老舗の解凍ツール「解凍レンジ」に任意コード実行の脆弱性 ～JVNが利用中止を呼びかけ／開発者とは連絡がとれず
OSINTツール「GreyNoise」を使ってみる - セキュリティ猫の備忘録
こんにちは、セキュリティ猫です。 久しぶりに（ホントに久しぶりに）何かを書きたい欲が出てきたので、自分でも使い方の整理・機能の確認の意味を込めてツールの使い方を扱うことにしました。 今回は、調査で便利なツール「GreyNoise」について紹介していこうと思います。 GreyNoise はじめに 【注意事項】 GreyNoiseとは？ 機能 IPルックアップ GREYNOISEクエリ言語 (GNQL) タグトレンド その他の機能 主な使い方 まとめ はじめに 【注意事項】 本記事内で、GreyNoiseの使い方や調査方法について記載しています。本内容は脅威から守るために利用しているものであり、決して悪用することはしないでください。 GreyNoiseを利用することで外部組織の情報を得ることができます。しかしながら、ここで得られた情報をもとにアクセスは行わないでください。アクセスを行う場合は自
Oktaが無料のパスワードマネージャ「Okta Personal」を公開
ID管理サービスや認証サービスなどを提供しているOktaが、個人向けのパスワードマネージャ「Okta Personal」を公開しました。 Okta PersonalはWebブラウザのプラグインなどと組み合わせて利用することで、Webサイトごとのパスワードの自動生成、パスワードの保存、ログイン時のIDとパスワードの自動入力などを行ってくれます。 現在ではソーシャルメディアから業務アプリケーションまで、多数のWebサイトにログインして利用することが一般的になっています。 このとき、推測されにくい十分な長さを持つ複雑なパスワードをWebサイトごとに重複しないように使い分けようとすると、現実的には記憶に頼るだけでは難しく、メモを取っておくなどパスワードを確実に記録しておく手段が必要となります。 一般にパスワードマネージャは、こうした推測されにくいパスワードの自動生成と安全な保存、そしてログイン画面
開発に使える脆弱性スキャンツール - NTT Communications Engineers' Blog
この記事は、 NTT Communications Advent Calendar 2022 7日目の記事です。 はじめに こんにちは、イノベーションセンター所属の志村と申します。 「Metemcyber」プロジェクトで脅威インテリジェンスに関する内製開発や、「NA4Sec」プロジェクトで攻撃インフラの解明・撲滅に関する技術開発を担当しています。 今回は「開発に使える脆弱性スキャンツール」をテーマに、GitHub Dependabot, Trivy, Grypeといったツールの紹介をさせていただきます。 脆弱性の原因とSCAによるスキャン 現在のソフトウェア開発は、多くのOSSを含む外部のソフトウェアに依存しています。Python、Go、npm など多くの言語は、様々なソフトウェアをパッケージとして利用できるエコシステムを提供しており、この仕組みを利用してOSSなどのコンポーネントをソフト
Windowsイベントログ解析ツール「Hayabusa」を使ってみる - itiblog
こんにちは、いちび( @itiB_S144 )です。 2021年12月25日にWindowsイベントログ解析ツールとして「Hayabusa」がリリースされました🎉 Hayabusaは事前に作成したルールに則ってWindowsイベントログを調査し、インシデントや何かしらのイベントが発生していないか高速に検知することができるツールです。 私も開発を微力ながらお手伝いさせていただきました。 本記事では多くの方にHayabusaを触っていただきたいため、簡単な使い方を紹介していきます。 We just released two Windows event log analysis tools: Hayabusa and WELA: https://t.co/nFHxSgUl2q #yamasec— Yamato Security Tools (@SecurityYamato) 2021年12月2
Google、セキュリティスキャナー「Tsunami」をオープンソースで公開。ポートスキャンなどで自動的に脆弱性を検出するツール
Google、セキュリティスキャナー「Tsunami」をオープンソースで公開。ポートスキャンなどで自動的に脆弱性を検出するツール Announcing the release of the Tsunami security scanning engine to the open source communities to protect their users’ data, and foster collaboration.https://t.co/qrvmilHm1r — Google Open Source (@GoogleOSS) June 18, 2020 Tsunamiは、アプリケーションに対してネットワーク経由で自動的にスキャンを行い、脆弱性を発見してくれるツールです。 Googleは、現在では攻撃者が自動化された攻撃ツールへの投資を続けており、ネット上に公開されたサービスが攻
