S3のメタデータを用いた攻撃
例えば、Content-Typeメタデータの値を細工したオブジェクトを取得させることでXSSを発生させたり、Content-Dispositionメタデータを細工してRFD (Reflected File Download) を引き起こしたり、 x-amz-storage-classメタデータを操作して意図せぬストレージクラスを使用させEDoS (Economical Deninal of Sustainability)を発生させたり、といった攻撃が成立する可能性があります。 中でもContent-Typeを悪用したXSSは、S3の仕様や使用方法だけでなく、ブラウザの挙動にも注意を払う必要があり、アプリ開発者は攻撃の原理と対処を理解しておく必要があります。 9/21にAzaraさんとSecurity-JAWSのコラボで、この問題にフォーカスしたCTFイベント「とある海豹とSecurity-
【2020年】CTF Web問題の攻撃手法まとめ - こんとろーるしーこんとろーるぶい
はじめに 対象イベント 読み方、使い方 Remote Code Execution(RCE) 親ディレクトリ指定によるopen_basedirのバイパス PHP-FPMのTCPソケット接続によるopen_basedirとdisable_functionsのバイパス JavaのRuntime.execでシェルを実行 Cross-Site Scripting(XSS) nginx環境でHTTPステータスコードが操作できる場合にCSPヘッダーを無効化 GoogleのClosureLibraryサニタイザーのXSS脆弱性 WebのProxy機能を介したService Workerの登録 括弧を使わないXSS /記号を使用せずに遷移先URLを指定 SOME(Same Origin Method Execution)を利用してdocument.writeを順次実行 SQL Injection MySQ
CTF ネットワーク問題の基本問題(1) - 気まぐれブログ(日記・技術記事・研究のことなど)
sample.pcap sample2.pcap sample3.pcap パケットの統計を見る 暗号化されていないプロトコルの分析 特定のポート・アドレスの通信を分析 終わりに CTFの勉強をサボりすぎていたのでそろそろ勉強を再開しようと思います. 今回はネットワーク問題に焦点を絞って, 学んだことを書いていきたいと思います. 以下のCTFビギナーズで使用された練習問題を元に勉強をしていきます. https://onedrive.live.com/?authkey=%21ANE0wqC_trouhy0&id=5EC2715BAF0C5F2B%2110056&cid=5EC2715BAF0C5F2B CTF for ビギナーズ ネットワーク講習資料 from SECCON Beginners www.slideshare.net sample.pcap まずはWiresharkでパケット情
CTF初心者が考えるCTF入門 - きなこもち。
2023/07/22 『初めてのマルウェア解析』を追加しました。 2022/12/25 『実践バイナリ解析』を追加しました。 2021/8/22 『詳解セキュリティコンテスト ~CTFで学ぶ脆弱性攻略の技術』を追加しました。 2021/2/20 Web Security Academyの紹介を追記しました。 2021/1/1 一部の参考書を刷新いたしました。 2020/5/3 記事を書いて1年以上経ったので、大幅に加筆&修正いたしました。 どうも、きなこです(´・ω・`) 先日ツイートしたCTF初心者についての内容がちょっとばかり反響があったこと、そして、私自身がCTFに関して右も左も分からない状態から、ある程度経験を積んだことにより、簡単な問題なら解けるようになったので、今日はCTF初心者から考えた、CTF初心者向けの学習の道筋を書こうと思います(´・ω・`) ちなみに私はSECCON等
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
処理を実行中です
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
