全国個人事業主支援協会 | 田中勇也 | Activity

田中勇也 wrote a new post, 脆弱性の種類　NoSQLインジェクション

Fri, 31 Oct 2025 14:51:45 +0900

NoSQLインジェクションについて説明していきます。

■概要
NoSQLインジェクションは、アプリケーションがユーザー入力を信頼してNoSQLデータベース（例：MongoDB、CouchDB、Elasticsearch、Redisなど）へのクエリにそのまま組み込むことで発生する脆弱性です。
SQLインジェクションと同じ本質（外部入力がクエリ構造を破壊して予期しない処理を起こす）ですが、ペイロードや脆弱性点はNoSQL[…]

田中勇也 wrote a new post, 脆弱性の種類　Silverlight クロスドメインポリシー

Tue, 30 Sep 2025 14:54:56 +0900

Silverlight クロスドメインポリシーについて説明していきます。

■概要
Microsoft Silverlight は、かつてFlashの競合として Web ブラウザでリッチコンテンツを動かすためのプラグイン技術でした。
Silverlight クロスドメインポリシーは、通常は配置されたドメイン内のリソー[…]

田中勇也 wrote a new post, 脆弱性の種類　機微情報の表示

Sun, 31 Aug 2025 14:31:37 +0900

機微情報の表示について説明していきます。

■概要
機微情報の表示は、本来利用者や第三者に公開してはいけない情報（個人情報や内部情報など）が、アプリケーションやシステムの画面・API・ログなどを通じて意図せず表示されてしまう脆弱性を指します。

■想定される被害
機微情報の表示によって、以下のような被害にあう可能性があります。
どのような被害を受ける可能性があるかあらかじめ把握しておき、攻撃を受けないように対策を[…]

田中勇也 wrote a new post, 脆弱性の種類　認証回避

Thu, 31 Jul 2025 14:26:30 +0900

認証回避について説明していきます。

■概要
認証回避は、本来ログインが必要な機能やページに対して、ログインせずに不正にアクセスする攻撃です。
Webアプリケーションなどで認証機構の実装に不備がある場合、攻撃者がそれを悪用して本人確認を回避し、他人のアカウントや管理機能にアクセスできてしまいます。

■想定される被害
認証回避によって、以下のような被害にあう可能性があります。
どのような被害を受ける可能性がある[…]

田中勇也 wrote a new post, 脆弱性の種類　強制ブラウズ

Mon, 30 Jun 2025 14:18:20 +0900

強制ブラウズについて説明していきます。

■概要
強制ブラウズは、本来ユーザーがアクセスするべきではないページやファイルに対して、URLを直接指定することで不正にアクセスする攻撃手法です。
ユーザーがクリックするリンクやメニューには表示されていないが、サーバー側には存在している「隠れたリソース（管理ページ、設定ファイル、ログ、バックアップなど）」にアクセスできてしまう場合に発生します。

■想定される被害
強制ブ[…]

田中勇也 wrote a new post, 脆弱性の種類　パラメーター操作による不正な機能の利用

Sat, 31 May 2025 14:41:49 +0900

パラメーター操作による不正な機能の利用について説明していきます。

■概要
「パラメーター操作による不正な機能の利用」は、WebアプリケーションにおいてユーザーがURLやフォームのパラメーターを意図的に改ざんすることで、本来許されていない機能やデータにアクセスしてしまう脆弱性です。

■想定される被害
パラメーター操作による不正な機能の利用によって、以下のような被害にあう可能性があります。
どのような被害を受ける[…]

田中勇也 wrote a new post, 脆弱性の種類　不要な情報の存在

Wed, 30 Apr 2025 14:08:36 +0900

不要な情報の存在について説明していきます。

■概要
不要な情報の存在は、システムやアプリケーションが本来ユーザーに提供する必要のない内部情報を、意図せず表示・公開してしまっている状態を指します。
こうした情報が公開されると、攻撃者にとって貴重な手がかり（アタックサーフェス）となり、より深刻な攻撃へとつながるリスクがあります。

■想定される被害
不要な情報の存在によって、以下のような被害にあう可能性があります。[…]

