田中 勇也 wrote a new post, 脆弱性の種類 リモートファイルインクルード 1年 9か月前
リモートファイルインクルードについて説明していきます。
■概要
一般的なWebアプリケーションでは、動的なページ生成を行うために外部のファイルやコンポーネントをインクルード（組み込み）する場合があります。
この際、インクルードされるファイルのパスや場所を動的に指定する場合、セキュリティ上の問題が発生する可能性があります。
■想定される被害
リモートファイルインクルードによって、以下のような被害にあう可能性があ[…]
田中 勇也 wrote a new post, 脆弱性の種類 ログアウト機能の不備や未実装 1年 10か月前
ログアウト機能の不備や未実装について説明していきます。
■概要
Webアプリケーションではログインを行いセッションが維持されている間、サービスを利用できます。
通常ログアウトを行うとセッションが破棄され、再度ログインをしないとサービスは利用できませんが、ログアウト機能の実装に不備があったり、そもそもログアウト機能が未実装だった場合、ユーザにになりすましてサービスを悪用されてしまう可能性があります。
■想定される[…]
田中 勇也 wrote a new post, 脆弱性の種類 パスワードリセットの不備 1年 11か月前
パスワードリセットの不備について説明していきます。
■概要
Webアプリケーションではユーザの認証を行うためにパスワードを利用しますが、パスワードを忘れるユーザも多いため、パスワードをリセットする機能が備わっていることが一般的です。
ただその性質上、パスワードリセット機能に脆弱性があった場合に、影響が大きくなる場合が少なくありません。
セブン＆アイホールディングスの決済サービス「7pay」のようにパスワードリセット[…]
田中 勇也 wrote a new post, 脆弱性の種類 クリックジャッキング 2年前
クリックジャッキングについて説明していきます。
■概要
攻撃者がWebページ上に透明なリンクやボタンを配置し、それをクリックさせることで、被害者が意図しない操作を行わせる攻撃手法です。
具体的には、攻撃者がWebページ上に配置した透明なボタンなどをクリックすると、その下にある本来のボタンなどがクリックされるようになっており、被害
■想定される被害
クリックジャッキングによって、以下のような被害にあう可能性があ[…]
田中 勇也 wrote a new post, 脆弱性の種類 メールヘッダインジェクション 2年 1か月前
メールヘッダインジェクションについて説明していきます。
■概要
Webアプリケーションの中には、問い合わせフォームやアンケートフォームのように、メールを送信する機能を有するものがあります。
通常、メールの送信先は変更できませんが、実装に不備があると別のメールアドレスを指定できる可能性があります。
これを「メールヘッダインジェクション」と呼びます。
■想定される被害
メールヘッダインジェクションによって、以下[…]
田中 勇也 wrote a new post, 脆弱性の種類 HTTPヘッダーインジェクション 2年 2か月前
HTTPヘッダーインジェクションについて説明していきます。
■概要
Webアプリケーションの通信で利用されるHTTPでは、HTTPヘッダと呼ばれる「どのような情報がリクエストされ、どのようなコンテンツを返すか」を定義する役割があります。
Webアプリケーションでは、ユーザからの様々な入力値を処理しますが、入力値の処理に不備があったままHTTPヘッダに出力する場合、攻撃者によってHTTPレスポンスヘッダに任意のヘッダフ[…]
田中 勇也 wrote a new post, 脆弱性の種類 オープンリダイレクト 2年 3か月前
オープンリダイレクトについて説明していきます。
■概要
Webアプリケーションには、アプリケーション内の他ページや外部サイトに遷移するためのリダイレクト機能を備えてるものがあります。
リダイレクト機能に不備がある場合、攻撃者によってユーザを悪意あるサイトに誘導される可能性があります。
これを「オープンリダイレクト」と呼びます。
リダイレクト機能に以下の点があるとオープンリダイレクトが発生します。
・リダイレ[…]
田中 勇也 wrote a new post, 脆弱性の種類 セッションフィクセーション 2年 4か月前
セッションフィクセーションについて説明していきます。
■概要
前回、セッションIDの発行や管理に不備がある場合、攻撃者によってセッションIDが乗っ取られてしまう「セッションハイジャック」を説明しました。
セッションフィクセーションは、セッションハイジャックとは異なりセッションIDを乗っ取るのではなく、攻撃者が利用しているセッションIDを何らかの方法でユーザに強制させ、攻撃方法となります。
セッションIDを強制さ[…]
田中 勇也 wrote a new post, 脆弱性の種類 セッションハイジャック 2年 5か月前
セッションハイジャックについて説明していきます。
■概要
Webアプリケーションでは、ユーザを識別するためにWebサーバからセッションIDと呼ばれる識別情報が発行され、それによりブラウザとサーバ間のセッションを管理しています。
セッションIDの発行や管理に不備がある場合、攻撃者によってセッションIDが乗っ取られてしまい、そのユーザになりましてアクセスされる可能性があります。
