安全でないデシリアライゼーション(Insecure Deserialization)入門 | 徳丸浩の日記
先日のブログ記事にて、Welcartのオブジェクトインジェクション脆弱性について説明しましたが、オブジェクトインジェクションという脆弱性自体の情報源があまりないので、入門記事を書こうと思い立ちました。 （2017/11/22追記） OWASP Top 10 2017に正式に公開され、そのA7に安全でないデシリアライゼーション (Insecure Deserialization) が入りました。これは、本稿で扱うオブジェクトインジェクションと同内容ですが、OWASPの表記にならい、タイトルを変更しました。 以下、「そんなプログラムあり得るか?」という現実性についてはあまり気にしないで、原理的にオブジェクトインジェクションがどのようなものかについて順を追って説明していきます。以下、PHP言語のケースを題材として具体例を提示しますが、概念自体は他の言語でも通用するものです。 シリアライズとオブジ
スマホアプリの“目立たぬ弱点” 分かっていても対策が難しいワケ
コンテンツデリバリーネットワーク（CDN）サービスを基盤に、各種のクラウド型セキュリティサービスを手掛けるアカマイ・テクノロジーズでWebセキュリティの動向を追う中西一博氏が、非常に発見が難しくなっているWeb攻撃の実態と手口を暴き、その対策について解説する。 以前の連載：迷惑bot事件簿 攻撃の約20%がAPIを標的に 普段利用するスマホアプリでも、購買や決済、パーソナライズなどの目的で、ID、パスワード認証を行うものは多い。そのログインを司るAPI認証・認可サーバには日々大量の不正なログイン試行がbot（自動実行プログラム）により行われている。世界中の主要なWebベースのコンテンツを配信している米Akamai Technologies（アカマイ）では、観測データからWebベースのサービスに対する不正なログイン試行総数の約20%が、APIサーバに対するものだと分析している。 SNSなどか
【実践】Webシェル攻撃の具体例と対策 ~WordPressの脆弱性とSELinuxでの防御~
wp-file-managerの脆弱性を突いた任意のコードの実行の概要簡単に Web サイトを構築できる CMS として非常に有名な WordPress ですが、その脆弱性の多さでも有名です。 今回はその一例である 2020年9月1日に公表された「wp-file-manager」というWordPress のプラグインの脆弱性 (CVE 2020-25213) を使って、任意の Linux コマンド実行する webshell 攻撃を実演します。 この脆弱性は PoC (Proof of Concept: 攻撃のサンプルコード) が github 等に公開されており、簡単に攻撃が可能です。 本脆弱性の概要としては、認証無しに任意のファイルを配置できてしまうものですが、その結果、webshell として機能する PHP ファイルを作成することで、Linux 上で色々な操作が出来てしまいます。 以
ファビコン使ってユーザーの追跡が可能、主要ブラウザの多く防御できず
Fossbytesは2月12日(米国時間)、「Your Browser's Favicons Could Be Used To Track You Online: Here&s How」において、トラッカーがファビコン（Favicon）を使うことでユーザーをトラッキング可能だと伝えた。Jonas Strehle氏の次のドキュメントを引用する形で伝えている。 supercookie • workwise 概念実証のコードも含めた説明は次のページにまとまっている。 GitHub - jonasstrehle/supercookie: ⚠️ Browser fingerprinting via favicon! supercookie • workwise ファビコンは16x16または32x32のサイズで提供されることが多いアイコン。Webページごとに提供可能であり、通常はWebブラウザのタブに
新たなWebハッキング技術、2019年に登場したトップ10をPortSwiggerが発表
サイバーセキュリティツール「Burp Suite」を手掛けるPortSwiggerは2020年2月17日（現地時間）、2019年の新しいWebハッキング技術のトップ10を発表した。 同社は、2006年からほぼ毎年、トップ10を発表している。今回はまず、Redditコミュニティー「Web Security Research」のメンバーが51件の候補を推薦し、メンバーの投票で最終選考対象を15件に絞り込んだ。最後にPortSwiggerのリサーチディレクターを務めるジェームズ・ケトル氏を含む4人の専門家パネルが協議、投票を行ってトップ10を選出した。 なぜトップ10を発表するのだろうか。「重要な」攻撃とそうでないものの見分けが付かなくなっているからだ。 毎年、研究者やベテランのペネトレーションテスター（ペンテスター）、賞金獲得を目指してチャレンジする技術者、学者が、サイバー攻撃手法についてBl
SOHO 用ルータを狙う新しいエクスプロイトキット「Novidade EK」を確認 | トレンドマイクロ セキュリティブログ
