Upgrade to Pro — share decks privately, control downloads, hide ads and more …
Sign up for free

はじめまして，Webセキュリティ！ / Welcome to the Web security...

Sponsored · SiteGround - Reliable hosting with speed, security, and support you can count on. →
Avatar for hsm_hx hsm_hx
April 20, 2019
Programming
210
1

はじめまして，Webセキュリティ！ / Welcome to the Web security world!

2019/04/20 ITエンジニアぴよぴよ会＠やまぐち　にて登壇したスライドです。

Avatar for hsm_hx

hsm_hx

April 20, 2019

More Decks by hsm_hx

See All by hsm_hx
エンジニアにありがちな自己満足UI（笑） / How to make iikanji UI design?
Avatar for hsm_hx hsm_hx
0
480
エンジニアの必需品 Gitを学ぼう！ / Lets use Git for engineering!
Avatar for hsm_hx hsm_hx
0
250
2019年度部活動説明会 / CombIntro2019
Avatar for hsm_hx hsm_hx
0
260
進捗を支える文房具 / stationary which support progress
Avatar for hsm_hx hsm_hx
3
480
世界征服が夢の高専生が部活を征服する話 / I wanna dominate this world
Avatar for hsm_hx hsm_hx
1
1.6k
技術同人誌を書いてみた話 / Let's write your tech-book
Avatar for hsm_hx hsm_hx
0
850
1on1自己紹介/1on1-self-introduction
Avatar for hsm_hx hsm_hx
0
2.4k
2018-09-22 逆求人フェスティバル / Reversed job-offer-festival
Avatar for hsm_hx hsm_hx
0
4.2k
めかぶと納豆でしゅうまいを作った話 / Make Shumai from MeCab and Natto
Avatar for hsm_hx hsm_hx
0
700

Other Decks in Programming

See All in Programming
Vue Fes Japan 2026 タイムテーブル徹底解説
Avatar for 448jp | OKI Yoshiya 448jp
0
120
How I Stole PSI from Android Studio - DroidKaigi2026
Avatar for JunRong Tan worker8
0
120
AIは賢い。でも実行環境は？ CLIおじさんがAI時代に伝えたいこと ~ CLIおじさんがAI時代に伝えたいこと ~
Avatar for curekoshimizu curekoshimizu
1
240
【DroidKaigi 2026】「アクセシビリティを利用するとき、 アクセシビリティもまたこちらを利用している」 〜マルウェアによる攻撃と防衛について〜
Avatar for HalunoYo. halunoyo
0
460
Webの地図
Avatar for Yosuke Furukawa yosuke_furukawa
PRO
6
4.5k
Claude Codeを組織的に動かして月400PRを実現した話
Avatar for happy_ryo happy_ryo
0
270
速く作れる。その次は、速く確かめられる開発へ 〜AIネイティブ開発を支える、Shift Down〜 / Can build fast. Next, moving to development where we can verify fast.
Avatar for r-kagaya rkaga
2
1.7k
マイコン向けの軽量Ruby「PicoRuby」で各種デバイスを制御するネイティブアプリの実現手法
Avatar for bash0C7 bash0c7
0
390
世界の中心で、AI（App Intents）をさけぶ ー App Intents中心設計の実践ガイド
Avatar for touyou touyou
0
560
巨大モノリシックアプリ モダン化大作戦
Avatar for Ryomm ktcryomm
0
1k
Starting & Sustaining Code-Based E2E Testing for Non-Coding QA Teams( #jasstniigata )
Avatar for teyamagu teyamagu
PRO
1
140
型解析で実現する Go の言語内 DSL / Conference に Go! タイムテーブルの歩き方 for Gophers
Avatar for mazrean mazrean
0
150

Featured

See All Featured
Exploring the Power of Turbo Streams & Action Cable | RailsConf2023
Avatar for Kevin Liebholz kevinliebholz
37
6.6k
Google's AI Overviews - The New Search
Avatar for Barry Adams badams
0
1.6k
A brief & incomplete history of 
UX Design for the World Wide Web: 1989–2019
Avatar for Jason CranfordTeague jct
2
510
How People are Using Generative and Agentic AI to Supercharge Their Products, Projects, Services and Value Streams Today
Avatar for Helen Beal helenjbeal
1
320
[Rails World 2023 - Day 1 Closing Keynote] - The Magic of Rails
Avatar for Eileen M. Uchitelle eileencodes
38
3k
The SEO Collaboration Effect
Avatar for Kristina Bergwall kristinabergwall1
1
560
Marketing to machines
Avatar for Jono Alderson jonoalderson
1
5.8k
Information Architects: The Missing Link in Design Systems
Avatar for Michelle Chin soysaucechin
1
1.1k
How to Align SEO within the Product Triangle To Get 
Buy-In & Support - #RIMC
Avatar for Aleyda Solis aleyda
2
1.8k
The Pragmatic Product Professional
Avatar for Laura Van Doore lauravandoore
37
7.4k
[RailsConf 2023 Opening Keynote] The Magic of Rails
Avatar for Eileen M. Uchitelle eileencodes
31
10k
16th Malabo Montpellier Forum Presentation
Avatar for AKADEMIYA2063 akademiya2063
PRO
0
380

Transcript

  1. PIYOPIYO@YAMAGUCHI Welcome to the Web security world! はじめまして， Webセキュリティ！ うべこうせん

    はすみ(@hsm_hx)

  2. 今日お話すること セキュリティって何？ どうやって攻撃するの？ どうやって守るの？

  3. セキュリティって何？ WHAT IS CYBER SECURITY?