ブルートフォースアタックにより「FileVault」と「Keychain」のパスワードを特定するためのMac用ツール「FileVault/Keychain Cracker」が公開。
ブルートフォースアタックを利用したmacOSの「FileVault」と「Keychain」用クラッキングツール「FileVault/Keychain Cracker」が公開されています。詳細は以下から。 macOSにはディスク全体をXTS-AES 128暗号方式を用いて暗号化するFileVault 2とパスワードマネージャーKeychainという機能が備わっていますが、この両セキュリティ機能のユーザーパスワードをブルートフォースアタックにより取得するためのツール「FileVault/Keychain Cracker」をiOSデバイス用管理ツールiMazingやccacheアプリなどを開発しているスイスDigiDNA SARLのエンジニアJean-David Gadinaさんが公開しています。 Not sure that’s a good decision, but my #macOS ke
組み込んだOSSコンポーネントの更新漏れを可視化する「OWASP Dependency Check」
昨今のウェブアプリケーションでは、ほとんどの場合、オープンソースのフレームワークやライブラリのような、自社開発ではないパッケージ化された部品（コンポーネント）を組み合わせて構築することでしょう。ですから、もしも既知の脆弱（ぜいじゃく）性が存在するようなコンポーネントを利用してウェブアプリケーションを開発していた場合には、組み込まれたコンポーネントの脆弱性を悪用され、攻撃を受けてしまう可能性が高くなります。 本稿では、ウェブアプリケーションに組み込まれている脆弱性が存在するコンポーネントの洗い出しに有用な、OWASPコミュニティより公開されているツール「OWASP Dependency Check」の概要および利用方法について解説します。 はじめに 本連載の第1回では、ウェブアプリケーションにおける重要なインパクトのある10のセキュリティリスクについてまとめた「OWASP Top 10」につ
世界中の諜報機関御用達で推定約69億円を売り上げるスパイウェアが誰でも自由にダウンロード可能に
By jurek d. 日本を含む36の国家で使用されているスパイウェア「FinFisher(FinSpy)」の最新版を、Wikileaksが2014年9月15日からダウンロード可能な状態で公開しています。 WikiLeaks - SpyFiles 4 https://wikileaks.org/spyfiles4/ FinFisher(FinSpy)はイギリスのGamma Internationalにより開発されたスパイウェアですが、現在はドイツの企業がシステムの開発と販売を受け持っています。これは、40種類以上のアンチウイルスソフトの検知をバイパスし、パソコンのウェブカメラに映る映像はすべて録画、マイク音声もすべて録音、そしてキーボードで入力される文字もすべて記録してしまい、さらには外部から通信を傍受したり遮断したりも可能という恐るべきスパイウェアです。Windows・Linux・OS
開発が停止したと思われていた暗号化ソフトTrueCryptが復活に向けて動きだす
一時は開発が停止し、「ハッキングされた」「国家権力から圧力がかかった」「重大なバックドアが見つかった」などなどの噂が飛び交った暗号化ソフト「TrueCrypt」ですが、有志が集まり復活に向けて動きだしました。 TrueCrypt - organizing a future http://truecrypt.ch/ 「TrueCrypt」は、暗号化された仮想ディスクを作成したりデータを解読したりするためのオープンソースソフトウェアです。米政府が国民の情報収集をしていた「PRISM」問題に伴い、企業や政府の内部告発者やジャーナリストが利用するソフトとして広く知られるようになったソフトですが、2014年5月28日頃から公式ページである「truecrypt.org」が以下のページに転送されるようになります。 TrueCrypt http://truecrypt.sourceforge.net/ こ
無料でiOS/Android/Windows/Mac間を同期可能なパスワード管理ソフト「PasswordBox」