田中勇也 wrote a new post, 脆弱性の種類　ディレクトリリスティング

Mon, 31 Mar 2025 14:41:49 +0900

ディレクトリリスティングについて説明していきます。

■概要
ディレクトリリスティングは、Webサーバーで特定のディレクトリにインデックスファイル（例: index.html, index.php など）が存在しない場合に、そのディレクトリ内のファイル一覧が表示される設定を指します。公開を意図しないファイルにアクセスできるため、データ漏洩や第三者によって情報に読み取られ、悪用される危険性が高まります。

■想定される[…]

田中勇也 wrote a new post, 脆弱性の種類　安全ではないデシリアライゼーション

Fri, 28 Feb 2025 14:00:21 +0900

安全ではないデシリアライゼーションについて説明していきます。

■概要
安全ではないデシリアライゼーションは、信頼できないデータをデシリアライズ（オブジェクトに復元）することで、任意のコード実行やデータ改ざんが発生する脆弱性です。
特に、オブジェクト指向言語（Java, Python, PHP, .NET など）では、デシリアライズ処理を誤ると被害につながる可能性があります。
※デシリアライゼーション：保存されたデ[…]

田中勇也 wrote a new post, 脆弱性の種類　ドライブバイダウンロード

Fri, 31 Jan 2025 14:16:16 +0900

ドライブバイダウンロードについて説明していきます。

■概要
ドライブバイダウンロードは、ユーザーが意図せずにマルウェアをダウンロード・実行してしまう攻撃手法です。悪意のあるウェブサイトや改ざんされた正規サイトにアクセスするだけで、マルウェアが自動的にダウンロードされることがあります。多くの場合、ユーザーが気づかないうちに感染が進行します。
ドライブバイダウンロードには
1. ユーザーの操作なしに自動的に感染するタイ[…]

田中勇也 wrote a new post, 脆弱性の種類　パスワードフィールドのマスク不備

Tue, 31 Dec 2024 14:50:23 +0900

パスワードフィールドのマスク不備について説明していきます。

■概要
パスワードフィールドのマスク不備は、入力されたパスワードが画面上で平文のまま表示される、または不適切にマスク（例：●や*）されることで、第三者がその内容を簡単に確認できてしまう脆弱性です。この問題は、セキュリティの観点から重大なリスクを引き起こす可能性があります。

■想定される被害
パスワードフィールドのマスク不備によって、以下のような被害にあ[…]

田中勇也 wrote a new post, 脆弱性の種類　復元可能なパスワード保存

Sat, 30 Nov 2024 14:13:49 +0900

復元可能なパスワード保存について説明していきます。

■概要
復元可能なパスワード保存は、セキュリティ上の重大な問題を引き起こす方法で、パスワードが暗号化されて保存されているが、何らかの手段で元のパスワードに復元できる状態のことを指します。この方法は一般的に不適切であり、パスワード保存におけるベストプラクティスではありません。
復元可能なパスワード保存では、以下のいずれかの方法でデータを保存しています。
・暗号化（E[…]

田中勇也 wrote a new post, 脆弱性の種類　エラーメッセージによる情報露出

Thu, 31 Oct 2024 14:49:30 +0900

エラーメッセージによる情報露出について説明していきます。

■概要
エラーメッセージによる情報露出は、システムやアプリケーションがユーザーに対してエラーメッセージを表示する際に、攻撃者にとって有用な情報が露出してしまう脆弱性です。エラーメッセージが適切に管理されていないと、攻撃者がその情報を利用してシステムの脆弱性を特定し、不正なアクセスや攻撃を試みる可能性があります。

■想定される被害
エラーメッセージによる情[…]

田中勇也 wrote a new post, 脆弱性の種類　脆弱なパスワードポリシー

Sat, 31 Aug 2024 15:02:16 +0900

脆弱なパスワードポリシーについて説明していきます。

■概要
脆弱なパスワードポリシーは、ユーザーのアカウントが攻撃者によって簡単に侵害されるリスクを増大させる重要なセキュリティの弱点です。
パスワードポリシーが脆弱であるということは、パスワードの生成、保管、使用に関するガイドラインが不十分であることを意味します。
適切なパスワードポリシーが設定されていない場合、ユーザーは弱いパスワードを設定する可能性が高くなり、こ[…]