これを「セッションハイジャック」と呼びま[…]
田中 勇也 wrote a new post, 脆弱性の種類 ディレクトリトラバーサル 2年 6か月前
ディレクトリトラバーサルについて説明していきます。
■概要
Webアプリケーションには外部からのパラメータにファイル名を直接指定しているものがありますが、その実装に不備がある場合、攻撃者に非公開ディレクトリにアクセスされる可能性があります。
ディレクトリを横切る(トラバース)ということで「ディレクトリトラバーサル」と呼びます。
※パラメータとは
URLの末尾部分「？」以降の文字列で、サーバに情報を送信する際に[…]
田中 勇也 wrote a new post, 脆弱性の種類 クロスサイトリクエストフォージェリ 2年 7か月前
クロスサイトスクリプティングと名前が似ているクロスサイトリクエストフォージェリについて説明していきます。
■概要
Webアプリケーションにはサービス提供時にログイン機能を設けているものがありますが、ログインしたユーザからのリクエストについて、利用者が意図したリクエストであるかどうかを判別せずにそのままリクエストを受け入れてしまうものがあります。
そのようなアプリケーションは攻撃者からの罠を経由した悪意あるリクエストを[…]
田中 勇也 wrote a new post, 脆弱性の種類 OSコマンドインジェクション 2年 8か月前
SQLインジェクション、クロスサイトスクリプティングほど有名ではありませんが、同等以上に危険性の高いOSコマンドインジェクションについて説明していきます。
■概要
Webアプリケーションはユーザからの様々な入力情報を処理し、Webページとして出力するものがあります。
OSコマンドインジェクションは、不正な入力を行うことによって、Webサーバ側で想定していない動作をさせる攻撃です。
ここでの不正な入力とは、プログラム[…]
田中 勇也 wrote a new post, 脆弱性の種類 クロスサイトスクリプティング 2年 9か月前
前回のSQLインジェクションに続き、Webアプリケーションの中で最も有名な脆弱性の一つであるクロスサイトスクリプティングについて説明していきます。
■概要
Webアプリケーションはユーザからの様々な入力情報を処理し、Webページとして出力するものがあります。
その際、Webページの出力処理に不備があるとスクリプトを実行してしまう恐れがあります。
攻撃者はこの不備を利用して、ユーザに悪意あるスクリプトを実行させようと[…]
田中 勇也 wrote a new post, 脆弱性の種類 SQLインジェクション 2年 10か月前
Webアプリケーションの中でも最も有名な脆弱性の一つであるSQLインジェクションについて説明していきます。
■概要
多くのWebアプリケーションはデータベースと連携し、ユーザからの入力情報を基にSQLを組み立てDBMS経由でデータベースへ送信します。
その際、適切な対策が施されていないと攻撃者からの悪意あるリクエストによって不正なSQLを送信し、本来意図しない操作をされてしまう可能性があります。
■想[…]
田中 勇也 wrote a new post, 脆弱性診断 脆弱性の種類 2年 11か月前
前回、脆弱性診断の診断実施後の対応について述べました。
今回は脆弱性の種類について説明していきます。
脆弱性は以下のようなものがあります。
・インジェクション系
SQLインジェクション
コマンドインジェクション
クロスサイトスクリプティング
・認証系
認証回避
ログアウト機能の不備や未実装
脆弱なパスワードポリシー
復元可能なパスワード保存
パスワードリセットの不備
・認可制御の不備・[…]
田中 勇也 wrote a new post, 脆弱性診断 診断実施後の対応 3年前
前回、脆弱性診断の診断実施について述べました。
今回は脆弱性診断の実施後の対応について説明していきます。
■報告書作成
前回の診断実施で得た診断結果、証跡を元に報告書を作成します。
概要で大まかな結果を記載し、診断結果詳細で証跡を張り付けて信憑性を確保します。
■報告会の実施
お客様と日程調整して、報告会を実施します。
事前に報告書は送付しているため、全文を読むのではなく概要から危険度の高い脆弱性を中心に[…]
田中 勇也 wrote a new post, 脆弱性診断 診断実施 3年 1か月前
前回、脆弱性診断の診断前の準備について述べました。
今回は脆弱性診断の診断実施について説明していきます。
以下のような流れで診断を実施していきます。
■対象サイト内の巡回
診断対象となる画面を巡回し、診断にあたって支障となりそうな箇所をあらかじめ洗い出しておきます。
必要に応じて顧客担当者へ連絡し、進捗に影響がないように問題点を解決してもらうようにします。
■自動診断、手動診断
自動診断ツールを用いて[…]
田中 勇也 wrote a new post, 脆弱性診断 診断前の準備 3年 2か月前
前回、脆弱性診断の流れについて述べました。
今回は脆弱性診断の診断前の準備について説明していきます。
■見積
診断対象を明確にするために、見積を実施します。
見積にあたって画面遷移図やサイトマップなどを顧客から送付してもらったり、実際にWebサイトができている場合にはブラウザによる遷移とパラメータ数を確認して算出したりします。
WebAPIの診断も依頼されることがあり、その際にはマニュアルを送付してもらいます。[…]
入会申込
ログイン