Burp_Suiteで学ぶ_はじめてのハッキング

Transcript

1. Burp Suiteで学ぶ はじめてのハッキング ~ レッドチーム的アプローチから学ぶ Webアプリの壊し方と守り方 ~ 2026/03/26 NE株式会社 セキュリティチーム 巻嶋雄大 テックリード室 櫻井思寧 © 2026 ne-inc
2. 前提 • 本資料はNE株式会社の社内勉強会で使用したものを、 外部公開用として再構成したものです。
3. 免責事項 • 本ワークショップでは一部に具体的な攻撃手法を含みます。 • 管理者の許可なく第三者のシステムに対して実施した場合、不正アク セス禁止法その他の法令に抵触する可能性があります。 • 本資料の利用により生じたいかなる損害についても、 NE株式会社は一切の責任を負いかねます。
4. 利用にあたって • 本資料のうちNE株式会社が著作権を有する部分については、学習・教育目的に限り 利用・改変が可能です。ただし、営利目的での利用はできません。また、NE株式会社 および第三者が権利を有するロゴ、商標、意匠等は対象外です。 • 本資料には第三者サービスのスクリーンショットおよび引用情報が含まれます。各権 利はそれぞれの権利者に帰属します。 • 本教材に登場するユーザー名、パスワード、日時、認証情報等はすべて学習用の模 擬環境における架空の情報です。
5. この会の目的 • 短期目的 ◦ 脆弱性に関する知識レベルを底上げし、日常実務で活かすこと ◦ インシデント発生時や脆弱性発見時の対応力強化 • 長期目的 ◦ セキュリティ意識の向上、リスクを未然に防ぐ文化の醸成 ◦ 最新の脆弱性動向のキャッチアップ ▪ CVE、OWASPのTOP10など
6. オープニング
7. 本日のアジェンダ (計90分) 1. Burp Suiteについて 2. 攻撃シナリオ①：4バイト文字による認証バイパス 3. 攻撃シナリオ②：brute force attack 4. 攻撃シナリオ③：IDOR 5. 攻撃シナリオ④：RCE(任意コード実行) 6. 脆弱性を発見するために
8. 今日は皆さんに 「悪い人」になってもらいます
9. セキュリティ対策には２つのアプローチがあります • レッドチーム ◦ 攻撃者視点で考える人 ◦ 実際に侵入できるか？を調査するセキュリティ部隊 • ブルーチーム ◦ 防御視点で考える人 ◦ どうやって守るか？を調査するセキュリティ部隊 セキュリティ対策のアプローチ
10. 攻撃方法を知らないと 守り方もわかりません
11. 今日は 「レッドチーム的アプローチ」と それに役立つツールを学びます
12. この勉強会では Burp Suite 　Community Edition を使います
13. 模擬環境で システムの穴を見つけるための 思考方法を学んでいきましょう
14. • Burp Suite Community Edition のインストール ◦ https://portswigger.net/burp/communitydownload • 模擬環境のcloneと、docker-compose up ◦ https://github.com/ne-develop/security_workshop ▪ 上記をcloneした後、docker-compose up -dを実行 事前準備
15. • このワークショップでは、 実際の攻撃者と同じ条件で挑戦してもらいます • 配布されたソースコードは、講義終了まで閲覧禁止です ◦ ソースコードをみると答えがわかってしまいます。 注意事項
16. Burp Suiteとは Burp Suite Community Editionの公式サイト（PortSwiggerより） https://portswigger.net/burp/communitydownload
17. • ペネトレーションテスト (侵入テスト) のためのツール ◦ PortSwiggerが提供 • Community Edition ◦ 無料版、機能制限あり • Professional Edition ◦ 有料版、豊富な機能追加 Burp Suiteとは
18. • まずは無料版を使ってみましょう ◦ 無料版でもコアな機能は使えます • 今回紹介する機能 ◦ Proxy ◦ Intruder ◦ Repeater Burp Suiteとは
19. まずはチュートリアル
20. 早速Burp Suite Community Editionを開いてください 早速使ってみよう
21. Next を押す
22. Start Burpを押す
23. Proxyを押す
24. Proxyとは • ブラウザとWebサーバーの間に入り、 HTTP通信を確認・編集できる仕組み • 簡単に入力改ざんできるのがBurp Suiteの強み
25. Open Browser を押します
26. 組み込みの “Chromium” というブラウザが開きます
