Upgrade to Pro
— share decks privately, control downloads, hide ads and more …
Speaker Deck
Features
Speaker Deck
PRO
Sign in
Sign up for free
Search
Search
20150530 セキュリティ実践講座 -優しい愛をあなたに-
Search
Masaru Ogura
May 30, 2015
Technology
0
24
20150530 セキュリティ実践講座 -優しい愛をあなたに-
2015/5/30のエフスタ!!AIZUの資料です。
Masaru Ogura
May 30, 2015
Tweet
Share
More Decks by Masaru Ogura
See All by Masaru Ogura
20241218 私の気になる VPC 周りのアップデート
masaruogura
0
43
20240530 Backlogでスクラムを回してみよう
masaruogura
0
280
20240516 JAWS-UG 朝会 運営の裏側
masaruogura
1
190
20240509 CloudWatch でいろいろなものを監視してみよう
masaruogura
1
230
20240329 第34回 JAWS-UG札幌勉強会 オープニング
masaruogura
0
27
20240216 Amazon Linux 2 を 2023 に移行してみた
masaruogura
1
5.8k
20240202 第33回 JAWS-UG札幌勉強会 オープニング
masaruogura
0
23
20231215 第32回 JAWS-UG札幌勉強会 オープニング
masaruogura
0
19
20230928 第31回 JAWS-UG札幌勉強会 オープニング
masaruogura
0
18
Other Decks in Technology
See All in Technology
RayでPHPのデバッグをちょっと快適にする
muno92
PRO
0
190
OPENLOGI Company Profile for engineer
hr01
1
20k
システム・ML活用を広げるdbtのデータモデリング / Expanding System & ML Use with dbt Modeling
i125
1
320
ExaDB-XSで利用されているExadata Exascaleについて
oracle4engineer
PRO
3
260
クラウド関連のインシデントケースを収集して見えてきたもの
lhazy
8
1.1k
Snowflakeの開発・運用コストをApache Icebergで効率化しよう!~機能と活用例のご紹介~
sagara
1
460
アジャイルな開発チームでテスト戦略の話は誰がする? / Who Talks About Test Strategy?
ak1210
1
590
生成AI×財務経理:PoCで挑むSlack AI Bot開発と現場巻き込みのリアル
pohdccoe
1
730
php-conference-nagoya-2025
fuwasegu
0
150
LINEギフトにおけるバックエンド開発
lycorptech_jp
PRO
0
280
OPENLOGI Company Profile
hr01
0
60k
Apache Iceberg Case Study in LY Corporation
lycorptech_jp
PRO
0
320
Featured
See All Featured
Code Reviewing Like a Champion
maltzj
521
39k
Music & Morning Musume
bryan
46
6.4k
Statistics for Hackers
jakevdp
797
220k
Unsuck your backbone
ammeep
669
57k
Six Lessons from altMBA
skipperchong
27
3.6k
Designing for Performance
lara
604
68k
A Tale of Four Properties
chriscoyier
158
23k
Exploring the Power of Turbo Streams & Action Cable | RailsConf2023
kevinliebholz
30
4.6k
Into the Great Unknown - MozCon
thekraken
35
1.6k
How GitHub (no longer) Works
holman
314
140k
Being A Developer After 40
akosma
89
590k
ReactJS: Keep Simple. Everything can be a component!
