はじめに はじめまして、セキュリティエンジニアのSatoki (@satoki00) です。今回はブラウザの開発者ツールのネットワークタブから隠れて、Webサイト内の情報を送信する手法をまとめます。所謂Exfiltrationというやつです。中にはCSPの制限をBypassするために用いられるテクニックもあります。CTFなどで安全に使ってください。 前提 発端はWeb上でテキストの文字数をカウントできるサイトが閉鎖する際の話です。カウント対象のテキストデータがサイト運営 (やサイトを改竄した攻撃者) に盗み取られていないかという議論が巻き起こっていました。「盗み取られていない」側の主張は、ブラウザの開発者ツールのネットワークタブにリクエストを送信した形跡がないというものでした。ここで ブラウザの開発者ツールのネットワークタブに表示がなければ外部へデータを送信していないのか？ といった疑問が

海外のセキュリティ企業「Phylum」はトロイの木馬化された「jQuery」がnpmやGitHub、jsDelivr のCDNホストで拡散している事を指摘しました。 「jQuery」を悪用したサプライチェーン攻撃の概要 Phylumは 2024 年 5 月 26 日以来、トロイの木馬化された jQuery のバージョンを悪用する執拗なサプライ チェーン攻撃者を監視しており、最初に npm でこのjQuery を悪用する亜種を発見しました。 そこでは、1 か月にわたって数十のパッケージで侵害されたバージョンが公開されていました。 調査の結果、GitHubや、jsDelivr の CDN ホスト リソースでも、トロイの木馬化された jQuery のインスタンスを発見しました。 なお、今回解説されている内容は正規の「jQuery」へ今回のトロイの木馬が紛れ込んでいるのではなく、 悪意のあるユーザ

リバースシェルは攻撃者がシステムにアクセスする手段であり、通常のシェル接続とは逆に、ターゲットマシンから接続要求を開始します。 この攻撃は、アプリケーションの脆弱性を悪用して実行され、攻撃者にシステムの制御を与える可能性があります。 CNCFプロジェクトであるFalcoとSysdig Secureは、リバースシェル攻撃を検出するためのツールを提供します。 Falcoは異常な動作を検出し、Sysdig Secureは検出と対応の両方を行います。 リバースシェル攻撃は、Netcatなどのツールを使用して実行されることがあり、検出が困難な場合もあります。 Sysdig Secureはイメージプロファイリングを使用して、コンテナの予期される振る舞いを定義し、異常なアクティビティを検出することで、リバースシェル攻撃を検出するのに役立ちます。 詳細はこちら Sysdigに関するお問い合わせはこちらから

はじめに こんにちは。株式会社Flatt Securityセキュリティエンジニアの森(@ei01241)です。 最近は認証や認可に際してOpenID Connectを使うWebサービスが増えていると思います。「Googleアカウント/Twitter/Facebookでログイン」などのUIはあらゆるサービスで見かけると思います。しかし、OpenID Connectの仕様をよく理解せずに不適切な実装を行うと脆弱性を埋め込むことがあります。 そこで、突然ですがクイズです。以下のTweetをご覧ください。 ⚡️突然ですがクイズです！⚡️ 以下の画面はOAuth 2.0 Best Practice上は推奨されないような実装になっており、潜在的リスクがあります。https://t.co/bXGWktj5fx どのようなリスクが潜んでいるか、ぜひ考えてみてください。このリスクを用いた攻撃についての解説記

アイリッジでは様々なスマホ向けのサービスを開発していますが、その際にあると便利なのが端末を識別するIDです。 本日は端末を識別するIDについて、最新の動向をご紹介したいと思います。 iOS UDID 端末を識別するIDと聞いて多くの方が真っ先に思い浮かべるのは、UDIDではないでしょうか。 UDIDは端末を一意に識別する強力なIDです。 しかし、複数のアプリ間で特定のユーザーを追跡可能で、ユーザーが自由にIDを変更することができないため現在は利用できません。 iOS5の時代にUDIDの取得が非推奨になり、iOS6の時代にUDIDを取得するアプリはAppStoreでの公開を拒否されるようになりました。 iOS7では、UDIDを取得すると “FFFFFFFF”+identifierForVendor（後述）が返されるようになっています。 MACアドレス iOS5の時代にUDIDの取得が非推奨に

