2019/04/11 サポーターズColabでの登壇資料です。 脆弱性診断とはなんぞや? 幸田将司: セキュリティエンジニア: - 脆弱性診断を主な業務にしています。 - たまにセキュリティ啓蒙活動とかも。 経歴: - 業界入ってからからずっとセキュリティ。 - 現在はフリーランスとして活動中。 twitter: - @halkichisec ・脆弱性診断とは 何をするか: アプリケーションのセキュリティホールを探す ・診断のフロー 対象の機能を確認する スキャンツールを動かす スキャンツールで見つかった問題の精査 手動で問題を探す 見つかった問題のエビデンスを取得す ・実施する前にやるべきこと 診断用の環境を用意 本番サーバとは切り放そう dockerのimageを診断できたら最高 診断環境への通知をしておく クラウド環境にいきなり 　　攻撃パケットを投げるのはやめよう 環境が動くか確認 　 よくいる人「本番では動いているんですけどね(逆も然り)」 データを保全しておく。 本番のデータを破壊する可能性有 ・セキュリティの楽しみ方 やられアプリで脆弱性を手軽に試してみる OWASP Juice Shop https://www.owasp.org/index.php/OWASP_Juice_Shop_Project CTF(Capture the flag)に挑戦してみる 比較的優しめな常設CTF PicoCTF https://picoctf.com/ cpawCTF https://ctf.cpaw.site/

1. Web

2. 2019 m.kouda / Supporterzcolab at 2019.04.11
? : -
@
@

3. 2019 m.kouda / Supporterzcolab at 2019.04.11
C.1
4 2 .
C
3

5. 2019 m.kouda / Supporterzcolab at 2019.04.11
:
1 .
=

6. 2019 m.kouda / Supporterzcolab at 2019.04.11
• ? H
•
•
•
• : =

7. 2019 m.kouda / Supporterzcolab at 2019.04.11
-
-
()

8. ?

9. 2019 m.kouda / Supporterzcolab at 2019.04.11
Q P ie A: L
S T T 9A:
- g
2 11 0 (
IP
I P ) 4
6

10. 2019 m.kouda / Supporterzcolab at 2019.04.11
-
.
h"ps://www.jnsa.org/result/incident/
... 5 4,850

12. 2019 m.kouda / Supporterzcolab at 2019.04.11

13. 2019 m.kouda / Supporterzcolab at 2019.04.11
2 2
• .
c
( )
• .
da
g
•
c e
•
c i

14. 2019 m.kouda / Supporterzcolab at 2019.04.11

15. 2019 m.kouda / Supporterzcolab at 2019.04.11
01
02
03
04
05

16. 2019 m.kouda / Supporterzcolab at 2019.04.11
1.
• R ?
U -?
• D G C <
•
>

17. 2019 m.kouda / Supporterzcolab at 2019.04.11
A B 2
• )(-
.
2

18. 2019 m.kouda / Supporterzcolab at 2019.04.11
A B 2
• )(-
.
2
DEMO

19. 2019 m.kouda / Supporterzcolab at 2019.04.11
•
•
h"ps://www.owasp.org/index.php/OWASP_Zed_A"ack_Proxy_Project

20. 2019 m.kouda / Supporterzcolab at 2019.04.11
:
•
-
•
-

21. 2019 m.kouda / Supporterzcolab at 2019.04.11
•

22. 2019 m.kouda / Supporterzcolab at 2019.04.11
•
Web XSS
HTTP X-XSS-Protec,on

23. 2019 m.kouda / Supporterzcolab at 2019.04.11
•

24. 2019 m.kouda / Supporterzcolab at 2019.04.11
•

25. 2019 m.kouda / Supporterzcolab at 2019.04.11
.
•
3

26. 2019 m.kouda / Supporterzcolab at 2019.04.11
:

27. 2019 m.kouda / Supporterzcolab at 2019.04.11
:
JS XSS

28. 2019 m.kouda / Supporterzcolab at 2019.04.11
• " H Z
= > <A T:
• > =
P=

29. 2019 m.kouda / Supporterzcolab at 2019.04.11
4
• 4 .
• F L X R
• ( )(( ( ,
• Q S
C
• .

30. 2019 m.kouda / Supporterzcolab at 2019.04.11
•
•
•

31. 2019 m.kouda / Supporterzcolab at 2019.04.11
/ -
• B
" 0 1( - = DF
• X
" )) =
S /
•
/ /

32. 2019 m.kouda / Supporterzcolab at 2019.04.11
/ -
• B
" 0 1( - = DF
• X
" )) =
S /
•
/ /

33. 2019 m.kouda / Supporterzcolab at 2019.04.11
.

34. 2019 m.kouda / Supporterzcolab at 2019.04.11
) (
• :
•
•
•
X-Powered-By: PHP/7.x
JSESSIONID=anNlc3Npb24K
http://example.com/user/sign_in
auth=eyJhbGciOiJIUzI1NiIsInR5cCI6Ik
__VIEWSTATE=aXQncytkdW1teStfX1ZJRVd
http://example.com/wp-admin/

35. 2019 m.kouda / Supporterzcolab at 2019.04.11
.
.

36. 2019 m.kouda / Supporterzcolab at 2019.04.11
5 .
•
•

37. 2019 m.kouda / Supporterzcolab at 2019.04.11

38. 2019 m.kouda / Supporterzcolab at 2019.04.11
• A J :
OWASP Juice Shop
. . /
• ( ) :
CTF
- PicoCTF h#ps://picoc+.com/
- cpawCTF h#ps://c+.cpaw.site/

39. 2019 m.kouda / Supporterzcolab at 2019.04.11