pedronauck
666
120k
Transcript
セキュリティ実践講座 -優しい愛をあなたに- 2015/5/30 Sat エフスタ!!AIZU
自己紹介 • 名前 :小倉 大 (おぐら まさる) • Twitter :@MasaruOgura
• 北海道出身 • ネットワークエンジニア • エフスタ!!TOKYOのスタッフ • SPREAD情報セキュリティマイスター • スイーツ大好き
アジェンダ • 目的 • 留意事項 • SQLインジェクションとは • デモ環境説明 •
デモ・解説 • 対策 • まとめ
目的 • SQLインジェクションを知る - 防御のために攻撃を理解する • セキュリティへの関心を高める - 家のローカル環境で試してくれる人がいるといいな
留意事項 • インターネット上のWebサーバに攻撃し てはいけません - 法的措置をとられる可能性があります • 私はネットワークエンジニアです
SQLインジェクションとは ※SQLインジェクション - Wikipedia http://ja.wikipedia.org/wiki/SQL%E3%82%A4%E3%83%B3%E3%82%B8%E3%82%A7%E3%82 %AF%E3%82%B7%E3%83%A7%E3%83%B3 SQLインジェクションとは、アプリケーションのセキュリ ティ上の不備を意図的に利用し、アプリケーションが想定 しないSQL文を実行させることにより、データベースシス テムを不正に操作する攻撃方法のこと。また、その攻撃を
可能とする脆弱性のこと。 悪意のある攻撃者 Webサーバ データベース 不正なリクエスト 処理結果を取得 不正なリクエスト 不正なリクエスト を処理
デモ環境説明 (1/2) デモにBadStore.netを利用します。 BadStore.net は、脆弱性をわざと作りこん である Linuxです。 ※2015/5/6に正規のサイトにアクセスしたのですが、接続できなかっ たので、もしかしたら提供が終了しているかもしれません。
Windows7上のVMWarePlayerで、 BadStore.netを起動し、HostOSから GuestOSに対してSQLインジェクションを 実施 デモ環境説明 (2/2) 192.168.177.0/24 .254 .128 GuestOS(BadStore.net)
HostOS(Windows7)
デモ・解説 (1/6) 事前に以下のユーザを作成済み Email Address : phenix Password : phenix
デモ・解説 (2/6) phenixユーザでログイン Email Address : phenix Password : phenix
- SQL文のイメージ select * from <Table名> where email= ‘phenix’ and passwd=‘phenix’;
デモ・解説 (3/6) Email Passwd Age Address satoshi konkatsu 35 Tokyo
phenix phenix 41 koriyama kageyama gesui 36 moriya dj kato 30 Aizu hayash sportsbar 30 Koriyama : データベース例
デモ・解説 (4/6) phenixユーザがいることを知っている場合 Email Address : phenix ‘ or ‘
1=1’ --‘ Password : なし - SQL文のイメージ select * from <Table名> where email= ‘phenix ‘ or ‘ 1=1’ --‘’ and passwd=‘’;
デモ・解説 (5/6) ユーザ情報を知らない場合 Email Address : ' or 1=1 or
' Password : なし - SQL文のイメージ select * from <Table名> where email= ‘’ or 1=1 or ‘’ and passwd=‘’;
デモ・解説 (6/6) おまけ Admin権限のユーザ作成 Email Address : test Password :
test Burp Suiteを経由して、リクエスト内容を 変更する ※ Badstore.net User Manual http://www.cs.umd.edu/class/fall2012/cmsc498L/materials/BadStore_net_v1_2_Manual.pdf
対策 (1/4) 脆弱性検査ツールを利用 ※ IPAテクニカルウォッチ 「ウェブサイトにおける脆弱性検査手法の紹介(ウェブアプリケーション検査編)」 https://www.ipa.go.jp/files/000035859.pdf
対策 (2/4) OWASP ZAP使用例
対策 (3/4) Webサイトの管理者は、既知の脆弱性について対 策を実施しましょう Webサイトを公開する前にすること 1. 脆弱性検査ツールで脆弱性の有無を確認 2. 結果の内容を確認 3.
脆弱性がある場合、脆弱性対策を実施 4. もう一度、脆弱性検査ツールで修正を確認 ※4で脆弱性を検知する場合は、2~4を繰り返す
対策 (4/4) ユーザ側でできること ・ウイルス対策ソフトを導入し、定義ファイルを 最新に保つ ・OSやアプリケーションにセキュリティパッチを 適用する ・パスワードの使いまわしをしない
まとめ ・脆弱性があればSQLインジェクションなどの攻 撃は簡単にできる ・脆弱性の知識がなくても、ツールを利用するこ とで、既知の脆弱性の有無を確認できる ・脆弱性対策を実施し、セキュリティリスクを低 減する
ご清聴ありがとうございました
Appendix 参考資料 「わざと脆弱性を持たせたWebアプリ」で練習を http://www.atmarkit.co.jp/fsecurity/column/ueno/59.html 警察庁 サイバー犯罪対策 不正アクセス行為の禁止等に関する法律の解説 https://www.npa.go.jp/cyber/legislation/pdf/1_kaisetsu.pdf IPA 知っていますか?脆弱性
- 1. SQLインジェクション http://www.ipa.go.jp/security/vuln/vuln_contents/sql.html IPA 安全なウェブサイトの作り方 http://www.ipa.go.jp/security/vuln/websecurity.html
Appendix 参考資料 IPA SQLインジェクション対策について http://www.ipa.go.jp/files/000024396.pdf Badstore.net User Manual http://www.cs.umd.edu/class/fall2012/cmsc498L/materials/BadStore_net_ v1_2_Manual.pdf