田中勇也 wrote a new post, 脆弱性の種類　機微情報の平文保存

Wed, 31 Jul 2024 14:02:10 +0900

機微情報の平文保存について説明していきます。

■概要
機微情報の平文保存は、データ保護とセキュリティに関する大きなリスクです。この問題は、パスワード、クレジットカード番号、個人識別情報（PII）、健康情報など、機密性の高いデータが暗号化されずにデータベースやファイルシステムに保存される状況を指します。機微情報が平文で保存されると、データ漏洩や不正アクセスの際に第三者によって簡単に読み取られ、悪用される危険性が高まります[…]

田中勇也 wrote a new post, 脆弱性の種類　不正な権限昇格

Sun, 30 Jun 2024 14:20:34 +0900

不正な権限昇格について説明していきます。

■概要
不正な権限昇格（Privilege Escalation）は、攻撃者がシステム上で自分の権限を不正に高める行為です。この攻撃により、本来アクセス権がないはずの[…]

田中勇也 wrote a new post, 脆弱性の種類　推測可能なセッションID

Fri, 31 May 2024 14:14:43 +0900

推測可能なセッションIDについて説明していきます。

■概要
推測可能なセッションIDは、セッション管理の重要なセキュリティ問題の一つです。この脆弱性は、セッションIDが予測可能なパターンや規則に基づいて生成されている場合に発生し、攻撃者が他のユーザーのセッションIDを推測して利用することが可能になります。

■想定される被害
推測可能なセッションIDによって、以下のような被害にあう可能性があります。
どのような[…]

田中勇也 wrote a new post, 脆弱性の種類　意図しないファイル公開

Tue, 30 Apr 2024 14:20:29 +0900

意図しないファイル公開について説明していきます。

■概要
意図しないファイル公開は、Webアプリケーションやサーバーで発生する一般的なセキュリティ上の問題で、アプリケーションやサーバーが意図しない形でファイルを公開してしまい、攻撃者がアクセス可能な状態になります。これにより、機密情報が漏洩したり、不正な操作が行われたりする可能性があります。

■想定される被害
意図しないファイル公開によって、以下のような被害にあ[…]

田中勇也 wrote a new post, 脆弱性の種類　バッファオーバーフロー

Sun, 31 Mar 2024 14:00:57 +0900

バッファオーバーフローについて説明していきます。

■概要
バッファオーバーフローは、プログラムが入力を処理する際に、許容されるバッファサイズを超えてデータを書き込むことによって発生します。これにより、メモリの領域外にデータを書き込んでしまい、プログラムの挙動を不正に操作することが可能になります。

■想定される被害
バッファオーバーフローによって、以下のような被害にあう可能性があります。
どのような被害を受ける[…]

田中勇也 wrote a new post, パスワードリセットの不備

Thu, 29 Feb 2024 13:45:13 +0900

パスワードリセットの不備について説明していきます。

■概要
パスワードリセットの不備は、ユーザーがパスワードを忘れた場合やアカウントへの不正アクセスを検知した場合に利用され、適切に実装されていないと攻撃者によるアカウントの乗っ取りや不正なパスワードリセットが行われる可能性があります。

■想定される被害
パスワードリセットの不備によって、以下のような被害にあう可能性があります。
どのような被害を受ける可能性があ[…]

田中勇也 wrote a new post, 脆弱性の種類　セッション管理の不備

Wed, 31 Jan 2024 14:53:09 +0900

セッション管理の不備について説明していきます。

■概要
セッション管理の不備は、Webアプリケーションやシステムがユーザーセッションを管理する際に発生するセキュリティ上の脆弱性です。不適切なセッション管理は、様々な攻撃ベクトルに対して脆弱性を作り出し、ユーザーデータの漏洩、権限の昇格、なりすまし、セッションハイジャックなどのセキュリティ問題を引き起こす可能性があります。

■想定される被害
セッション管理の不備に[…]