27. http://localhost:8800 httpsだと繋がらないので注意
28. 新規登録 (サインアップ) を押します
29. お好きな内容で新規登録！ IDとパスワードをメモしておく
30. ログイン画面に戻ります 正しいログインIDと あえて間違ったパスワードで ログインしてください
31. 当然弾かれますね
32. 次は Burp Suite を使います
33. 再度正しいログインIDと あえて間違ったパスワードを入れる 「ログイン」を押さずに 次のページへ進んでください
34. ログインは押さないまま、Burp Suite を開きます
35. ログインは押さないまま、Burp Suite を開きます Intercept off をクリック Intercept on にする
36. この状態
37. Burp Suiteでinterceptになったら、 間違ったパスワードを入れたまま 「ログイン」を押す
38. 画面が読み込み中のまま止まっていれば成功！ ※ intercept：中断する、遮るという意味
39. Burp Suiteの画面に戻ると、 送信を保留されている リクエストが表示されます
40. RequestのPrettyタブを 一番下までスクロールします
41. 一番下に、入力した内容がありました！
42. 直接編集できるので 先ほど自分で設定した正しいパスワードに変更します。
43. Forwardを押すと リクエストが進む
44. ログインが成功 /todo にリダイレクトされた！
45. Interceptをoffに 戻しておきます
46. 画面上では正しくないパスワードを入れたのに、 Burp Suiteでリクエストを改変したことで ログインができてしまいました！
47. チュートリアルまとめ このように、 1. 通信と通信の間に入りこんで 2. リクエストを編集して 3. 送信する これがBurp Suiteの基本的な使い方です
48. 本日実験する 4つの攻撃 この Burp Suite を使って4つの攻撃を体験しましょう。 1. 4バイト文字による認証バイパス 2. brute force attack 3. IDOR 4. RCE(任意コード実行)
49. セキュリティの学習サイトなどでは、 ヒントなしで問題にチャレンジするのが一般的です。 今回の勉強会では攻撃の方法を全て説明します。 一緒に手元でやってみてください。 慣れてきたら、最後に紹介する学習サイトなどで、 ぜひヒントなしでもチャレンジしてみてみましょう！ セキュリティの学習方法について
50. 一般的に、ペネトレーションテスト界隈の問題集では 「侵入した証拠」となる文字列 (flag) を取得し、 それを提出することで、問題の正解・不正解を判定します。 それにならって、脆弱くんの中に flag を埋め込みました！ 「今日実験する4つの攻撃」にそれぞれ flagを設定し、 攻撃成功したら flag がわかるようにしています。 セキュリティの学習方法について
51. flag一覧 [flag1] adminユーザーが2026-02-21 09:58:07に作成したTODOのタイトルを取得せよ。 [flag2] yudaiのログインパスワードを特定せよ。 [flag3] 「保守担当 : A」が2026-02-25 15:12:03に作成したTODOのタイトルを取得せよ。 [flag4] DBのrootユーザーのパスワードを特定せよ。
52. flag一覧 [flag1] adminユーザーが2026-02-21 09:58:07に作成したTODOのタイトルを取得せよ。 [flag2] yudaiのログインパスワードを特定せよ。 [flag3] 「保守担当 : A」が2026-02-25 15:12:03に作成したTODOのタイトルを取得せよ。 [flag4] DBのrootユーザーのパスワードを特定せよ。 各攻撃ごとに、flagを回答できるタイミングになったらお知らせします！
53. 攻撃シナリオ 1 : 4バイト文字による認証バイパス (utf8mb3に起因するトランケーション問題 ) 参考文献：徳丸浩の日記 https://blog.tokumaru.org/2015/06/column-sql-truncation-vulnerability.html
54. 前提知識 MySQLのutf8は、 実はUTF-8の仕様を網羅しきれていません。 UTF-8のバイト数は可変長です。 文字によってバイト数が異なります。
55. 1バイト：a, b, c たとえば
56. 1バイト：a, b, c 2バイト：é, ¢, Ā たとえば
57. 1バイト：a, b, c 2バイト：é, ¢, Ā 3バイト：あ, 亜, 漢, 髙（※意外と「はしご髙」は3バイト） たとえば
