バグハント入門 (OSS編) - blog of morioka12
1. 始めに こんにちは、morioka12 です。 本稿では、バグハントの入門として、主に Web アプリケーションの OSS に焦点をおき、脆弱性の発見・報告・CVE ID の取得について紹介します。 1. 始めに 免責事項 想定読者 筆者のバックグラウンド 2. CVE とは 3. 探す対象の選び方 OSS Topic (Type) 特定の条件で絞る バグバウンティの OSS 4. 脆弱性の検証方法 アプローチ方法 5. 脆弱性の報告先 6. 報告書の書き方 CVSS CWE 7. 脆弱性発見から CVE ID の取得までの流れ 注意点 8. バグハント前のスキル準備 過去の CVE ID やレポート Web Security の場合 9. その他 その後のチャレンジ バグバウンティ入門 セキュリティエンジニアを目指す就活生の方へ OSS の開発者の方へ 10. 終わりに 免責事項
脆弱性情報を柔軟に取得する方法 - Qiita
脆弱性情報まとめサイト JVN(Japan Vulnerability Notes) MITRE社が公開しているCVE(Common Vulnerabilities and Exposures)に対応した脆弱性通知サイトです。 CVEが英語で書かれているのに対し、日本語で書かれていることが特徴の１つです。 MyJVN API JVNの情報をHTTPリクエストで取得するためのWeb APIです。 参考: https://jvndb.jvn.jp/apis/index.html API例 dockerの脆弱性一覧表示 dockerの製品IDであるpidを取得 curl -S https://jvndb.jvn.jp/myjvn -X POST --data "method=getProductList&feed=hnd&keyword=docker" curl -S https://jvndb
CVE情報検索色々 @2023春 - Qiita
脆弱性調査再び 久方ぶりに脆弱性関連の調査をすることになりまして。 今回は自分が面倒を見ているシステムが使っているソフトに残留している脆弱性一覧を引っこ抜くのが目的。 「考える前にアップデートすりゃいいじゃん」が基本指針なのですが、まぁ、いろいろなケースがあります。 NVDやJVNと格闘するのも数年ぶりですので、勉強し直しながらやっていこうかと思います。 脆弱性情報は基本全数ダウンロードさせてもらえるので、それを手元でアレコレする方針で考えます。 脱線。 そもそも今回の調査はサイト上の検索機能でうまいことできないの？ ちょっと微妙です。 実はNVDはバージョンまで指定していい感じに検索はできるのですが、、結果を一括でダウンロードするということが残念ながらできません。 （JVNはそもそバージョン指定の検索はさせてくれません、、） スナップショットがうまく取れていないのですが、VendorとP
CWE番号 (まとめ) - TT 脆弱性 Blog
【目次】 【CWEリスト】 ■1-99 ■100-199 ■200-299 ■300-399 ■400-499 ■500-599 ■600-699 ■700-799 ■800-899 ■900-999 ■1000-1999 【CWEリスト】 ■1-99 CWE No 解説 邦訳(JVNDBリンク) CWE-1 DEPRECATED: Location ロケーション CWE-2 7PK - Environment 7PK - 環境 CWE-3 DEPRECATED: Technology-specific Environment Issues 削除: 技術固有の環境問題 CWE-4 DEPRECATED: J2EE Environment Issues 削除: J2EE環境の問題 CWE-5 J2EE Misconfiguration: Data Transmission Without E
MyJVN APIを利用した脆弱性情報収集 | DevelopersIO
はじめに 藤本です。 のんのんびよりは二周目でも癒やされます。 概要 みなさん、ソフトウェアの脆弱性対応をどのように取り組んでいますか？ ソフトウェアの多くには潜在的なバグが内在していて、そのバグ、脆弱性を利用されることでシステムが停止したり、情報を漏洩したり、最悪、システムが乗っ取られると言った様々なリスクを抱えています。これらのバグ、脆弱性の情報は様々な組織が運営する脆弱性情報データベースにより公開されることで私達は情報を知ることができます。ただ、脆弱性情報は多くのソフトウェアで小さいものから大きいものまであり、過去3ヶ月で1,790件（NVD検索結果）が報告されています。このように日々報告される情報から必要な情報を探すのは大変な労力を要します。 脆弱性データベース 有名な脆弱性データベースは以下のようなものがあります。 CVE（Common Vulnerabilities and E
脆弱性対策。仮説（16） - Qiita
IPA 脆弱性対策 コンテンツ リファレンス https://www.ipa.go.jp/files/000051352.pdf <この項は書きかけです。順次追記します。> IPAが開発、提供するツール&データベースカタログ https://www.ipa.go.jp/security/tools/index.html ・これだけはやろう!セキュリティ対策 https://www.ipa.go.jp/security/personal/base/index.html ・オンラインゲームを楽しむ前に-3つのセキュリティポイント https://www.ipa.go.jp/security/personal/onlinegame/ ・スマートフォンを安全に使用する為の6箇条 https://www.ipa.go.jp/security/keihatsu/pr2012/general/03_sm
脆弱性対応情報データベース (MyJVN API) の API を使って OSS の脆弱性を見てみる - フォトシンス エンジニアブログ
この記事は Akerun Advent Calendar 2020 - Qiita の 11 日目の記事です。 今週 2 回目の登場です。 AkiAbe - Qiita です。 前回は、スプリント開発の話でマネジメント寄りの話でした。 akerun.hateblo.jp 今回は、少しテック寄りにしようと思います。 OSS の脆弱性の情報確認 API を利用して、まとめて調べたい スクリプト化 まとめ OSS の脆弱性の情報確認 この記事読むようなかたは、Open Source Software (OSS) については把握していますね。 意識の高いエンジニアのみなさんとしては、自分が使っている開発環境の OSS の脆弱性がどんなものあるか把握しておきたいですよね。 OSS の脆弱性はデータベース化されています。 jvndb.jvn.jp たとえば、debian 系 OS で、sudo コマン
脆弱性情報の収集→slack通知→backlog登録を自動化してみた - Qiita
前提 実行環境： CentOS6.X, ruby, slack-incoming-webhooks, backlog_kit アラート通知先： slack チケット登録先： backlog 今回はnginxの脆弱性情報をサンプルに取得してみます。 (参考)Vulsなんていうすばらしいツールがあるのをあとから知りました・・・ http://qiita.com/sadayuki-matsuno/items/0bb8bb1689425bb9a21c 脆弱性情報をどこから収集するか IPAが提供している「MyJVN API」を利用します。LACさんが脆弱性情報を提供していると、どこかで聞いたような気がするので、提供される情報は信じていいとおもいます。 http://jvndb.jvn.jp/apis/ API経由で脆弱性情報を取得するには製品ID(productId)が必要になりますので、事前に調
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
Har-sia