MBSD Cybersecurity Challenges 2017 本選プレゼン

1. Hack MBSDセキュアマン’s 2.0.1

2. 自己紹介
◈ 船橋の学校から来ました
◈ 普段はNWの勉強をしています
◈ 個人的に Ruby が好きです

3. ― 目次 ―
◈ 脆弱性ってなんだろう？
◈ APIサーバってなんだろう？
◈ MBSD BANK で見つけた脆弱性
◈ 実演
◈ まとめ

4. 脆弱性ってなんだろう？

5. 機密性,完全性,可用性
いずれかが脅かされること

6. ◈ SQLインジェクションやXSS
→ 機密性と完全性を脅かす
◈ DoS攻撃
→ 可用性を脅かす

7. 今回のサーバは19分で必ず落ちる

8. 今回のサーバは19分で必ず落ちる
可用性が侵されている

9. この3つの観点から脆弱性を探した

10. APIサーバってなんだろう?

11. APIサーバってなんだろう？
◈ HTTPリクエストに対してリソースを返す

12. APIサーバってなんだろう？
◈ HTTPリクエストに対してリソースを返す
◈ モバイルアプリのバックエンドとして使われる

13. APIサーバってなんだろう？
◈ HTTPリクエストに対してリソースを返す
◈ モバイルアプリのバックエンドとして使われる
◈ webサイトの脆弱性とほとんど変わらない

14. MBSD BANK
で見つけた脆弱性

15. MBSD BANKで見つかった脆弱性
◈ webアプリケーションの脆弱性

16. MBSD BANKで見つかった脆弱性
◈ webアプリケーションの脆弱性
◈ 設計上の脆弱性

17. MBSD BANKで見つかった脆弱性
◈ webアプリケーションの脆弱性
◈ 設計上の脆弱性
◈ インフラの脆弱性

18. webアプリの脆弱性

19. webアプリケーションの脆弱性
◈ SQLインジェクション
◈ 格納型XSS
◈ ファイルインクルード攻撃

20. 設計上の脆弱性

21. 設計上の脆弱性
◈ SESSIONID一覧が閲覧可能
◈ phpinfo(); が閲覧可能
◈ 初期パスワードが数字小文字8文字固定
◈ パスワードに試行回数制限が無い
◈ IP制限が機能していない

22. MBSD BANK の設計

23. インフラの脆弱性

24. インフラの脆弱性
◈ HSTSが有効化されていない
◈ サーバが19分で応答しなくなる
◈ shutdownユーザのパスワードがshutdown
◈ 自動ディレクトリ一覧表示機能が有効になっている

25. 実証

26. SQLインジェクションで
XSSを起こす！！

27. 僕達は root になりたかった

28. まと
め

29. まとめ
◈ APIサーバでもwebの脆弱性は存在する
◈ チェックをサボると経済的打撃と共に信頼を失う
◈ MBSD BANK がリリースされたら大変
◈ リリース前にセキュリティは入念なチェックが必要
(お金が掛かっても MBSDさん にお願いした方が良い)

30. Thank you for listening.