田中勇也 wrote a new post, 脆弱性の種類　CookieのSecure属性不備

Sun, 31 Dec 2023 14:38:21 +0900

CookieのSecure属性不備について説明していきます。

■概要
Secure属性は、Cookieに設定できる1つの属性であり、この属性が設定されている場合、Cookieは安全な暗号化された通信（HTTPS）でのみ送信されるようになります。Secure属性が未設定の場合、CookieはHTTPとHTTPSの双方で送信され、セキュリティの問題が発生する可能性があります。

■想定される被害
CookieのSec[…]

田中勇也 wrote a new post, 脆弱性の種類　CookieのHttpOnly属性未設定

Thu, 30 Nov 2023 14:35:15 +0900

CookieのHttpOnly属性未設定について説明していきます。

■概要
HttpOnly属性は、Cookieに設定できる1つの属性であり、この属性が設定されている場合、JavaScriptからCookieにアクセスできなくなります。
これにより、悪意のあるスクリプトからのCookieの盗み取りを防ぎ、クロスサイトスクリプティング（XSS）攻撃の影響を軽減します。

■想定される被害
CookieのHttpO[…]

田中勇也 wrote a new post, 脆弱性の種類　認可制御の不備

Tue, 31 Oct 2023 10:42:35 +0900

認可制御の不備について説明していきます。

■概要
認可制御の不備は、、セキュリティ上の脆弱性で、不正アクセスや権限の異常な拡張など、アプリケーションやシステムの認可プロセスに不備がある場合に発生します。認可制御は、認証（Authentication）と並ぶ重要なセキュリティ要素で、ユーザーやシステムが特定の機能やリソースにアクセスする権限を制御します。

■想定される被害

認可制御の不備によって、以下のような[…]

田中勇也 wrote a new post, 脆弱性の種類　XML External Entity

Sat, 30 Sep 2023 14:32:23 +0900

XML External Entityについて説明していきます。

■概要
XML External Entity（XML 外部エンティティ参照）は、アプリケーションがXML文書の解析する際[…]

田中勇也 wrote a new post, 脆弱性の種類　XMLインジェクション

Thu, 31 Aug 2023 14:58:41 +0900

XMLインジェクションについて説明していきます。

■概要
Webアプリケーションで、不正なXMLデータがアプリケーションに挿入されることによって、攻撃者が機密情報を取得したり、アプリケーションを破壊したりすることができる可能性があります。
XMLインジェクションは、アプリケーションがユーザーからの入力を信頼せずにXMLデータとして解釈したり処理したりする場合に発生します。
攻撃者は、不正なXML要素や属性を挿入して[…]

田中勇也 wrote a new post, 脆弱性の種類　XPathインジェクション

Mon, 31 Jul 2023 05:56:37 +0900

XPathインジェクションについて説明していきます。

■概要
Webアプリケーションで、XML文書を解析する際に発生するセキュリティ上の脆弱性で、XPathインジェクションは、ユーザーの入力を適切に検証・処理せずにXPathクエリに含めることにより、攻撃者が意図しないXPathクエリを実行させることができる脆弱性です。
XPathはXML文書内の要素を指定するためのクエリ言語であり、ウェブアプリケーションでXMLデー[…]

田中勇也 wrote a new post, 脆弱性の種類　ローカルファイルインクルード

Fri, 30 Jun 2023 14:38:19 +0900

ローカルファイルインクルードについて説明していきます。

■概要
一般的なWebアプリケーションでは、ローカルのファイルシステム上のファイルをインクルード（組み込み）する場合があります。
この際、攻撃者が制御可能なパラメータ（通常はURLのクエリパラメータやフォームの入力値）を利用して任意のファイルを読み込むことで、セキュリティ上の問題が発生する可能性があります。

■想定される被害
ローカルファイルインクルード[…]

田中勇也 wrote a new post, 脆弱性の種類　リモートファイルインクルード

Wed, 31 May 2023 12:53:08 +0900

リモートファイルインクルードについて説明していきます。

■概要
一般的なWebアプリケーションでは、動的なページ生成を行うために外部のファイルやコンポーネントをインクルード（組み込み）する場合があります。
この際、インクルードされるファイルのパスや場所を動的に指定する場合、セキュリティ上の問題が発生する可能性があります。