  4. セキュリティとは？ セキュリティ（英: security）は、人、住居、地域社会、国家、 組織、資産などを対象とした、害からの保護。 一般には保安の ことであり、犯罪や事故などを防止するための警備全般を指す。 出典 : セキュリティ -

    Wikipedia

  5. セキュリティとは？ 要するに，(情報技術を扱う上では) サイバー犯罪に遭わないための対策

  6. サイバー犯罪とは？ ソフトウェアやサービスの脆弱性を狙った攻撃

  7. サイバー犯罪とは？ ソフトウェアやサービスの脆弱性を狙った不正攻撃 SNSのアカウントの乗っ取り フリーソフトにウイルスを仕込む ゲームを改造する(チート) Webサイトの情報を抜き取る

  8. サイバー犯罪とは？ ソフトウェアやサービスの脆弱性を狙った不正攻撃 SNSのアカウントの乗っ取り フリーソフトにウイルスを仕込む ゲームを改造する(チート) Webサイトの情報を抜き取る Webセキュリティの領域

  9. どうやって攻撃するの？ HOW TO EXPLOIT WEB APPLICATION?

  10. どうやって攻撃するの？ Webアプリケーションの構成 Web アプリケーション データベース

  11. どうやって攻撃するの？ Webアプリケーションの構成 Web アプリケーション データベース

  12. どうやって攻撃するの？ Webアプリケーションの構成 Web アプリケーション データベース

  13. どうやって攻撃するの？ サーバーへのリモートアクセス ssh mysql -h パスワードを総当たりで攻撃し， 無理やり遠隔でサーバーの管理権限を乗っ取る

  14. どうやって攻撃するの？ Webアプリケーションの構成 Web アプリケーション データベース

  15. どうやって攻撃するの？ Webアプリケーションの脆弱性を利用 クロスサイトスクリプティング(XSS) SQLインジェクション OSコマンドインジェクション ディレクトリトラバーサル

  16. どうやって攻撃するの？ 投稿フォームやHTTPリクエストに細工することで 任意のコマンドやプログラムを実行できてしまう →実質的なサーバーの管理権限の奪取

  17. どうやって守るの？ CAN I PROTECT MY APPLICATION FROM INSIDENTS ?

  18. どうやって守るの？ サーバーへのリモートアクセス ssh mysql -h パスワードを総当たりで攻撃し， 無理やり遠隔でサーバーの管理権限を乗っ取る

  19. どうやって守るの？ サーバーへのリモートアクセス ssh mysql -h リモートアクセスできない設定にする 認証方式を変える(パスワードだと総当たりされやすい！)

  20. どうやって守るの？ Webアプリケーションの脆弱性を利用 クロスサイトスクリプティング(XSS) SQLインジェクション OSコマンドインジェクション ディレクトリトラバーサル

  21. どうやって守るの？ Webアプリケーションの脆弱性を利用 脆弱性を塞ぐ(!!!)

  22. どうやって守るの？ Webアプリケーションの脆弱性を利用 脆弱性を塞ぐ(!!!) <script>の"<"をエスケープする(文字として扱う) 適切なライブラリや言語機能を使う 使うツール群を最新のものに保つ

  23. どうやって守るの？ どのような場合でも，Webサーバのログは監視する ↑ 実際に攻撃を受けているログ

  24. どうやって守るの？ 一番大事なのは 攻撃手段を知ること

  25. どうやって守るの？ 一番大事なのは 攻撃手段を知ること Capture the Flag(CTF)の大会 SECCON for Beginners セキュリティ・ミニキャンプ

  26. 安全で楽しい開発ライフを Good Noods Cafe • 2020

  27. 宣伝 Good Noods Cafe • 2020 ITエンジニアぴよぴよ会@やまぐち その2 いつ：5月25日(土) 13:00～

    どこ：宇部新川駅から徒歩5分　うべスタートアップ なに：みんなで集まって情報交換をしながら作業 　　　(もくもく会) だれ：山口県やその周辺に住む人　初心者メイン ただ作業するだけでも他の人の作業風景を見ることで 普段とは違う経験が得られたりもします　ぜひ来てください ぴよぴよ会　やまぐち