インターネット上ではSNS・ショッピング・メールなどなど、ユーザー名とパスワードを入力してログインする必要のあるサービスが多く存在します。セキュリティを高めるには推測されにくいパスワードにする必要があり、同じものを使用しないのが好ましいのですが、増えすぎると管理するだけで大変になってしまいます。そんなパスワード情報を軍レベルのセキュリティで保護しながら一元管理してくれる無料かつWindows/Mac/iOS/Android、IE/Firefox/Chromeと各種OS・ブラウザで使用＆同期可能なパスワード管理ソフトが「PasswordBox」です。 無料のパスワードマネージャー | PasswordBox https://www.passwordbox.com/ja ◆iOSアプリ あらゆるプラットフォームで使用できるPasswordBoxのiOSアプリは以下のページからインストールできま
『セキュリティ診断ツール「Nikto」を使ってサイトをチェックしよう』
昨今、個人情報漏洩やらサイト改ざんなどセキュリティ関連の話題を耳にしない日がないといっても言いぐらい多くなりましたが、サイト運営側にとってはその問題について特に気を使う領域になっています。 セキュリティと一言で言っても、様々な要因があってのセキュリティですので問題のないサイト作りというのは、なかなか容易なことではありません。 例えば、XSS（クロスサイト・スクリプティング）やSQLインジェクションは主にアプリ側に要因があったりしますし、アプリ側に問題がなくともミドルウェアに問題があり、サイト全体が脅威にさらされる事もあります。 今回紹介するNiktoは、そんなサイト上の様々な危険性を多角的にチェックしてくれるツールです。 Nikto （ニクトと読むらしい）は、オープンソースのセキュリティ診断ツールで、XSSなどのアプリ上に潜む問題から、ミドルウェアの設定など、多くのセキュリティ上問題となる
2008-11-02
ちょっと作成したWebアプリケーションに脆弱性があるかをきちんとチェックしないといけない羽目になったので調べてみた． 出来ればフリーで，無ければ有償でもいいので．いや，やっぱりフリーで．．． 調べて実際にインストールや使ってみた順に載せてみます． Nessus http://www.nessus.org/nessus/ フリーでは一番使いやすいサーバ脆弱性診断ツールかな．有名だし． でもサーバの脆弱性診断という位置づけが強い MultiInjector released - automatic parallel website Injector / Defacer http://chaptersinwebsecurity.blogspot.com/2008/10/multiinjector-released-automatic.html Pythonの2.4以上で動作 Windowsでも使
脆弱性情報共有フレームワーク - MyJVN バージョンチェッカ
MyJVN にようこそ MyJVN は JVN iPediaの情報を、利用者が効率的に活用して頂けるように、 脆弱性対策情報を効率的に収集したり、利用者のPC上にインストールされたソフトウェア 製品のバージョンを容易にチェックする等の機能を提供する仕組み（フレームワーク）です。
mitmproxy - an interactive HTTPS proxy
Command Line mitmproxy is your swiss-army knife for debugging, testing, privacy measurements, and penetration testing. It can be used to intercept, inspect, modify and replay web traffic such as HTTP/1, HTTP/2, WebSockets, or any other SSL/TLS-protected protocols. You can prettify and decode a variety of message types ranging from HTML to Protobuf, intercept specific messages on-the-fly, modify th
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
Emotet感染確認ツール「EmoCheck」v2.1をJPCERT/CCが公開、2月に更新された挙動の変化に対応 旧バージョンで感染確認できなくても再チェックを
GitHub - techgaun/github-dorks: Find leaked secrets via github search
Microsoft、不審なスタートアッププログラムの炙り出しツール「Autoruns」v14.0を公開／ダークモードに対応するなど、若干古臭さのあるユーザーインターフェイスにテコ入れ
Windows 10のセキュリティの質問って覚えてる？思い出せないなら「SecurityQuestionsView」／ローカルアカウントに設定されたセキュリティの質問とその回答を復号【レビュー】
Windows 8標準のマルウェア対策機能を拡張する「Windows Defender Status Manager」NOT SUPPORTED