■想定される被害
リモートファイルインクルードによって、以下のような被害にあう可能性があ[…]

田中勇也 wrote a new post, 脆弱性の種類　ログアウト機能の不備や未実装

Sun, 30 Apr 2023 02:45:53 +0900

ログアウト機能の不備や未実装について説明していきます。

■概要
Webアプリケーションではログインを行いセッションが維持されている間、サービスを利用できます。
通常ログアウトを行うとセッションが破棄され、再度ログインをしないとサービスは利用できませんが、ログアウト機能の実装に不備があったり、そもそもログアウト機能が未実装だった場合、ユーザにになりすましてサービスを悪用されてしまう可能性があります。

■想定される[…]

田中勇也 wrote a new post, 脆弱性の種類　パスワードリセットの不備

Fri, 31 Mar 2023 14:08:49 +0900

パスワードリセットの不備について説明していきます。

■概要
Webアプリケーションではユーザの認証を行うためにパスワードを利用しますが、パスワードを忘れるユーザも多いため、パスワードをリセットする機能が備わっていることが一般的です。
ただその性質上、パスワードリセット機能に脆弱性があった場合に、影響が大きくなる場合が少なくありません。
セブン＆アイホールディングスの決済サービス「7pay」のようにパスワードリセット[…]

田中勇也 wrote a new post, 脆弱性の種類　クリックジャッキング

Tue, 28 Feb 2023 14:32:12 +0900

クリックジャッキングについて説明していきます。

■概要
攻撃者がWebページ上に透明なリンクやボタンを配置し、それをクリックさせることで、被害者が意図しない操作を行わせる攻撃手法です。
具体的には、攻撃者がWebページ上に配置した透明なボタンなどをクリックすると、その下にある本来のボタンなどがクリックされるようになっており、被害

■想定される被害
クリックジャッキングによって、以下のような被害にあう可能性があ[…]

田中勇也 wrote a new post, 脆弱性の種類　メールヘッダインジェクション

Tue, 31 Jan 2023 13:30:42 +0900

メールヘッダインジェクションについて説明していきます。

■概要
Webアプリケーションの中には、問い合わせフォームやアンケートフォームのように、メールを送信する機能を有するものがあります。
通常、メールの送信先は変更できませんが、実装に不備があると別のメールアドレスを指定できる可能性があります。
これを「メールヘッダインジェクション」と呼びます。

■想定される被害
メールヘッダインジェクションによって、以下[…]

田中勇也 wrote a new post, 脆弱性の種類　HTTPヘッダーインジェクション

Fri, 30 Dec 2022 13:28:20 +0900

HTTPヘッダーインジェクションについて説明していきます。

■概要
Webアプリケーションの通信で利用されるHTTPでは、HTTPヘッダと呼ばれる「どのような情報がリクエストされ、どのようなコンテンツを返すか」を定義する役割があります。
Webアプリケーションでは、ユーザからの様々な入力値を処理しますが、入力値の処理に不備があったままHTTPヘッダに出力する場合、攻撃者によってHTTPレスポンスヘッダに任意のヘッダフ[…]

田中勇也 wrote a new post, 脆弱性の種類　オープンリダイレクト

Wed, 30 Nov 2022 00:38:32 +0900

オープンリダイレクトについて説明していきます。

■概要
Webアプリケーションには、アプリケーション内の他ページや外部サイトに遷移するためのリダイレクト機能を備えてるものがあります。
リダイレクト機能に不備がある場合、攻撃者によってユーザを悪意あるサイトに誘導される可能性があります。
これを「オープンリダイレクト」と呼びます。

リダイレクト機能に以下の点があるとオープンリダイレクトが発生します。
・リダイレ[…]

田中勇也 wrote a new post, 脆弱性の種類　セッションフィクセーション

Mon, 31 Oct 2022 02:57:23 +0900

セッションフィクセーションについて説明していきます。

■概要
前回、セッションIDの発行や管理に不備がある場合、攻撃者によってセッションIDが乗っ取られてしまう「セッションハイジャック」を説明しました。
セッションフィクセーションは、セッションハイジャックとは異なりセッションIDを乗っ取るのではなく、攻撃者が利用しているセッションIDを何らかの方法でユーザに強制させ、攻撃方法となります。

