サイバー捜査員研修（前半）

千葉県警様のサイバー捜査員研修で使用した資料です

Transcript

1. 千葉県警察様 2026/8/3 13:15-14:35 野溝のみぞう @nomizooone
2. 自己紹介 合同会社SecuLeap 代表 野溝のみぞう CISSP/情報処理安全確保支援士 第027975号 趣味でセキュリティをやっている者です。 デザイナー・プリセールス・サービスマネージャー・エンジニア・ マーケティング・カスタマーサクセス……など、数々のIT系職種を 転々としていたある日、 所属していた会社が 情報漏洩事件の被害に遭いセキュリティを本業 にするようになりました。 2
3. 去年、上梓した本 7日間でハッキングをはじめる本 TryHackMeを使って身体で覚える攻撃手法と脆弱性 ITエンジニア本大賞2025 大賞&審査員特別賞 W受賞 サイバーセキュリティアワード 書籍部門 優秀賞 3
4. 今日の進め方 Slidoを使って質問やコメントをリアルタイムで受け付けます ←お手持ちのスマホで 当日のみ 読み取ってください 読み取れない人は slidoで検索⇒アクセスコード：XXXXXX インターネットに公開されていますので 機微情報の書き込みはお控えください 4
5. 前半で話したいこと 仮説 「守るだけ」だと対策が後手になりがちかも？ “おれたちの仕事は本質的にはいつも手おくれなんだ。” 攻撃者の思考で狙われやすいポイントを知る 「自分が関わる◦◦だったらどうだろう？」 考えるヒントをお持ち帰りください！ 5
6. 前半のお品書き デモンストレーション中心の進行 項目 テーマ 時間（目安） Introduction 導入 Chapter.1 ハッカー視点ってなんだろう？ 20分 Chapter.2 ハッカー視点で見てみよう 10分 Case.1 偵察活動 15分 Case.2 辞書攻撃 15分 Case.3 脆弱性をついた攻撃 10分 10分 ←イマココ 合計 80分 6
7. Chapter.1 ハッカー視点って なんだろう？ 7
8. 脆弱性の悪用までの日数マイナスになった今日この頃 Zero Day Clock（Time to Exploitの時間を可視化しているサイト） 2022年 8.6カ月 2025年 21日半 2026年 -13時間 引用：https://zerodayclock.com/ (2026/8/2) ※ただしデータに入るのは主に悪用が確認されたもののみのため、特に2026年 の情報はTTEが短く見えることに留意が必要 8
9. どこが狙われるのか？ いろいろあるけど要するに ①弱いところ ②公開されているところ ③ひとと関わるところ 9
10. ①弱いところの例（1/2） 脆弱性が放置されているところ 放置されたソフトウェア（気が付いたらEOLに…） 脆弱性診断したけど対応しきれてない（忙しくて…） うっかり設定ミス（何故か開いてるポート、権限設定の不備） 10
11. ①弱いところの例（2/2） 人間の心 単純なパスワードつけちゃう（一時的に…テストだから…） フィッシング（リテラシーが低い人がひっかかると思ってません？） 内部不正（誰しも闇を抱えることはある） 11
12. ②公開されているところの例 公開サーバ把握の難しさ テスト環境とかステージング環境とかは？ 開発が主管じゃないところは？（コーポレートサイトなど） サーバ以外にもVPN機器とかない？ 棚卸ししてる？ ASM（Attack Surface Management） 12
13. インターネット上に公開されている資産を調べる方法 OSINT（Open Source Intelligence） 一般に公開されている情報（オープンソースデータ）を収集・分析して知見を得る手法 検索エンジン パッシブスキャン（検索） 検索エンジンが収集したデータを調べる アクティブスキャン 直接対象となる資産を調べる 本来はASM用のツール（多分）……だけど？ 13
14. 検索エンジンの例（Shodan） ウェブサーバーだけでなくオフィス機器や情報家電、信号機や発電所の制御機器なども含めて、 インターネット接続されている機器、約5億台分の情報をデータベースに格納している。 利用者はその機器の情報を検索できる。 URL:https://www.shodan.io/ 14
