OWASP JUICE SHOPで始める脆弱性(診断)/ Learn vulnerabilities at OWASP JUICE SHOP

OWASP JUICE SHOPで学ぶ脆弱性（診断）えるもあ

お前だれよなまえ : えるもあしごと : よくわからない何かねんれい : 26歳
ついったー : @elmore_mk2 2

今日はなすこと 3 脆弱性（Web） OWASP JUICE SHOP

1. 脆弱性(Web) コンピュータのOSやソフトウェアにおいて、プログラムの不具合や設計上のミスが原因となって発生した情報セキュリティ上の欠陥のこと出典:http://www.soumu.go.jp/main_sosiki/joho_tsusin/security/basic/risk/11.html 4

Webにはどんな脆弱性が潜んでいる？ ◈ SQLインジェクション ◈ クロスサイトスクリプティング ◆ XSS ◈ クロスサイトリクエストフォージェリ ◆
CSRF 「IPAのウェブ健康診断仕様」には他に10項目記載されている 5

2. OWASP The Open Web Application Security Project Webセキュリティなどをよりセキュアにするために情報共有などをするコミュニティ 6

OWASPってなに？ ◈ 世界規模 ◈ OWASP Top 10 ◈ Mobile、IoTのプロジェクトもある ◈
OWASP Japan、Kansai etc. 7

OWASP Top 10を見てみよう 8 出典:https://www.owasp.org/index.php/Category:OWASP_Top_Ten_Project

3. JUICE SHOP OWASP Projectの１つ OWASP Top 10をほぼ網羅した脆弱性のあるアプリケーション 9

OWASP JUICE SHOPを始めよう ◈ CTF形式やチャレンジ形式で脆弱性を学べる ◈ SPA ◆ 既存のvictimアプリはサーバーレンダリン
グがほとんど ◈ インストールも簡単(Dockerなら3分未満) 10

OWASP JUICE SHOPの構成 11

SQLインジェクションを見つけよう ◈ そもそもSQLインジェクションって ◆ アプリが想定してないSQL文を発行させる 12 For Example user_id
= "hoge" # ユーザからの入力値 sql = "select * from users where user_id = '" + user_id + "'" SPAなのにSQLインジェクションの話なのは許してヒヤシンス

SQLインジェクションを見つけよう 13

SQLインジェクションを見つけよう 14 商品検索できる ->DBからデータ引っ張ってきてる？？

SQLインジェクションを見つけよう 15 「apple'」で検索 ->構文が崩れるか確認

SQLインジェクションを見つけよう 16 何も表示されない。。。

SQLインジェクションを見つけよう 17 ◈ どんなHTTPレスポンスが返ってきたのか確認したい ◆ ローカルプロキシを使おう！ ◆ 今回はBurp Proxy

SQLインジェクションを見つけよう 18 ◈ 実際に見てみる

SQLインジェクションを見つけよう 19 なんかエラーとおいしそうな情報が "message": "SQLITE_ERROR: near \"'%'\": syntax error" "sql":
"SELECT * FROM Products WHERE ((name LIKE '%apple'%' OR description LIKE '%apple'%') AND deletedAt IS NULL) ORDER BY name" SQLインジェクションの脆弱性がありそう

SQLインジェクションを見つけよう 20 ◈ 文字列結合してみる通常検索時と同じ結果に -> SQLインジェクション脆弱性あり！

SQLインジェクションしてみよう 21 ◈ ちょっと悪いことを考える ◆ 他のテーブルからデータを取りたい ◆ 使ってるDBはSQLite ◇ SQLiteはsqlite_masterテーブルから
テーブル構造を取得してみる

SQLインジェクションしてみよう 22 HTTPレスポンスに取得データが返ってくるので、 UNIONでテーブル同士をくっつける sqlite_masterからデータの取得を試みる

SQLインジェクションしてみよう 23 juice')) union select NULL, sql,NULL,NULL, NULL,NULL,NULL,NULL from sqlite_master;
-- カラム数を合わせる必要があるので、NULLで調整 sqlite_masterからデータを取得する

SQLインジェクションしてみよう 24

SQLインジェクションをしてみよう 25 BasketItemsテーブルの構造が取れたユーザー情報持ってそうなテーブルを探してみる juice')) union select NULL, sql,NULL,NULL, NULL,NULL,NULL,NULL
from sqlite_master LIMIT 1 OFFSET 10; -- OFFSETでとってくるデータを調整

SQLインジェクションをしてみよう 26 Usersテーブルの構造が取れた

SQLインジェクションをしてみよう 27 取れた構造をもとにユーザー一覧を取得

SQLインジェクションをしてみよう 28 ユーザのリスティングができた！

SQLインジェクションをしてみよう 29 ユーザのリスティングができた！

SQLインジェクションをしてみよう 30 パスワードはハッシュ化されているが、、、

SQLインジェクションをしてみよう 31 世の中には単純なハッシュ値を検索できるさいとがあるので、、、

SQLインジェクションをしてみよう 32 取得できた情報をもとにログインしてみる

SQLインジェクションをしてみよう 33 ログインできた！！

SQLインジェクションをしてみよう 34 他人の認証情報を窃取できた！

注意 35 自身が管理しているもの、許可があるもの以外にはやってはいけないよ！！！

ほかのVictimアプリ ◈ OWASP WebGoat ◈ OWASP NodeGoat ◈ OWASP Broken
Web Application etc. 36

おわり

OWASP JUICE SHOPで始める脆弱性(診断)/ Learn vulnerabilit...

OWASP JUICE SHOPで始める脆弱性(診断)/ Learn vulnerabilities at OWASP JUICE SHOP

More Decks by elmore

Other Decks in Programming

Featured

Transcript