セッションIDを強制さ[…]

田中勇也 wrote a new post, 脆弱性の種類　セッションハイジャック

Fri, 30 Sep 2022 02:34:23 +0900

セッションハイジャックについて説明していきます。

■概要
Webアプリケーションでは、ユーザを識別するためにWebサーバからセッションIDと呼ばれる識別情報が発行され、それによりブラウザとサーバ間のセッションを管理しています。
セッションIDの発行や管理に不備がある場合、攻撃者によってセッションIDが乗っ取られてしまい、そのユーザになりましてアクセスされる可能性があります。
これを「セッションハイジャック」と呼びま[…]

田中勇也 wrote a new post, 脆弱性の種類　ディレクトリトラバーサル

Wed, 31 Aug 2022 14:44:28 +0900

ディレクトリトラバーサルについて説明していきます。

■概要
Webアプリケーションには外部からのパラメータにファイル名を直接指定しているものがありますが、その実装に不備がある場合、攻撃者に非公開ディレクトリにアクセスされる可能性があります。
ディレクトリを横切る(トラバース)ということで「ディレクトリトラバーサル」と呼びます。

※パラメータとは
URLの末尾部分「？」以降の文字列で、サーバに情報を送信する際に[…]

田中勇也 wrote a new post, 脆弱性の種類　クロスサイトリクエストフォージェリ

Sun, 31 Jul 2022 14:50:21 +0900

クロスサイトスクリプティングと名前が似ているクロスサイトリクエストフォージェリについて説明していきます。

■概要
Webアプリケーションにはサービス提供時にログイン機能を設けているものがありますが、ログインしたユーザからのリクエストについて、利用者が意図したリクエストであるかどうかを判別せずにそのままリクエストを受け入れてしまうものがあります。
そのようなアプリケーションは攻撃者からの罠を経由した悪意あるリクエストを[…]

田中勇也 wrote a new post, 脆弱性の種類　OSコマンドインジェクション

Sat, 02 Jul 2022 00:58:17 +0900

SQLインジェクション、クロスサイトスクリプティングほど有名ではありませんが、同等以上に危険性の高いOSコマンドインジェクションについて説明していきます。

■概要
Webアプリケーションはユーザからの様々な入力情報を処理し、Webページとして出力するものがあります。
OSコマンドインジェクションは、不正な入力を行うことによって、Webサーバ側で想定していない動作をさせる攻撃です。
ここでの不正な入力とは、プログラム[…]

田中勇也 wrote a new post, 脆弱性の種類　クロスサイトスクリプティング

Tue, 31 May 2022 08:57:38 +0900

前回のSQLインジェクションに続き、Webアプリケーションの中で最も有名な脆弱性の一つであるクロスサイトスクリプティングについて説明していきます。

■概要
Webアプリケーションはユーザからの様々な入力情報を処理し、Webページとして出力するものがあります。
その際、Webページの出力処理に不備があるとスクリプトを実行してしまう恐れがあります。
攻撃者はこの不備を利用して、ユーザに悪意あるスクリプトを実行させようと[…]

田中勇也 wrote a new post, 脆弱性の種類　SQLインジェクション

Sat, 30 Apr 2022 14:51:54 +0900

Webアプリケーションの中でも最も有名な脆弱性の一つであるSQLインジェクションについて説明していきます。

■概要
多くのWebアプリケーションはデータベースと連携し、ユーザからの入力情報を基にSQLを組み立てDBMS経由でデータベースへ送信します。
その際、適切な対策が施されていないと攻撃者からの悪意あるリクエストによって不正なSQLを送信し、本来意図しない操作をされてしまう可能性があります。

■想[…]

田中勇也 wrote a new post, 脆弱性診断　脆弱性の種類

Thu, 31 Mar 2022 08:52:03 +0900

前回、脆弱性診断の診断実施後の対応について述べました。
今回は脆弱性の種類について説明していきます。

脆弱性は以下のようなものがあります。

・インジェクション系
SQLインジェクション
コマンドインジェクション
クロスサイトスクリプティング

・認証系
認証回避
ログアウト機能の不備や未実装
脆弱なパスワードポリシー
復元可能なパスワード保存
パスワードリセットの不備

・認可制御の不備・[…]