GTA新作リークに使われた“多要素認証疲れ”攻撃とは　1時間以上通知攻め、従業員の根負け狙う：この頃、セキュリティ界隈で 人気ゲーム「グランド・セフト・オート」（GTA）などを手掛けるゲームメーカーの米Rockstar Gamesや米Uber Technologiesのネットワークが不正侵入を受け、情報が流出する事件が相次いだ。同じような被害は過去にMicrosoftやCisco、Twitterなどの大手でも発生している。各社とも、そうした侵入を防ぐために多要素認証を設定して従業員のアカウントを保護していたが、攻撃者は「MFA Fatigue（多要素認証疲れ）」攻撃と呼ばれる手口を使ってMFA（多要素認証）を突破していた。 多要素認証で守られたアカウントは、ユーザー名とパスワードを入力してログインしようとすると、登録された端末に電話をかけたりプッシュ通知を送信したりする方法で、そのログイン

WebViewを使用したAndroidアプリに関して、WebViewのfile:// スキーム読み込みを使用したクロスアプリスクリプティング脆弱性への対応に関するgoogleの説明記事が出ていました。 https://support.google.com/faqs/answer/9084685?hl=ja こちらの脆弱性について調べると2021年にEvernoteのAndroidアプリでこの脆弱性に対して攻撃を受けてcookieが流出したようです。 https://blog.oversecured.com/Evernote-Universal-XSS-theft-of-all-cookies-from-all-sites-and-more/ 今回はWebViewのfile:// スキーム読み込みを使用したクロスアプリスクリプティング脆弱性を理解するために、検証のため脆弱性のあるアプリソース

Innovative Tech： このコーナーでは、テクノロジーの最新研究を紹介するWebメディア「Seamless」を主宰する山下裕毅氏が執筆。新規性の高い科学論文を山下氏がピックアップし、解説する。 イスラエルにあるBen-Gurion University of the Negevの研究者が発表した「GAIROSCOPE: Injecting Data from Air-Gapped Computers to Nearby Gyroscopes」は、インターネットに接続されていない「エアギャップ・ネットワーク」内のコンピュータから機密データを盗む攻撃を説明した研究報告だ。 エアギャップされたコンピュータ上で動作するマルウェア（あらかじめマルウェアを仕込んでおく必要がある）が、超音波の周波数を介して数メートル先のスマートフォン（ターゲットのコンピュータを操作する従業員などのスマートフォ

2022年3月31日、Spring Frameworkに致命的な脆弱性が確認され、修正版が公開されました。ここでは関連する情報をまとめます。 １．何が起きたの？ JDK9以上で実行されるSpringMVC、SpringWebFluxでリモートコード実行が可能な脆弱性（CVE-2022-22965）が確認された。脆弱性の通称にSpring4shellまたはSpringShellが用いられている。 Spring FrameworkはJavaで採用される主流なフレームワークの1つのため、Javaで実行されるWebアプリケーションで利用している可能性がある。 2022年3月31日時点で脆弱性のExploitコードが出回っており、関連するインターネット上の活動が既に報告されている。 ２．脆弱性を悪用されると何が起きるの？ 脆弱性を悪用された場合、リモートから任意コード実行が行われることで、機密情報の

2021年12月、京都大学のスーパーコンピューターがトラブルに見舞われた。学術論文に使う重要データなど、実に77テラバイト（TB）分のファイルが消失した。ITベンダーの担当者が実行中のスクリプトを不用意に更新したのが原因だった。本来はログ削除の処理が利用者のファイルを削除する誤動作を引き起こした。ミスを犯したITベンダーも問題だが、監督不十分だった京都大学の責任も重い。 「弊社100％の責任によりLustreファイルシステムのファイル消失の重大障害を来し、多大なるご迷惑をお掛けしたことを深くお詫び申し上げます」 京都大学が2021年12月28日に公表した「スーパーコンピュータシステムのファイル消失のお詫び」のお知らせには、大規模なデータ消失を引き起こした日本ヒューレット・パッカードが同大学宛てに提出した報告書がリンクされていた。「弊社100％の責任」という説明は、ITベンダー側の「完全降伏