OwaspZap

@madamadaikeru22 Kobe Vulnerability Assessment

注意事項

絶対に、自分の管理下にないホストには脆弱性検査を実行してはいけません。 www www www

桝谷昌史（ますたにまさふみ）神戸デジタル・ラボセキュリティソリューション事業部 Masafumi Masutani @madamadaikeru22

1.セキュリティ診断 ▪セキュリティの意義 ▪セキュリティ診断の種別 ▪セキュリティ診断の利用 2.Webアプリケーション ▪基礎知識 ▪脆弱性 3.診断ツール ▪OWASP ZAP
▪機能 4.診断作業（ハンズオン）

1.セキュリティ診断 ▪セキュリティの意義 ▪セキュリティ診断の種別 ▪セキュリティ診断の利用

意義

セキュリティの意義・安全なWebサイト運用・セキュリティコストの低減・インシデント発生の最小化

種別

セキュリティ診断の種別・ホワイトボックス診断・ブラックボックス診断

セキュリティ診断の種別・ツール診断・マニュアル診断

セキュリティ診断の種別・Webアプリケーション診断・データベース診断・プラットフォーム診断・無線LAN診断・スマートフォンアプリケーション診断・組み込み機器診断

利用

セキュリティ診断の利用・製品のリリース前・定期診断・基準に準拠

2.Webアプリケーション ▪基礎知識 ▪脆弱性

基礎知識

HTTP Request

クライアント（Webブラウザ）からWebサーバへ送信する際に送られる通信 HTTPと呼ばれるプロトコルを使用する

HTTPリクエストは３つに分けることができる。リクエストラインメッセージヘッダメッセージボディ GET / HTTP/1.1 メソッドリクエストURL プロトコルバージョン

（補足）URLエンコード HTTPリクエストは日本語などのマルチバイト文字には対応していないそのため文字列を変換して送信する →URLエンコードと呼ぶ %E7%A5%9E%E6%88%B8 神戸「%」を使用してエンコードしているのが特徴

脆弱性

XSSとはクロス・サイト・スクリプティング（XSS）とは、利用者がWeb サイトにアクセスした際に、意図しない不正なJavaスクリプトコードなどを実行されてしまう脆弱性である。

XSSの原理 • 攻撃対象（被害となる）サイト例 <html> <head> <title> 僕のサイトです </title> </head> <body>
</body> </html> ユーザの値を動的に表示するユーザ/攻撃者場合によっては XSSの脆弱性がある場合も

• 攻撃事例 <script>alert(1);</script> をパラメータに入れて送信してみる攻撃者 XSS脆弱性があるサイト攻撃者が入力した alert 関数が実行された場合、攻撃者が任意の
JavaScript を実行できる可能性がある alert関数が実行された例（表示は環境によって若干変わります）

任意のJavaScriptが実行されると以下のような攻撃事例が考えられる • 設定によっては Cookie が分かりログイン情報が窃取される可能性がある • 攻撃者のサイトに誘導され、誘導先で第二の攻撃が行われる可能性がある • 悪意のあるスクリプトによりブラウザが攻撃される可能性がある •
マルウェア配布サイトとして利用されてしまうなど

XSSの対策 <script>alert(1);</script> <script>alert(1); </script> ブラウザでは変換され、 <script>alert(1);</script> と表示される XSSの対策特殊文字をHTMLエンティティに変換する

XSSの対策特殊文字をHTMLエンティティに変換する対策が推奨される文字列変換前変換後 & & " "
' ' あるいは ' < < > > （補足）

（補足） XSSの対策特殊文字をHTMLエンティティに変換する（例）PHPの関数 htmlspecialchars($text, ENT_QUOTES, “UTF-8”); 変換対象となる文字列扱う文字列の文字コード（指定することを推奨）
変換オプションこの場合はシングルクオートも変換対象となる（推奨）

SQLインジェクション

SQLインジェクションが発生すると • こうなってしまうかも攻撃者アプリ Aの情報をください + Aさんの情報を送ります細工したパラメータついでに会員情報ぜんぶください
+ 細工したパラメータ個人情報の漏えいなど重大な被害に発展する場合が多い

SQLインジェクションの原理 SELECT *FROM users WHERE mail = ‘user1@example.co.jp‘ SELECT *FROM
users WHERE mail = ‘user1@example.co.jp‘ or 1 = ‘1‘ user1@example.co.jpと入力する user1@example.co.jp‘ or 1 = ‘1’と入力する SQLの内容が変わってしまう

SQLインジェクションの原理 SELECT *FROM users WHERE mail = ‘user1@example.co.jp ‘ and
pass = ‘password’ SELECT *FROM users WHERE mail = ‘user1@example.co.jp‘ or ‘1’ = ‘1’ – ‘ and pass = ‘password’ ログイン画面パスワードをしらなくてもログインが可能になる →レコードが返ってきたらログインOKというシステムだとログインできる

3.診断ツール ▪OWASP ZAP ▪機能

ZAP OWASP（Open Web Application Security Project）が開発した無料のペネトレーションテストツールオープンソースライセンスとして配布されている国内でもユーザグループがあり、活発な議論が行われている