田中勇也 wrote a new post, 脆弱性診断　診断実施後の対応

Tue, 01 Mar 2022 00:27:47 +0900

前回、脆弱性診断の診断実施について述べました。
今回は脆弱性診断の実施後の対応について説明していきます。

■報告書作成
前回の診断実施で得た診断結果、証跡を元に報告書を作成します。
概要で大まかな結果を記載し、診断結果詳細で証跡を張り付けて信憑性を確保します。

■報告会の実施
お客様と日程調整して、報告会を実施します。
事前に報告書は送付しているため、全文を読むのではなく概要から危険度の高い脆弱性を中心に[…]

田中勇也 wrote a new post, 脆弱性診断　診断実施

Mon, 31 Jan 2022 15:24:18 +0900

前回、脆弱性診断の診断前の準備について述べました。
今回は脆弱性診断の診断実施について説明していきます。

以下のような流れで診断を実施していきます。

■対象サイト内の巡回
診断対象となる画面を巡回し、診断にあたって支障となりそうな箇所をあらかじめ洗い出しておきます。
必要に応じて顧客担当者へ連絡し、進捗に影響がないように問題点を解決してもらうようにします。

■自動診断、手動診断
自動診断ツールを用いて[…]

田中勇也 wrote a new post, 脆弱性診断　診断前の準備

Fri, 31 Dec 2021 07:47:21 +0900

前回、脆弱性診断の流れについて述べました。
今回は脆弱性診断の診断前の準備について説明していきます。

■見積
診断対象を明確にするために、見積を実施します。
見積にあたって画面遷移図やサイトマップなどを顧客から送付してもらったり、実際にWebサイトができている場合にはブラウザによる遷移とパラメータ数を確認して算出したりします。
WebAPIの診断も依頼されることがあり、その際にはマニュアルを送付してもらいます。[…]

田中勇也 wrote a new post, 脆弱性診断の流れ

Thu, 02 Dec 2021 00:00:56 +0900

前回、脆弱性診断というものについて述べました。

今回は脆弱性診断の実施に向けての流れについて説明していきます。

脆弱性診断はおおまかに以下のような流れとなります。

実施前の準備
↓
診断実施
↓
診断後の対応

それぞれの段階ではさらに以下のような内容の作業（診断者によっては多少異なる）が発生してきます。

・診断前の準備
見積
ヒアリング
診断対象の確認

・診断実施
対象サイト[…]

田中勇也 wrote a new post, 脆弱性診断とは

Sat, 30 Oct 2021 02:42:02 +0900

システムエンジニアとして、多くの方がシステムの開発に携わっているかと思います。
その過程でプログラムが意図したとおりに動作するか確認するテスト工程があり、そこでバグ（プログラムの誤り）を取り除く必要があります。
バグの中には情報漏えいを引き起こしたり、データ改ざん、上位権限で操作を行うことが可能となるバグも存在し、このような悪用可能なバグを「脆弱性」と呼びます。
この脆弱性を発見するためのテスト手法が脆弱性診断となります[…]

田中勇也 wrote a new post, フリーランスの仕事の取り方

Wed, 29 Sep 2021 10:03:23 +0900

初めまして。
システムエンジニアとして、ネットワークやセキュリティ系の業務を主に担当してきました。
今回は、フリーランスのシステムエンジニアとしての仕事の取り方について3パターン説明していきます。

• クラウドソーシングの利用
一番お手軽なパターンです。
「ランサーズ」や「クラウドワークス」といったサービスを利用し、案件を選んで応募ができますが、単価は安くなりがちです。

• フリーランスエージェントによる案[…]