58. 1バイト：a, b, c 2バイト：é, ¢, Ā 3バイト：あ, 亜, 漢, 髙（※意外と「はしご髙」は3バイト） 4バイト： たとえば 後からUTF-8に 足されたものは4バイト
59. よく使われる文字（全世界の頻出文字）は、 3バイトまでの少ない容量で扱える 　　　　　↕ 一方、あまり使わない文字でも、容量を多く使えば表現できる という優れた設計になっています。 UTF-8の仕様
60. MySQLの"utf8"は、実は"utf8mb3"のエイリアスです。 　　　　　　　　　　　　 ↓ MySQLの"utf8"は3バイトまで の文字に対応しています。 MySQLのutf8
61. MySQLの"utf8"は 歴史的経緯で残っている互換用の実装です。 (いわば「負の遺産」に近い存在) 新規で作るなら必ず"utf8mb4"にするべき です。 MySQLのutf8
62. 以上のことから、4バイトの文字も入れたい場合は、 "utf8mb4"にする必要があります。 4バイトの文字をutf8に無理やり入れようとすると どうなるでしょうか？ MySQLのutf8と脆弱性
63. 設定によって以下のどれかになります (STRICT MODE設定・MySQL接続時の設定) ① エラーになって保存できない ② NGな文字が見つかる手前まで切り詰めて保存される ③ ? に置き変わる MySQLのutf8と脆弱性
64. 設定によって以下のどれかになります (STRICT MODE設定・MySQL接続時の設定) ① エラーになって保存できない ② NGな文字が見つかる手前まで切り詰めて保存される ③ ? に置き変わる MySQLのutf8と脆弱性 もし②だった場合…？
65. 「週末限定❤タイムセール❤」という文字列は？ MySQLのutf8と脆弱性
66. 「週末限定❤タイムセール❤」という文字列は？ 　　　　　　　↓ 「週末限定」だけになってしまいます MySQLのutf8と脆弱性
67. この挙動、 一見不便なだけに見えますが ...
68. 重複判定 (ユニーク判定 ) がバグります
69. 重複判定がバグるということは？ セキュリティリスクは？
70. もしもユーザ登録なら ...？
71. $user_name = $_POST["user_name"]; if(isExists($user_name)) { return "すでに存在するユーザーです"; } $result = $this->register($user_name);
72. $user_name = $_POST["user_name"]; if(isExists($user_name)) { return "すでに存在するユーザーです"; } $result = $this->register($user_name); "admin😃"
73. $user_name = $_POST["user_name"]; if(isExists($user_name)) { return "すでに存在するユーザーです"; } $result = $this->register($user_name); "admin"は存在するが "admin😃"は存在しないので 存在判定をすり抜ける
74. $user_name = $_POST["user_name"]; if(isExists($user_name)) { return "すでに存在するユーザーです"; } $result = $this->register($user_name); "admin😃"を 登録しようとするが 切り落とされて "admin"になる
75. 悪意あるユーザーによる admin成りすましが可能
76. このようにPHPとMySQLとで判定が乖離するため、 重複判定がバグります。 そのため、utf8mb3 × 非STRICT MODEは最悪のコンボです💥 4バイト文字による認証バイパス
77. では、この脆弱性を利用して adminユーザーのアカウントを奪取してみましょう😏 Let's 攻撃！ 4バイト文字による認証バイパス
78. Burp Suiteの組み込みブラウザ Chromiumを使います 「脆弱くん」のTOPページを開きます http://localhost:8800
79. ログインID：admin パスワード：適当な値でOK 「ログイン」を押す
80. 当然弾かれますね
81. 「新規登録 (サインアップ) 」を押す
82. 実はこのアプリも utf8mb3が使われています。 しかも、usersテーブルの login_idには ユニークキー制約がありません！
84. idしかユニークキー制約がない
85. 1. admin (2つ目の😃アカウント) でログインして 2. admin (1つ目の真アカウント) のTODOリストを盗み見る ↓ 悪意あるユーザーに見られてはいけないものが見えてしまう！ 今回やりたいこと
86. そこで早速 "admin😃" という アカウントを作ろうとしますが...