トレンドマイクロは、SOHO（小規模または自宅事務所）用ルータを狙う新しい脆弱性攻撃ツール（エクスプロイトキット、EK）「Novidade EK」を確認しました。Novidade EK は、ユーザがすでにログインしている Web アプリケーションを介してクロスサイトリクエストフォージェリ（Cross Site Request Forgeries、CSRF）攻撃を実行し、ルータに接続された機器やデスクトップ PC からルータの Domain Name System（DNS）設定を変更します。ユーザが標的ドメインにアクセスすると、当該ドメインへのトラフィックが不正サイトの IP アドレスに名前解決され、攻撃者が管理するサーバにリダイレクトされます。 Novidade EK の最初期の検体は 2017 年 8 月に確認されました。以降、さらに 2 つの異なる亜種が見つかっています。亜種の 1 つ
GitLab、セッションハイジャックの脆弱性を修正
Incapsulaのセキュリティ研究者であるDaniel Svartman氏は8月30日(米国時間)、「Discovering a Session Hijacking Vulnerability in GitLab｜Incapsula」において、GitLabにセッションハイジャック可能な脆弱性が存在していたと伝えた。同氏は5月18日の時点でGitLabに問題を報告しており、対処が行われるまで情報公開を控えていたとしている。記事では、GitLabに存在していたセッションハイジャックの脆弱性がどのようなものであったか、GitLabがどのような対処をしたかを伝えている。 GitLabとは、Gitベースのリポジトリ管理、問題追跡、コードレビューなどが行えるOSS。 今回発見されたセッションハイジャックは古くから存在している脆弱性の1つ。セッショントークンを窃取されると、ユーザーになりすましてさまざ
ブラウザの脆弱性とそのインパクト
セキュリティ・キャンプ全国大会2017の講義資料です（Masato Kinugawaさんとの共同制作です）。
脆弱なWAF達で遊んでみた - とある診断員の備忘録
最近、二つの脆弱なWAFが公開されました！ Vurp - Vulnerable Reverse Proxy: https://github.com/hasegawayosuke/vurp ViddlerProxy: https://int21h.jp/tools/ViddlerProxy/ 今回は巷（ごく一部かな？ｗ）で話題のこの脆弱なWAF達で遊んでみたら非常に面白かったので、このブログでちょっとご紹介したいと思います。 脆弱なWAFとは？ そもそも、「脆弱なWAF」とは一体なんなのでしょうか？一般的なWAF（Web Application Firewall）は、Webサイトの脆弱性を悪用した攻撃から、Webサイトを保護するためのセキュリティ対策の一つです。 通常は守りたいWebサイトの通信経路上の前面に配置するような構成をとります。例えＷｅｂサイトに脆弱性が存在したとしても、前面のWA
東京都庁の通信内容がダダ漏れ危機？「badWPAD」脆弱性とは (1/2)
「Black Hat USA 2016」レポートの第1回記事では、NetBIOSの「BadTunnel」脆弱性を悪用する攻撃例として「WPAD（Web Proxy Auto-Discovery）」を組み合わせた手法が登場した。だが実は、このWPAD自体にも、未だ修正されていない別の脆弱性が存在する。 8月5日、Black Hatの講演で登壇した元トレンドマイクロのマキシム・ゴンチャロフ氏が、「badWPAD」と名付けられたこの脆弱性の実態調査結果を発表した。これを悪用すれば、ターゲットを攻撃者のプロキシサーバーに接続させることができ、フィッシングサイトへの誘導、偽の認証画面を使ったログイン情報詐取（中間者攻撃）、通信内容の監視など、幅広い攻撃が可能になる。 しかもゴンチャロフ氏の調査では、東京都が使っている多数のクライアントPCが、現在進行形でそのリスクを抱えていることも具体的に明らかにさ
脆弱性の見つけ方（初心者向け脆弱性検査入門）
WEB系の情報セキュリティ関連の学習メモです。メモなので他情報のポインタだけ、とかの卑怯な記事もあります。 ※2020.9 注記:本ブログの解説記事は内容が古くなっております。OWASP ZAPなどのソフトウェアの解説は現行バージョンの仕様から乖離している可能性があります。 EC-CUBEで脆弱性を見つけたり、mixiの脆弱性報告制度で成果を挙げたりしたせいか、「どうやって脆弱性を見つけてるんですか？」という質問をされることが時折あり、一応手順は説明するのですが、いつも口頭で細かくは説明できなくて申し訳ないので、自分のやり方をまとめてこのブログにアップしておきます。 標準的な脆弱性検査のやり方しか説明していないので、脆弱性検査のやり方を既に把握している人が読んでも得るものは少ないのではないかと思います。今回は脆弱性検査に興味があるが何をどうしたらいいか分からないような初心者向けコンテンツで
Androidの脆弱性を見つけちゃった話
