技術ブログスマートフォン用の表示で見るまったり技術ブログ主にWebエンジニア向けのセキュリティ情報。はじめに先日、PHP-FPMにRCEの脆弱性(CVE-2019-11043)があることが公表されました。脆弱性の詳細について本記事で説明しません。脆弱性を含んでいるバーションや攻撃が可能となる条件等は下のリンクの記事を参照して下さい。WAFのルールの作成方法を紹介します。「PHPのアップデート」や「Nginxの設定変更」で対応できますが、それが行えない環境下での対応手段の1つだと思っています。WAF以外の製品にも適用できるとも考えています。することは少なく、あまり身近ではないかなと感じています。いうことで今回は本脆弱性がどういったものなのかを簡単に手元で試すことができるLaravelを用いて説明します。PHPオブジェクトインジェクションを試すことになります。はじめに前回のブログ更新から1ヶ月以上経ち、たまには更新をしないといけないと思ったので最近私が作成したサイトを簡単に紹介することにします。いうことで挙動がおかしい部分がありますが、興味のある方は是非さわってみてください。honypot.motikan2010.comどのようなサイト?ハニーポットという名が入っていることからもわかる通り、ハニーポットに関係しているサイトです。このサイトには私が運用している複数のハニーポットのアクセスログが保存されており、誰でもそのログを閲覧することができます。ちなみに今は4台のハニーポットからログを収集しています。Cloud」を利用しています。その意図としては、クラウドサービスごとに攻撃の種類が異なるのかを観測したかったというのがあります。(実際は軽く確認した感じ、差異はありませんでした・・・)「オープンハニーポット」では、それらのハニーポットで収集されたアクセスログの詳細や時間別のアクセス数などを確認することができます。Shepherd」はWebセキュリティを学ぶことができるアプリケーションです。Webフレームワークを用いた場合にでも発生する可能性が高い脆弱性(リクエストパラメータの改ざん等)が取り上げられており、そのような脆弱性に対して実際に攻撃する経験をすることができます。Webフレームワークを用いての開発が主流となっている昨今でも非常に有意義な学習用ツールだと思っています。普段開発で用いらないローカルプロキシを使い始めるきっかけにもよいかと。スコアに反映」といった感じです。構築も簡単であり、競技形式で学習ができるのが素晴らしい点だと思っています。Serverの脆弱性が見つかりました。injection)」攻撃が可能ということで少し調べてみました。Pocも存在しており、実際にその検証している様子もありますので、Jiraサイトをパブリックに公開している運用している場合には、バージョンの確認・設定の確認を1度してみた方が良いでしょう。週間)Webエンジニアです。セキュリティ記事まとめ作ったWebサービスセキュリティニュースを5分間隔で収集します。reserved.スターをつけました引用をストックしましたストック一覧を見る閉じる引用するにはまずログインしてくださいログイン閉じる引用をストックできませんでした。再度お試しください閉じる限定公開記事のため引用できません。