簡単な検証をしてみる10時に来た新人(仮)です...!ここ2日ほど社会人インターンとしてシステムガーディアンさんにお邪魔させていただいています。今日の業務の結果を記事にするよう依頼されたので、簡単にまとめてみました。CMS)を適用しました。効果はいかほどなものか、簡単な攻撃をしながら検証していきたいと思います。実際の構築までの流れはぐちゃぐちゃすぎてとても載せられないです。攻撃の前に利用したWordPressのバージョンは5.2.2です。新しいバージョンなので致命的な脆弱性はまだ見つかっていません。そのため、簡単なSQLインジェクションXSS過去のwordpressのに存在した脆弱性の3つの観点からチェックをしていきます。CMS向けのWAFとのことなので、脆弱性に関してのフィルタリングルールが多そうなイメージがありますね。Forbiddenと大きな文字が出てくるため、WAFによる保護の有無がアクセス時にわかりやすいです。なり、アクセス先のコンテンツが格納されているサーバーではなく、AWSのロードバランサからきちんとレスポンスが返されます。それでは、はりきって攻撃していきましょう!1SQLインジェクションプレースホルダを使っていない場合に攻撃が通る、ありがちな攻撃文を準備しました。1=1--これをIDとパスワード双方につけ、/wp-login.phpに投げつけてみます。結果は...通りませんでした...普通に貫通しました。イマドキのCMSにそんなものが通用するわけがない、とトレンドマイクロに嘲笑われている気分です。くやしいので、次はXSSの攻撃に移ります。XSSを狙っていきます。攻撃文は非常に単純な<script>alert(1)</script>を使用します。コメントをPOSTしたらWAFの逆鱗に触れそうな気がします。結果は...通りませんでした...まさかのこれも貫通です。レスポンスがステータスコード200で帰ってきて、さらに攻撃文が浄化されているところにに悲しみを感じました。このあたりで本当にWAFが機能してるのか?って焦りながらAWSの設定を何度も確認することとなりました。4.7/4.7.1のコンテンツインジェクションで話題になった脆弱性を用い、検証していきます。脆弱性に関しての詳しい言及は避けますが、Sucuriのウェブサイトがよく解説してくれています。今回用いているWordPressのバージョンは異なりますが、うまくいけば、WAFのフィルタに引っ掛かり、ステータスコード403を返してくれるかもしれません。APIの脆弱性ということでcurlでトライします。Forbiddenと表示される形になっていますね!ちなみに、WAFを外すとしっかりELBではなく、WordPress側からレスポンスを返してくれます。CMS向けのWAFは脆弱性管理に最適化されているということでしょうか。ネタとして面白そうなので今後個人的に追ってみたいと思います。おわりにほどよい温度感で業務を体験させていただくことができました。業務であまり触れないAWSに関しても久々に触れられて楽しかったです。システムガーディアンさんではインフラエンジニアを募集中とのことです。皆様もぜひ訪問されてみてください。WordPressこの記事を書いた人:新人(仮)新人(仮)です。社会人インターンとして、2日間ほどシステムガーディアンさんのところでお世話になっています。普段はネットワークの面倒を見たり、アジャイル開発のプロダクトオーナーをしながら筋トレに精を入れています。ProBook6560b468ビューWindows10で文字入力の変換が遅いならチェックを。440ビューSIMフリー端末購入してauに持ち込み機種変更した件システムガーディアン株式会社サイト内に掲載されている文章、及び、画像・写真については著作権等を含むものがあります。ご利用及び引用等不明な場合はお手数ですがお問い合せください。