87. 文字種のエラーで 登録ボタンが押せません
88. こちらのエラー判定を Burp SuiteのProxy機能を使って突破します ✊
89. しかし Burp SuiteのRequestに 絵文字を入れようとしても 文字化けしてうまく入りません
90. そこで実際に絵文字を入力されたとき Burp Suiteでどのように処理されるかを調べます
91. ⚠ 注意 ⚠ 絵文字には3バイトと4バイトが混在しています。 今回は4バイトの絵文字を使いたいので 「😃脆弱くん😃」 ←これを使ってください。 😃は4バイト絵文字です。
92. ここに4bytes文字の😃があるので、 ログインIDにコピペします
93. 脆弱くんがこの状態で、 Burp Suiteをinterceptする 「ログイン」を押す
94. 😃は %F0%9F%98%83 で表せることがわかりました！ Burp Suiteを見ると...
95. 新規登録画面に戻ります ログインID：admin intercept：オン の状態で「登録する」を押します
96. login_idを "admin%F0%9F%98%83" に変更してforwardします Burp Suiteの画面で、
97. ここで、いま登録した 新しいパスワード (偽パスワード) で ログインを押すと...
98. adminユーザーとしてログインできてしまいました！！
99. flag1が回答可能になりました。 [flag1] adminユーザーが2026-02-21 09:58:07に作成した TODOのタイトルを取得せよ。 ※ 回答は最終ページにあります
100. 意図的に攻撃しやすいように デモを作っただけでしょ〜？
101. ちがいます
102. 徳丸浩の日記 「Column SQL Truncation脆弱性にご用心」 より https://blog.tokumaru.org/2015/06/column-sql-truncation-vulnerability.html 4バイト文字による認証バイパスの危険性 一意制約はふつうあるだろと思われるでしょうが、 CMS四天王の中で一意制約がついているのはDrupalのみで、 WordPress、Joomla、MovableTypeには一意制約が ついていません。
103. とのことなので、古いWordPressのサイトなどでは、 今もこの攻撃が成立する可能性があります。 4バイト文字による認証バイパスの危険性
104. 4バイト文字による認証バイパス対策の一例 • utf8をutf8mb4に変更する • SQLモードをstrictモードにする [対策] どうしたらいいか
105. 攻撃シナリオ 2 : パスワード破り (brute force attack) 参考文献： OWASP TOP10:2025/A07:2025 Authentication Failures 　A07:2025 Authentication Failures CWE-521: Weak Password Requirements 　https://cwe.mitre.org/data/definitions/521.html 日経 X Tech: 危険なパスワードのランキングから分かる弱さの共通点、強固でも使い回しは避けよう 　https://xtech.nikkei.com/atcl/nxt/column/18/02676/120500016/
106. ブルートフォースアタックとは 考えられるパスワードを自動ツールで次々と送信し、 正しい組み合わせがヒットするまで、 総当たりで突破を試みる攻撃のことです。
107. 原始的には、 aaaaa → aaaab → aaaac → … のように全ての組み合わせを順番に試して、 総当りでパスワード探索します。 しかしこれでは効率が悪いです。 ブルートフォースアタックとは
108. たとえば、セキュリティの勉強をしていない人で 7!Kd6MmG のようなパスワードを選択する人は多くありません。 多くの人は、覚えやすい・短い・打ちやすい といった パスワードを好みます。 ブルートフォースアタックとは
109. そのため、誰もが無意識に選ぶパスワードには、 必然的に偏りが生じます。 つまり、ある程度パスワードを収集しておいて、 それを上から試していけば、そこそこの確率で通ることになります。 これが「パスワードリスト攻撃」です。 ブルートフォースアタックとは
110. また、言語に由来する部分もあります。 たとえば、日本語話者ならこういったものが想像できます。 ブルートフォースアタックとは
111. • 苗字+アカウントを作った年月 ◦ suzuki2026、tanaka25、kobayashi202603 など • 名前+誕生日 ◦ taro1225、hanako1010、jiro33 など • 苗字+覚えやすい数字 ◦ suzuki123、tanaka555、kobayashi5525 など • 人気なローマ字英語 ◦ sakura、tokyo、yokohama、pokemon、mario、onepiece など 日本語話者に多いパスワード
