LINE2019.08.05前回、前々回からかなり時間が空いてしまいましたね。最近以下の勉強会でmetasploitのLTをやった来たこともあり、今回この内容で記事にしていきます。勉強会(発表・LT大歓迎)なお、悪用等した場合等は法的に処罰される可能性がありますので、自分の管理下以外のマシンには実施しないでください。前回から結構間が空いてしまったので、環境が少し変わりました。具体的にはIPアドレスが変更になっています。KaliLinux:192.168.70.130Metasploitable:192.168.70.131操作はKaliLinux(192.168.70.130)に対して、SSHで接続して行っています。対象に疎通できるか確認します。ms問題なさそうですね。前回のnmapの結果を参考に実際にmetasploitを使用して「シェルを取る」ということをやってきます。msfconsole上記コマンドを入力すると以下のようにmetasploitが起動します。前回色々なポートが開いていましたね。その中で分かり易い21番ポートに対して実際に攻撃してみましょう。前回nmapで以下のような結果が出てきました。Executionこれはバックドアを開けて実際に侵入できるヤバイ脆弱性が使用できそうです。Automatic対象のポート(RPORTのところ)は「21」番が指定されているのでそのままで問題ないですが、対象のIPアドレス(RHOSTのところ)が空になっていますので、こちらを設定します。+0900あれ?っと思いますが、これで侵入は完了です。GNU/Linuxと出力されました。metasploitable」と出力されているので侵入できたと分ると思います。GNU/Linuxまた「whoami」と入力すると「root」と表示されます。「root」ユーザで侵入できていますので、このIPアドレスは思いのままですね!この他のポートでも同じように侵入できるものもありますので、皆様も是非遊んでみてください。最後に結構時間が空いてしまいましたが、記事にすることができました。侵入できる問題はあんまりないなーと思っている方もいらっしゃるかもしれませんが、意外とオンサイトで検査をしていると見つかることもあります。使用していない又は管理が不十分(誰が管理しているか不明)なサーバは要注意です。一つのサーバを踏み台にして、他のサーバへアクセスできる場合もありますし、同じパスワードを使用していて一つで漏洩した情報を用いて他サーバへログイン出来てしまうこともあります。一つのサーバに対して複数の業者が関係しているところは要注意です。実は誰も管理していないポートがあり、アップデートがされておらず、大きな脆弱性がそのままになっているかもしれません。今一度サーバの状態を確認してみてはいかがでしょうか?不明点や要望やこういったこともやって欲しいとの要望があれば、お問い合わせページやコメント、ツイッターからでも結構ですので、気軽にご連絡ください。使いこなしたい人は以下の書籍もありますので、手に取ってみてください。7そろそろこのサイトにも新しい機能を実装したいなと思いお問い合わせフォームを実装しようと思います。今までなかったの?と言われると言葉に詰まってしまいますが、そこら辺は流してもらえると助かります。結論から話すとOSコマンドの実行が行われていたからです。2018.06.19セキュリティお勧めウイルス対策ソフト年に数回外部でセキュリティの研修を仕事でやっていますが、そこでお勧めの「ウイルス対策ソフト」は何ですかという質問が上がります。仕事上では中立の立場でいたいので、無料版ではなく製品版のやつを使用していただければという当たり障りのない答えをしているのですが、本当はオススメしたいものがあります。2018.11.08セキュリティWindowsでハッシを使ってみよう今回はハッシュについて、Windowsで使用していこうと思います。このところ、世間を騒がせているパスワードハッシュがありますが、まずはハッシュというものがどういったものか知ることがいいかなと思っています。前回このブログのSSL化を行いました。全てのページおいてHTTPでのアクセスはHTTPSにリダイレクトされるようになったかと思います。不具合等があれば教えて頂けると助かります。2019.01.13セキュリティパスワードのハッシュについて前回に引き続き、今回もパスワードのハッシュについて記事にしていきます。コメントをキャンセルメールアドレスが公開されることはありません。コメント名前メールアドレスサイト上に表示された文字を入力してください。29tokoroten0813猫が大好きなセキュリティエンジニアです。この業界に入って8年目になりました。妻と子供が二人います。秋葉原でやっているセキュリティの勉強会に毎月参加していますので、興味がある方はご連絡ください。猫の話やセキュリティに関わる話、IT業界、育児等特にこだわりを持たずに記事にしていく予定です。現在前職を退職し、絶賛個人で活動中です。セキュリティ関連で困ったことがあれば気軽に相談いただければ喜びます。Controls7ISMS3ニュース19資格10勉強会44家庭・育児20息抜き11猫20運動4。