田中勇也さんのプロフィールが更新されました。

Fri, 17 Sep 2021 02:11:03 +0900

全国個人事業主支援協会 | 田中 勇也 | Activity

田中 勇也 wrote a new post, 脆弱性の種類 NoSQLインジェクション

田中 勇也 wrote a new post, 脆弱性の種類 Silverlight クロスドメインポリシー

田中 勇也 wrote a new post, 脆弱性の種類 機微情報の表示

田中 勇也 wrote a new post, 脆弱性の種類 認証回避

田中 勇也 wrote a new post, 脆弱性の種類 強制ブラウズ

田中 勇也 wrote a new post, 脆弱性の種類 パラメーター操作による不正な機能の利用

田中 勇也 wrote a new post, 脆弱性の種類 不要な情報の存在

田中 勇也 wrote a new post, 脆弱性の種類 ディレクトリリスティング

田中 勇也 wrote a new post, 脆弱性の種類 安全ではないデシリアライゼーション

田中 勇也 wrote a new post, 脆弱性の種類 ドライブバイダウンロード

田中 勇也 wrote a new post, 脆弱性の種類 パスワードフィールドのマスク不備

田中 勇也 wrote a new post, 脆弱性の種類 復元可能なパスワード保存

田中 勇也 wrote a new post, 脆弱性の種類 エラーメッセージによる情報露出

田中 勇也 wrote a new post, 脆弱性の種類 脆弱なパスワードポリシー

田中 勇也 wrote a new post, 脆弱性の種類 機微情報の平文保存

田中 勇也 wrote a new post, 脆弱性の種類 不正な権限昇格

田中 勇也 wrote a new post, 脆弱性の種類 推測可能なセッションID

田中 勇也 wrote a new post, 脆弱性の種類 意図しないファイル公開

田中 勇也 wrote a new post, 脆弱性の種類 バッファオーバーフロー

田中 勇也 wrote a new post, パスワードリセットの不備

田中 勇也 wrote a new post, 脆弱性の種類 セッション管理の不備

田中 勇也 wrote a new post, 脆弱性の種類 CookieのSecure属性不備

田中 勇也 wrote a new post, 脆弱性の種類 CookieのHttpOnly属性未設定

田中 勇也 wrote a new post, 脆弱性の種類 認可制御の不備

田中 勇也 wrote a new post, 脆弱性の種類 XML External Entity

田中 勇也 wrote a new post, 脆弱性の種類 XMLインジェクション

田中 勇也 wrote a new post, 脆弱性の種類 XPathインジェクション

田中 勇也 wrote a new post, 脆弱性の種類 ローカルファイルインクルード

田中 勇也 wrote a new post, 脆弱性の種類 リモートファイルインクルード

田中 勇也 wrote a new post, 脆弱性の種類 ログアウト機能の不備や未実装

田中 勇也 wrote a new post, 脆弱性の種類 パスワードリセットの不備

田中 勇也 wrote a new post, 脆弱性の種類 クリックジャッキング

田中 勇也 wrote a new post, 脆弱性の種類 メールヘッダインジェクション

田中 勇也 wrote a new post, 脆弱性の種類 HTTPヘッダーインジェクション

田中 勇也 wrote a new post, 脆弱性の種類 オープンリダイレクト

田中 勇也 wrote a new post, 脆弱性の種類 セッションフィクセーション

田中 勇也 wrote a new post, 脆弱性の種類 セッションハイジャック

田中 勇也 wrote a new post, 脆弱性の種類 ディレクトリトラバーサル

田中 勇也 wrote a new post, 脆弱性の種類 クロスサイトリクエストフォージェリ

田中 勇也 wrote a new post, 脆弱性の種類 OSコマンドインジェクション

田中 勇也 wrote a new post, 脆弱性の種類 クロスサイトスクリプティング

田中 勇也 wrote a new post, 脆弱性の種類 SQLインジェクション

田中 勇也 wrote a new post, 脆弱性診断 脆弱性の種類

田中 勇也 wrote a new post, 脆弱性診断 診断実施後の対応

田中 勇也 wrote a new post, 脆弱性診断 診断実施

田中 勇也 wrote a new post, 脆弱性診断 診断前の準備

田中 勇也 wrote a new post, 脆弱性診断の流れ

田中 勇也 wrote a new post, 脆弱性診断とは

田中 勇也 wrote a new post, フリーランスの仕事の取り方

田中 勇也 さんのプロフィールが更新されました。