112. • 電話番号 ◦ 0311112222 など • 郵便番号 ◦ 2220000 など • 車のナンバー ◦ 1234、yokohama-1234 など → 秘密ではない、誰でも知り得る情報をパスワードにするパターン その他よくあるパスワード
113. 世界的によく使われるパスワードのコレクション 「SecLists」というのもあります。 ▼SecLists 10k-most-common.txt https://github.com/danielmiessler/SecLists/blob/ master/Passwords/Common-Credentials/10k-most-common.txt SecLists ※世界でよく使われるパスワードランキング TOP20 →
114. 今回は、SecListsの 10k-most-common.txt （世界中で最もよく使われるパスワード1万選）を使って、 パスワードリスト攻撃を体験してみましょう。 体験してみよう
115. 事前にcloneをお願いしていた security_workshop_2 ディレクトリから、 攻撃シナリオ2で使うデータ/SecLists-50-most-common.txt を使います。 本体は10000行ありますが、今回はお試しということで、 上から50個だけとってきたものを抜き出しています。 体験してみよう
116. 「脆弱くん」に戻ります。 yudai というログインIDのアカウントがあります。 パスワードを特定してみましょう 体験してみよう
117. そういえばadminのTODOに 「パスワードポリシー厳しくしたらクレームが来たので、緩める」 とありましたね！ どうやらこのシステムは 弱いパスワードを許しているようです。 総当たり攻撃の余地がありそうです。 試してみましょう💪 ヒント
118. ログインID：yudai パスワード： (なんでもOK) Burp Suiteでinterceptしてから 「ログイン」を押す
119. ②Send to Intruder をクリック ①対象プロセスを 右クリック
120. Intruderを クリック
121. さっき入力したパスワードが 書いてある箇所を探します 下の方にあります
122. 選択します
123. Add§を押します ※§はセクション記号です。 滅多に使わない文字を区切り記号にしてるだけで、記号自体に意味はありません。
124. この状態になっていればOK
125. Settingsを押します
126. Grep - Extract にある Add を押す
127. 同じように 入れます
128. Payloadsを選択 loadをクリック
129. SecLists-50-most-common.txt を選択
130. ズラリとパスワードが 入ればOK
131. Start attackを押す
132. Burp Suiteの有料版の 紹介が出るので OKを押す
133. 別ウィンドウ が開き、自動でログインを試行する様子が見えます
134. 「Location: 」はログインボタンを押した後の遷移先です
135. flag2が回答可能になりました。 [flag2] yudaiのログインパスワードを特定せよ。 ヒント：一つだけ違うLocationになっているはず、探してみましょう！ ※ 回答は最終ページにあります
136. 取得したパスワードで 本当にログインができるのか、 確認してみましょう
137. ブルートフォースアタック対策の一例 • 簡単すぎるパスワードを許可しない • 多要素認証 (MFA) を有効にする [対策] どうしたらいいか
138. 攻撃シナリオ 3 : 権限すり抜け (IDOR) 参考文献： OWASP TOP10:2025 / A01:2025 Broken Access Control: https://owasp.org/Top10/2025/A01_2025-Broken_Access_Control/
139. 先ほど奪取したパスワードで ログインしてみます
140. このアプリの開発者であるyudaiの TODOを見てみましょう 何かヒントがあるかもしれません👀
143. こういうクエリになっていそう🤔 と簡単に予測できる。 権限すり抜けが発生するロジック SELECT * FROM todos WHERE id = :id;
144. おそらくDBはこういう構造で 複数ユーザーのTODOが 同じテーブルに混在しているのでは？
145. WHEREがidだけで本当に大丈夫？？？ 権限すり抜けが発生するロジック SELECT * FROM todos WHERE id = :id;
146. 全然大丈夫じゃないです 🖐
147. 攻撃してみましょう
148. Burp SuiteのinterceptをONにしてから「詳細」ボタンを押します
149. 非同期通信が 途中で割り込まれるため、 中途半端に描画されます
150. "todo_id":7 というのを確認 ここが連番なことが予測できます Burp Suiteで "todo_id"を7から12に変更して forwardしてみましょう