（補足）OWASPとは OWASP – Open Web Application Security Project • Webセキュリティを取り巻く問題を解決するための国際的なコミュニティ
• 企業や国境の壁はもちろんのこと、あらゆる専門知識と経験を持ったスペシャリスト、またユーザのコラボレーションにより、自由に参加できる開放された活動を展開 OWASP Foundation • 2001年から活動開始アメリカ政府認定NPO • 200以上の拠点に支部

（補足） OWASP が提供しているものとして • OWASP TOP 10 3年に一度、Webアプリケーションの注意すべき脆弱性と対策をまとめて公表 •
OWASP ZAP オープンソースの脆弱性診断ツール • その他多数の成果物ソフトウェア - オープンソースドキュメント - CC BY SA

ブラウザサーバリクエストレスポンスブラウザサーバリクエストレスポンスプロキシ改変した
リクエストレスポンス通常の挙動 ZAPを使用する場合プロキシ機能によってリクエストを改変し脆弱性を確認するブラウザの通常操作では出来ないリクエストを試行できる

機能

・スパイダー機能・動的スキャン機能・プロキシ機能・ディレクトリ探査機能・アラート機能・レポート機能・アドオン機能・スキャンポリシー機能・証明書機能・強制ブラウズ機能
・スクリプト機能・ブレークポイント機能・静的スキャン機能・Fuzzer機能

4.診断作業（ハンズオン）

注意事項

絶対に、自分の管理下にないホストには脆弱性検査を実行してはいけません。 www www www

ZAPの「クイックスタート機能」は使用しないでください。

プロテクトモード（推奨）スコープ内のURLに対してのみ危険な操作を実行できますプロテクトモードに切り替えてください。

ZAPで並列スキャンはかけないでください。

課題

架空の通販サイト「野球キングダム」からセキュリティ診断の依頼を受けました。このサイトは以下の脆弱性があるようです・XSS ・SQLインジェクション・その他設定の不備など実際に診断をして、簡単に報告をして頂きます報告書として必要なもの • 脅威度、問題点レベル
• 発生箇所 • 問題点（発生頻度・検証コード・発生条件など） • リスク（脆弱性により発生しうる脅威） • 対策方法

インストールできてますか？ OWASP ZAP (最新版は2.7.0) JAVA 8 ブラウザ（推奨：Firefox）（推奨：アドオン foxyproxy）

検証Webサイトへアクセス 1 2 3 4 5 6 7 8 9
10 11 12 13 14 15 16 17 18 19 20 ▪IPアドレス No1～ No4 13.230.237.145 No5～ No8 13.230.244.154 No9～ No12 13.231.3.217 No13～ No16 13.113.197.121 No17～ No20 13.113.172.7

検証Webサイトへアクセス ▪hostsの登録 (当日発表IPアドレス) user(席番).kobe-training.ninja ▪URL http:// user(席番).kobe-training.ninja/ ▪診断用会員情報 ※追加で新規登録は出来ません ID
PASS suzuki@example.com suzuki tanaka@example.com tanaka

デフォルト画面

Tree window ・site tab Information window ・history tab ・Alerts tab
・Active Scan tab etc... Workspace window ・Request tab ・Response tab ・Break tab

設定

ローカルプロキシ

ブラウザのプロキシ

スキャンモード ▪セーフモード危険な操作が許可されていません ▪プロテクトモード（推奨）スコープ内のURLに対してのみ危険な操作を実行できます ▪標準モード（デフォルト）何でもできる ▪攻撃モードスコープ内の対象へ、検出してすぐにスキャンを実行する

スキャンスレッド

Global Exclude URL

プロキシ

リクエストの改ざん

コンテキスト・スコープ

（参考）Structure

動的スキャン

動的スキャン開始

Scan Progress Dialog

検証

アラートタブ

レポート生成

ZAPリンク集

▪Zap core help https://github.com/zaproxy/zap-core-help ▪ OWASP ZAP ハンズオン https://speakerdeck.com/ykame/owasp-zap-hands-on-in-osaka-2015-02-10 ▪開発者・運用者にむけたOWASP
ZAPで脆弱性診断 https://speakerdeck.com/owaspjapan/owt2017jp-owaspzap ▪ ZAP on Docker http://tech.withsin.net/2017/09/08/owasp-zap-docker/ ▪亀田さん（ZAPエバンジェリスト）スライド集 https://www.owasp.org/index.php/User:Yuho_Kameda ▪「ええんやで（^^）」サイト https://securitymemo.blogspot.jp/2014/11/owasp-zap-owasp-zap.html

実際の診断業務

報告速報実施事前確認見積もり

まとめ

関西に脆弱性診断（それ以外も）の勉強会がなさすぎる！関西をもっと盛り上げるためにも、どんどんつながっていきましょう！

ご清聴ありがとうございました。 ▪神戸脆弱性診断の会フェイスブックグループ https://www.facebook.com/groups/1407869585989208/ Slackグループ（） https://kobevat.slack.com

OwaspZap

OwaspZap

More Decks by MarkUP

Featured

Transcript