LINE2018.07.03前回SQLインジェクション(SQLi)が存在するコンテンツに対して、sqlmapを使用し、実際にデータベースから情報を取得するところを確認いただいけたかと思います。SQLiは昨今良く発生するクレジットカードの情報漏洩事故や個人情報漏洩事故の主な原因として使用される脆弱性の一つです。Question.SQLインジェクションってまだあるの?Answer.まだあります!私が今の仕事(脆弱性診断)をして8年目になりますが、毎月のように見かける脆弱性です。それだけ世の中にまだまだセキュリティ対策をするという考え方が浸透されていないのだと思います。実際にどうすればいいのかわからないのだと私は考えています。DSS」という単語を知っている人はごく一部だと思います。DSS」については、いつか解説したいと思います。DSS」に準拠する必要や、その審査を受ける必要はありませんが、一度基準を見て、自分の持ち物(サーバ等)へのベストプラクティスを検討する必要があるかと思います。DSS」の基準の中にログやトランザクションのチェックという内容があります。簡単に言うとちゃんとログはチェックしようね!という内容です。今回のSQLiのログはどうなっているか見てみましょう。以下のように見えました。Linux)からのアクセスです。実際に前回のような環境でsqlmapを流したことがある方はわかると思いますが、ツールが実行されていた時間はほんの数十秒です。その数十秒でどれくらいアクセス回数があったのか確認してみます。物凄い頻度でアクセスしているかわかると思います。アクセスしているURLもすべて同じURLになるため、ECサイト等であれば、数あるコンテンツの中で、同じURLに対して、短い時間に同じIPアドレスからアクセスが頻発するので、攻撃の挙動を気付ける可能性が高いです。GETパラメータに対しての攻撃であれば、アクセスログに記録されるので、さらに気付く可能性は上がります。今回はDB名までしか取得しませんでしたが、さらにテーブル、カラムと取得する情報が増えていきますので、それに比例してアクセス回数も大幅に増えていきます。攻撃の挙動を検知してすぐに対応できれば、被害を抑制または制限できる可能性もあります。サイトを管理(特に個人情報や決済をするサイトは)する上でログの監視が重要です。ログ監視ツール等でもいいですが、サイトの管理者はある程度は有名どころの脆弱性があった際に、攻撃はどのようにして行われるかは把握しておいても損はないでしょう。SQLインジェクションであれば一回だけではなく、大量にアクセスすることは必須なので、そういった挙動から、把握できるかもしれませんね!いきなり数多くある脆弱性に対応するのは難しいと思いますので、まずはよくある攻撃であるSQLインジェクションの挙動を理解しておくことをオススメします。その際は実際に手を動かして、検証環境等を構築することでさらに良く把握できると思います。今回の内容については以下の勉強会で話をした内容です。勉強会(発表・LT大歓迎)7月も発表を予定していますので、興味がある方は是非足を運んでみてください。質問や不明点等あれば、コメントやツイッター等でご連絡頂ければ幸いです。前回の以下の勉強会で発表してきた「公開されているバックドアを使ってみた」について解説していきます。昨今の状況を鑑みて、バックドアのURL等は伏せさせていだたきます。2018.12.11セキュリティtreeコマンドで定期的なファイルのチェックをする今回は少しだけ技術的な話題について記事にしてきます。個人的な見解ですが、自社や自分の管理するWebアプリケーションの管理する方法として中々良いものではないかと考えていますので、興味がある方は読んで行って貰えると嬉しいです。2019.04.10セキュリティWindowsを便利にしよう2:perlを使えるようにしようWindowsを便利にする企画第二回として、Windowsでperlを使用できるようにします。perl?と思う方もいるかと多いと思いますが、セキュリティのツールとしてperlで動くものもまだあります。そのため、そのツールをWindowsで使用するための準備を行います。本日(2018/11/12)に前回の徳丸日記のCSRF初級編の回答が出ていたので、このブログでも解説します。続いて、中級の問題も出ていましたが、この記事では初級編の解答のみの解説となります。内容について誤り等があれば優しく教えてくれると助かります。前回に引き続きPGPの記事を記載します。今回は実際に検証環境でPGPを試していきます。概要を知っていても、実際に手を動かさないと分からないことも多くあります。皆さんも是非とも手を動かして検証してみてくださいね。2018.10.07セキュリティHydraを使ってみた前の勉強会の記事からすこし空いてしまいました。前の記事でお伝えした通り、今回は「Hydra」についてです。勉強会よりはもう少し使い方に片寄ったものになっているかと思いますので、その際にお聞きになった方や使い方が気になる方は見て行っていただければと思います。コメントをキャンセルメールアドレスが公開されることはありません。コメント名前メールアドレスサイト上に表示された文字を入力してください。29tokoroten0813猫が大好きなセキュリティエンジニアです。この業界に入って8年目になりました。妻と子供が二人います。秋葉原でやっているセキュリティの勉強会に毎月参加していますので、興味がある方はご連絡ください。猫の話やセキュリティに関わる話、IT業界、育児等特にこだわりを持たずに記事にしていく予定です。現在前職を退職し、絶賛個人で活動中です。セキュリティ関連で困ったことがあれば気軽に相談いただければ喜びます。Controls7ISMS3ニュース19資格10勉強会44家庭・育児20息抜き11猫20運動4。