151. なんと別ユーザーのTODOが表示できてしまいました！！
152. このように 本来アクセス権のない別ユーザのリソースに アクセスできてしまう脆弱性を IDOR (Insecure Direct Object Reference) と呼びます
153. そんなん知ってるよ！わかってるよ！ と思ったそこのあなた
154. IDORは身近な不具合ですが、発生すると重大なセキュリティ事故につなが ることがあります。 「IDOR」という言葉を知っているだけでも設計やレビュー時の気づきにつな がるので、ぜひ覚えておいてください。 IDORについて
155. ところで 櫻井さんの TODO LISTは これ一つではないはずです 😏
156. Proxyで1回1回止めても良いですが もっと効率よくテストできます やってみましょう！
157. もう一度Burp SUiteのinterceptで止めてから「詳細」ボタンを押します
158. Burp Suiteで プロセスを右クリック Send to Repeaterを押す
159. Repeater を押す
160. Requestの Prettyを押します
161. Burp Suiteで todo_idを12→14に変更しましょう
162. Sendを押します
163. 違う人のTODOが 見えてしまいました
164. Burp Suiteで todo_idを14→15に変更しましょう
165. Sendを押します
166. また違うTODOが 出てきました
167. Repeaterを使うと ちょっと変える→確認する、ちょっと変える→確認する が簡単に何度もできます。 Burp SuiteのRepeater機能
168. flag3が回答可能になりました。 [flag3] 「保守担当 : 櫻井」が2026-02-25 15:12:03に作成した TODOのタイトルを取得せよ。 ※ 回答は最終ページにあります
169. ここまで3種類の攻撃手法と 3つのツールの使い方を学んできました
170. では、Burp Suiteだけで すべての脆弱性を見つけることは できるでしょうか？
171. 残念ながらできません 󰢄
172. Burp Suiteが扱えるのは HTTP通信 (リクエスト/レスポンス) のみです。 Burp Suiteは強力なツールではありますが、 「何でも見つけられる銀の弾丸」ではありません。 Burp Suiteの領域
173. では最後に
174. Burp Suiteだけでは検出しきれない ロジックバグによる重大な脆弱性を実験して この勉強会を締めようと思います
175. 攻撃シナリオ 4 : RCE (任意コード実行 ) 参考文献： PortSwigger WEB Security - Academy Lab: Web shell upload via extension blacklist bypassを改編 https://portswigger.net/web-security/file-upload/lab-file-upload-web-shell-upload-via-extension-blacklist-bypass
176. 運用担当 櫻井さんのTODOに 「public/files/todosに変なphpファイルあったけど削除した」 とありましたね 脆弱性に関係あるのでしょうか？
177. 画像を添付して、TODOを新規作成してみましょう ※容量が大きいとアップロードに失敗します。 ちょうどいい画像を持っていない方は、攻撃シナリオ4で使うデータ/cat.png を使ってください。
178. 無事アップロードできました！
179. 「開く」を押すと、大きく表示されます。 この時、アップロードしたファイル名がそのまま維持されている ことに気付きましたか？
180. Apacheは、拡張子がpngなので、 pngとして画像を表示しています。
181. もしここに、ファイル名が.phpで終わるPHPのスクリプトを アップロードしたらどうなるでしょうか？
182. たとえば 環境変数には DBのパスワードが 入っているのでは ...？
183. flag4が回答可能になりました。 [flag4] DBのrootユーザーのパスワードを特定せよ ※ 回答は最終ページにあります
184. • ヒント1 ◦ todo_id = 15 の投稿を見てみる • ヒント2 ◦ <?php var_dump(getenv()); ?>をtest.phpとして保存し、 アップロードしてから「開く」を押す • ヒント3 ◦ rootユーザーのパスワードのキーは「DB_ROOT_PASSWORD」 flag4のヒント
185. 環境変数が表示されましたか？ flag4 は DB_ROOT_PASSWORD でしたね
186. ちなみに、 PHPが実行できる ＝ サーバーが完全に乗っ取られている ことを意味します
187. 配布したファイルの 攻撃シナリオ 4で使うデータ /kiken.php に 先ほどの環境変数奪取で見つけた ID・パスワード・ DB名を埋めると ...？