JVN#53768697 Android OS において任意の Java のメソッドが実行される脆弱性 が公表されました。 不肖私が昨年9月にIPAに届け出たものです。 これまでは情報非開示依頼があったので多くを語ることができませんでした。 ヤバい内容なのでみんなに注意喚起したかったけれどそれができない苦しさ。 周りでICS端末を使ってる人を見かけたら「事情は言えないけどブラウザにはChromeを使って。標準ブラウザ使わないで」と言うくらいしかできなくて申し訳ありませんでしたm(_ _)m 当時のいきさつを日記から掘り起こして記録に残しておきたいと思います。 2012年9月15日(土) WebViewを使ったビジネスアプリのフレームワークを作りたいという構想があって（PhoneGapにはないビジネス用の固有の機能を入れようと思って。バーコードリーダーとか印刷機能とか）、そういえば addJ
Mozilla、Webアプリ脆弱性テストのためのデータベース「FuzzDB」を発表 | OSDN Magazine
Mozillaの開発者は8月16日、アプリケーションの脆弱性テスト（Fuzzテスト）に向けたさまざまなリソースを集めたデータベース「FuzzDB」をオープンソースで公開したことを発表した。Webアプリケーションのセキュリティテストなどさまざまな用途に利用できる可能性があるとしている。 FuzzDBはアプリケーション脆弱性テスト向けのリソースを集めたデータベースで、攻撃パターンや予測可能なリソース名、サーバーリスポンスメッセージの正規表現パターン、ドキュメンテーションリソースなどを含む包括的なテストケースを収録している。 Mozillaの開発者が個人的に収集したドキュメンテーションやリサーチメモが拡大してプロジェクトとなったもので、Webアプリケーションのペネトレーションテストのほか、自動スキャンツールなどの構築、HTTPセマンティック以外を利用するネットワークサービスのテスト、ISDとIP
管理下のページは大丈夫？ 多発するWeb改ざんに注意喚起――IPA
管理下のページは大丈夫？ 多発するWeb改ざんに注意喚起――IPA：「プログラムのアップデート」「運用体制の確認」を推奨 情報処理推進機構（IPA）は6月4日、2013年4月から5月にかけて国内でWebサイト改ざん事件が相次いでいることを踏まえ、「2013年6月の呼びかけ」の中であらためて対策を呼び掛けた。 情報処理推進機構（IPA）は6月4日、2013年4月から5月にかけて国内でWebサイト改ざん事件が相次いでいることを踏まえ、「2013年6月の呼びかけ」の中であらためて対策を徹底するよう呼び掛けた。 IPAによると、4月1日から5月31日までの2カ月間で、Web改ざんに関する届出は10件に達した。これは「Gumbler」が流行した2010年第1四半期や、近隣諸国からと見られる攻撃が多発した2012年第3四半期に匹敵する水準だという。 Web改ざんの原因を見ると（下図）、特定できた中で最
Apache Webサーバーに脆弱性、全サイトの65％に影響
最近のセキュリティインシデントの中でインパクトが最も大きいのは、Apacheに脆弱性が見つかったことだろう。 Apacheソフトウエア財団は、Apache Webサーバーの全バージョンが影響を受ける脆弱性を明らかにした。DoS（サービス不能）攻撃を可能にする弱点で、すべてのWebサイトの最大65％が攻撃を受ける危険性があるという。既にこの脆弱性を突く攻撃ツールも出回っていることから、英ソフォスはブログで注意を呼びかけた。 DoS攻撃は、サーバーに情報要求を大量に送りつけ、過剰な負荷を与えて接続不可能な状態にする。通常、大規模なWebサイトに攻撃を仕掛けるには相当な馬力が必要になるが、最新の脆弱性ではそれほどの労力を必要としない。 この脆弱性は、ダウンロードを停止、再開できるようにする機能に存在する。最近では、ダウンロードを途中で止めても、最初からやり直さずに、停止したところからまた再開する
Back door exploit for Android phones - The H Security: News and Features
A security expert working at Alert Logic has published a demonstration back door exploit for smartphones running Android. Criminals could use the principles of this exploit to gain control of a phone and install trojans. A potential victim need only call a malicious web site for infection to occur. The example exploit will open the back door for demonstration purposes only on the fixed IP address
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
GitHub - digininja/DVWA: Damn Vulnerable Web Application (DVWA)
“危ないWebアプリ”を生む「既存コードの脆弱性」の怖さ
導入事例からIT製品・サービスを探す｜キーマンズネット
スマートフォンWebブラウザにおいて3種類の脆弱性を発見（FFR） | ScanNetSecurity