
今後は
LocalProxy
Matchlock
Web API
Command
Web UI
CLIモード
APIモード
操作用
インターフェース
Terminal
Wrap Library
Browser
Extension
Proxy
外部
永続化
ツール
間連携
機能群
スキャナー
クローラー
ファイル置換
レポート
Headless browser
ロギング
スキャナー
レポート
Wrap Library
Browser
Extension
Command

21. 参考にした
書籍/サイト
ツール
 Golang入門
 スターティングGo言語
 Effective go
 Go言語によるWebアプリケーション開発
 Go言語による並行処理
 スキャンツール作成
 6,720分でWebアプリケーションスキャナを作る方法
https://qiita.com/bbr_bbq/items/808b80915b778ea21593
 BurpSuite / OWASP ZAP などの既存のツール
21
GoGoMakeDAST

22. 22
GoGoMakeDAST