Engineers2018-06-14セキュリティ学習環境をお手軽に作ってみた本書の目的ウェブセキュリティを手軽に学びたいひと向けに、簡単な学習環境の構築方法を紹介する材料Javaウェブブラウザ(今回はFirefoxで解説します)ローカルプロキシ「Burpsuite」アドオン「HakoniwaBadStore」(https://github.com/ankokuty/HakoniwaBadStore/releases/download/v1.0.2/HakoniwaBadStore.jar)この時点で想像がつく人は、「まとめ」以降を参照ください。概要こんにちは、ウェブ共同開発部の堀井です。東京オリンピックが近くにつれ、「サイバーセキュリティ」というキーワードを目にする機会が増え、「SQLインジェクションによる情報漏洩」や「クロスサイトスクリプティングによるサイト改ざん」といった専門用語を目にする機会も多くなってきました。開発者がセキュリティを気にしなければいけない時代の中で、脆弱性を手軽に学んで見たい方もおられるかと思います。Java公式サイトhttps://java.comを参考に、Javaをインストールしましょう。次にローカルプロキシ「Burpsuite」をhttps://portswigger.net/burp/communitydownloadからダウンロードします。今回はJarファイルをダウンロードします。「HakoniwaBadStore」をhttps://github.com/ankokuty/HakoniwaBadStore/releasesからダウンロードします。BurpsuiteのJarファイルを実行し、以下の画面が出るまで進めます。許可条項を許諾し、デフォルト設定のままBurpsuiteの起動を完了するとホーム画面が表示されます。そこで「Extender」タブに移動後に「Add」ボタンをクリックし、jarファイルを指定してHakoniwaBadStoreを導入します。導入に完了すると、以下のようなタブが新たに表示されます。そこでそのタブに移動し、「Stopped」と表示されているボタンを押してみましょう。すると、「Running」の状態になります。これで起動は成功です。起動に成功したら、ブラウザのURLに以下内容を入力してアクセスします。http://127.0.0.1:8528/以下の画面が表示されたら、設定は成功です。テストでは、環境を用意できたので、実際に色々試してみましょう!今回は、ブラウザ上からの操作でクロスサイトスクリプティングという脆弱性のテストを試してみます。以下の図は商品検索画面です。ここで「test」と入力します。すると、商品検索の結果と今入力したキーワードを表示する画面が出てきます。この「キーワードを表示する」処理は、前画面で入力したキーワードをそのまま出力するようになっています。そこで以下のようなキーワードを入力して検索を行ってみます。結果として攻撃者が入力したjavascriptが実行されてしまいます。今回はドメインが表示されています。今回はクロスサイトスクリプティングについて試してみましたが、このサイトには色々な脆弱性が含まれています。TOPページから「guidebook」のリンクにアクセスすると手がかりとなるPDFファイルが確認できます。その内容を頼りに、一つ一つ試していただけると幸いです。中には、ローカルプロキシの機能を利用して通信を変更しなければならないケースもありますので、その際は以下のリンクを参考に試してみてください。1.6編」https://www.securesky-tech.com/column/naruhodo/02.htmlまとめ今回、手軽にセキュリティリスクを学べるツールの導入とその確認テストまでを紹介しました。本記事を参考に「試しに環境を作ってみようかな」と思えていただければ幸いです。このツールを利用してセキュリティエンジニアがウェブセキュリティを解説するイベントも頻繁に開催されています。あたり以下の方に御礼を申し上げます。仮想化環境構築こんにちは、アプリケーション共同開発部のきつねです。参加してきました!インフラを担当している木村です。使う人たちがワクワク...2018-11-12Goのnet/httpクライアントで大量のリクエストを高速に行う方法こんにちは、門多です。Modules(vgo)環境で利用する3つの方...こんにちは、アプリ部の門多です。»このブログについてフェンリルのエンジニアが開発技術に関する様々なトピックをお送りします。(7)スターをつけました引用をストックしましたストック一覧を見る閉じる引用するにはまずログインしてくださいログイン閉じる引用をストックできませんでした。再度お試しください閉じる限定公開記事のため引用できません。