「うーん、トラフィックは増えてないんだけどな……」 「何か変ですよね、やられてますよね」 「あ、そういえばさっきスクリプトが動いてたみたいだけど」 「えっ？」 「えっ？」 「……」 「ちょっと待って、そのアカウントでログインしたの何分前？」 窓の外に広がる沖縄の青い海と空に目もくれず、コンソールに向き合うエンジニアたちの間で、こんなやりとりが交わされる。 2016年6月4日、5日の2日間にわたり、沖縄 宜野湾市の沖縄コンベンションセンターで、「守る」技術を持ったエンジニアを発掘し、育てることを目的とした競技会「Hardening 100 Value x Value」が開催された。チームとしてさまざまなインシデントに対応しつつ、ビジネス上の価値の最大化とシステムの堅牢化を両立させるという経験を積み、そこから得た学びを持ち帰ることを狙った取り組みだ。 ビジネスとITのリアリティを追求し、「守る

また間が開きましたが、すみだセキュリティ勉強会2015#2を開催しました。発表していただいた@inaz2さん、@yasulibさん、ありがとうございました。当日の発表資料は上記の勉強会ブログからリンクしています。 今回の私の発表は、「攻撃を『隠す』・攻撃から『隠れる』」。ポートスキャンをするとsshが100個現れる「ssh分身の術」がメイン(?)です。 当初は、パケットヘッダやプロトコルのすき間にメッセージを隠したり、ファイルを隠すなども考えていたのですが……。あまりに盛りだくさんになりそうだったので、「ポートスキャンをいかに隠れて実行するか・ポートスキャンからどうやって隠れるか」と、ポートスキャンとnmapに絞って発表しました。 発表資料 私の発表資料は以下です。 (PDF)攻撃を「隠す」、攻撃から「隠れる」 発表ノート付きなのでPDFです。以下、落穂ひろいなど。 スキャンするポート数と

フルポートスキャンされた場合でも、全ての開放ポートを特定されない方法とその原理のメモです。 ※今回はTCPに限定しています。 隠す方法 iptablesのlimitモジュールを使います。（細かな説明などは後述） iptables -P INPUT DROP iptables -N LIMIT iptables -t filter -A INPUT -p tcp -m state --state ESTABLISHED -j ACCEPT iptables -t filter -A INPUT -p tcp --syn -m limit --limit 10/m --limit-burst 10 -j LIMIT iptables -t filter -A LIMIT -p tcp --dport -j ACCEPT 本当に隠せているか試してみる 検証環境（サーバ側）はDebianを用意して

技術を活かし、新しい価値を創造する DeNAのエンジニアは、想像を超えるDelightを届けるために何ができるかを考え、技術力と発想力で新しい価値を生み出しています。 多様な専門性を持ったエンジニアが切磋琢磨し、互いに刺激し合える環境や制度がさらなる成長へとつなげます。

2. アジェンダ • 例えば、PHPを避ける • htmlspecialchars 文字エンコーディングチェックの改善 • register_globalsが非推奨に • マジッククォートが非推奨に • 暗号学的に安全な擬似乱数生成器のサポート • セッションID生成の安全性強化 • ヌルバイト攻撃の防御機能の追加 • PDOのDB接続時の文字エンコーディング指定が可能に • header関数のバグ修正 • 安全なパスワード保存が簡単にできるようになった Copyright © 2016 Hiroshi Tokumaru 2 3. 徳丸浩の自己紹介 • 経歴 – 1985年 京セラ株式会社入社 – 1995年 京セラコミュニケーションシステム株式会社(KCCS)に出向・転籍 – 2008年 KCCS退職、HASHコンサルティング株式会社設立 • 経験したこと – 京セラ入社当時はCAD、計

apache や nginx の設定をしたことがあれば以下の様な行を見たことがある人も多いのではないでしょうか。(※ 下記は nginx の設定。apache の場合は SSLCipherSuite です。) ssl_ciphers AES128-SHA:AES256-SHA:RC4-SHA:DES-CBC3-SHA:RC4-MD5; これが暗号スイートを指定している箇所です。そしてこの部分、わけのわからない文字列の羅列なのですごく取っつきにくくて何を指定したらいいかわからないので、コピペしてしまう人も多いんじゃないでしょうか。かくいう私も数年前に趣味で TLS 対応の Web サービスを作った時はコピペで済ませていました。この暗号スイートは、以下のような OpenSSL のコマンドを使って対応している一覧を見ることができます。 $ openssl ciphers -v AES128-SH

WordPress のsecurity系plugin の Blind SQL injection 脆弱性(CVE-2015-0894) "&'<<>\ Advent Calendar 2015 (13日目) - ooooooo_qの日記

先日 GHOST と呼ばれる glibc の脆弱性が発表された。なんでも、「リモートから任意のコードを実行できる可能性がある」らしいではないか。しかも様々なプログラムで利用されているライブラリ部分の問題とあって、影響範囲がとても広い。なかなか厄介なことである。 はて、しかし一体全体どうやってリモートから任意のコードを実行しようというのだろう？ 話を聞くに、たかが数バイトの情報を範囲外のメモリに書き込める可能性があるだけだという。実際それだけのことでサーバーの乗っ取りなどできるものなのだろうか。そんなわけで、その疑問に答えるべく、本記事では以下の URL で解説されている実際の攻撃方法を若干端折って紹介してみようと思う。 http://www.openwall.com/lists/oss-security/2015/01/27/9 なお、本記事はこの脆弱性そのものに対する緊急度などについて言

課題 サイトをを立ち上げるときに当然のごとくSSL証明書をベンダーから購入して設置していたが、いざセキュリティ診断等でチェックしてもらうとSSLについての指摘を何件か受けてみた。なんでだろうと思いながらも、さらに最適なSSL設定は？と聞かれてそういえばあまり昔から手を入れたことなかったなと思い調べてみた SSL通信が確立するまでの概要フロー SSL通信について再度おさらい Nginxを元にしたSSLの設定 nginxのHTTPS サーバの設定を参考に、たった２行だけどSSLを考えてみる。書き方は違えどもapacheも概念は一緒のはず。

やぎはしゅです。 ここ2日間、SECCON CTF 2013 決勝戦に参加していました。 チームは********で、なんかニコ生のコメントで触れてくれている人がいてほっこりしました。 結果は7位で、数字を見ると「うーん…」、上下のチームを見ると「おぉー」という感じです。 割と不完全燃焼ですねー、楽しかったけど。 順位はこれで最終版、のはずです。違ったら教えてください。 7-11位が団子状態ですね。団子の一番上で終わったのがうちのチームでした。 1日目、2日目それぞれの点数の推移です。 1日目は9位で終えて、2日目は10-12位あたりをうろうろした後に9位、7位と順位をあげてそのままフィニッシュという感じでした。 なんだかなぁ…。 問題(というかサーバ一覧)です。Korin, Pisa, HanoiがそれぞれWebから攻めていくタイプのサーバで、Hanoiの4つめを除い

1. さくらのVPSに来る悪い人 を観察する その２ Security Casual Talks すみだセキュリティ勉強会その2 2013/12/07 @ozuma5119 2013-11-18 20:12:18 login attempt [root/12345] failed 2013-11-18 20:12:21 login attempt [root/1qazxsw23edc] failed 2013-11-18 20:12:25 login attempt [root/Passw0rd] failed 2013-11-18 20:12:28 login attempt [root/password0] failed 2013-11-18 20:12:32 login attempt [root/password1] failed 176.223.62.254 - - [23/No