188. DBの中身が見えてしまいましたね。 当然、クエリの内容を書き換えれば、 UPDATEもDROPもできますし、 PHPでexecを使えば rm -rf / などもできます。 SSH鍵を書き換えることもできるかもしれません。
189. • Apacheが動いている箇所に、静的ファイルを置かない • ファイル名をそのまま使わない • アップロードされた画像は、png→pngのように再変換することで、無害化 してから配置する [対策] どうしたらいいか
190. 以上でペンテスト課題は終わりです おつかれさまでした！
191. 最後に : 脆弱性の気付き方講座
192. まず大前提、自分が守るべきシステムの仕様は、 できるだけ細かいところまで把握しておいてください。 脆弱性を学んでいると、 「これ、うちのシステムだとあの機能に当てはまるんじゃないか？」 と思い当たる瞬間が必ずあります。 守るべきシステムと脆弱性を知る
193. 以前私がとあるシステムの脆弱性を指摘できた きっかけは、OWASP Top 10を学んだことでした。 OWASP TOP10に載っていた「避けるべき仕様」と 自分がよく仕様を知っていたシステムが一致していたことで、 点と点が線になって繋がった瞬間でした。 守るべきシステムと脆弱性を知る
194. 脆弱性を知っていたことと、 システムの仕様を具体的に覚えていたこと。 この2つが繋がったことで、 「これは脆弱性なのでは？」と気づくことができました。 守るべきシステムと脆弱性を知る
195. だから、 • 脆弱性の知識のインプット • システムの仕様を具体的に覚えていること この両方を大切にしましょう。 これらが揃って初めて、自然と脆弱性に気付けるようになります。 守るべきシステムと脆弱性を知る
196. 補足
197. 今回はチュートリアルとして全て説明してしまいましたが、 Burp Suiteの開発元のPortSwiggerに、 WebSecurity Academyという無料の教材がたくさんあります。 https://portswigger.net/web-security/certification/how-to-prepare ちなみにシナリオ4は下記の改編問題です。 実は原作はもう一ひねり必要です。ぜひやってみてください。 https://portswigger.net/web-security/file-upload/lab-file-upload-web-shell- upload-via-extension-blacklist-bypass もっと深く学びたい方
198. また、BSCPというペネトレーションテストの資格もあります。 脆弱なWebアプリケーションが用意されており、 実際に攻撃を行いながら、脆弱性を見つけ出す実践形式の試験です。 Burp Suiteを用いた手動テストのスキルが問われるため、 実務に直結した内容になっています。 Academyをある程度こなした後、こちらもご検討ください💁 もっと深く学びたい方
199. Burp Suiteをfirefoxと統合して使うと、翻訳機能が使えたり、 firefoxの拡張機能が使えたりして便利です。 ▼設定方法はこちら https://portswigger.net/burp/documentation/desktop/external-browser-co nfig/browser-config-firefox Burp Suiteをfirefoxと統合して使う
200. あとがき
201. 4つのワークショップ おつかれさまでした！
202. あとがき 社内でこの勉強会を実施した際は、 • 意外と簡単に侵入できてしまって驚いた • もっと専門知識がいるのかと思っていた • ペンテストの面白さを感じられた といった感想をいただきました。
203. あとがき ややセンシティブな内容ではありますが、 環境が違っても同様に学びになるものと思い、 本資料を公開するに至りました。 今回の勉強会の内容をきっかけに、セキュリティの面白さを知り、 みなさんのシステムを守る一助になれば嬉しく思います。
204. あとがき 最後になりますが、本資料で学んだ知識は悪用せず、 ご自身のサービスやコンテンツを守るためにご活用ください。 最後までお読みいただき、ありがとうございました。
205. 改めての注意事項 今回のワークショップは、 レッドチーム的アプローチとして、具体的な攻撃手法の紹介を含みます。 管理者の許可なく第三者のシステムに対して実施した場合、 不正アクセス禁止法その他の法令に抵触する可能性があります。 絶対に実施しないでください。
206. flagの回答
207. flagの回答 • flag1 ◦ パスワードポリシー厳しくしたらクレームが来たので、緩める • flag2 ◦ sunshine • flag3 ◦ public/files/todosに変なphpファイルあったけど削除した（誰かテスト した？） • flag4 ◦ xQ3GL4A+9d+z4kUBJQxLDcEih65BuBJyGaXB+ZMj1wA=