15. ③ひとと関わるところの例 2022年10月 大阪急性期・総合医療センターの事例 • ランサムウェアによって電子カルテシステムに障 害が発生 • 委託していた給食提供サービスの事業者である生 長会のデータセンター内サーバーを通じて侵入さ れた可能性がある • 基幹システムの一つである電子カルテシステムと、 給食などのシステムに接続するために使うパス ワードが同じだった。 自分だけでは済まないこともある 引用： https://www.gh.opho.jp/pdf/report_v01.pdf https://www.yomiuri.co.jp/national/20230329-OYT1T50114/ 15
16. Chapter.2 ハッカー視点で 見てみよう 16
17. ハッキングのすすめかた NIST SP 800–115 アメリカ国立標準技術研究所のセキュリティテストに関する資料 Discovery（情報収集）して Attack（攻撃）をする 意外と情報収集の方が大事 情報収集が8割（※諸説あり） 引用：https://nvlpubs.nist.gov/nistpubs/Legacy/SP/nistspecialpublication800-115.pdf 17
18. 他にもあるサイバー攻撃のプロセス サイバーキルチェーンとMITRE ATT&CK® 引用：https://www.microsoft.com/ja-jp/security/business/security-101/what-is-cyber-kill-chain https://attack.mitre.org/ 18
19. デモシナリオロードマップ（全体） Case.1 1 偵察活動 Case.2 4 辞書攻撃 Case.3 脆弱性を ついた攻撃 7 ターゲットサイトの 選定・調査（OSINT） ユーザーの列挙 脆弱性の調査 2 5 8 ポートスキャン パスワード辞書の 調査 Webshellの設置 3 6 9 WordPressの 調査 辞書攻撃 DB情報の窃取 WEBサイト改ざん 19
20. しかし、本当に攻撃してしまうと困ったことになります 日本国内においては法律に抵触する可能性があります • 不正アクセス禁止法（通称）違反 • ウイルス作成罪（通称） • 電子計算機損壊等業務妨害罪 などなど 20
21. 大事な注意事項 特別に許可を得た環境 自分が全責任を持って管理している環境 ・・ 以外には絶対やってはいけません 21
22. なので今回はこうします Case.1 1 偵察活動 Case.2 4 辞書攻撃 Case.3 脆弱性を ついた攻撃 7 検索のみ ターゲットサイトの 選定・調査（OSINT） ユーザーの列挙 脆弱性の調査 テスト環境で実験 2 5 8 ポートスキャン パスワード辞書の 調査 Webshellの設置 3 6 9 WordPressの 調査 辞書攻撃 DB情報の窃取 WEBサイト改ざん 22
23. Demonstration やっていきます 画面きりかえます 23
24. Case.1 偵察活動 24
25. デモシナリオロードマップ（全体） Case.1 1 偵察活動 Case.2 4 辞書攻撃 Case.3 脆弱性を ついた攻撃 7 ターゲットサイトの 選定・調査（OSINT） ユーザーの列挙 脆弱性の調査 2 5 8 ポートスキャン パスワード辞書の 調査 Webshellの設置 3 6 9 WordPressの 調査 辞書攻撃 DB情報の窃取 WEBサイト改ざん 25
26. 検索エンジンの例（Shodan）（再掲） ウェブサーバーだけでなくオフィス機器や情報家電、信号機や発電所の制御機器なども含めて、 インターネット接続されている機器、約5億台分の情報をデータベースに格納している。 利用者はその機器の情報を検索できる。 URL:https://www.shodan.io/ 26
27. デモシナリオロードマップ（全体） Case.1 1 偵察活動 Case.2 4 辞書攻撃 Case.3 脆弱性を ついた攻撃 7 ターゲットサイトの 選定・調査（OSINT） ユーザーの列挙 脆弱性の調査 2 5 8 ポートスキャン パスワード辞書の 調査 Webshellの設置 3 6 9 WordPressの 調査 辞書攻撃 DB情報の窃取 WEBサイト改ざん 27
28. デモシナリオロードマップ（全体） Case.1 1 偵察活動 Case.2 4 辞書攻撃 Case.3 脆弱性を ついた攻撃 7 ターゲットサイトの 選定・調査（OSINT） ユーザーの列挙 脆弱性の調査 2 5 8 ポートスキャン パスワード辞書の 調査 Webshellの設置 3 6 9 WordPressの 調査 辞書攻撃 DB情報の窃取 WEBサイト改ざん 28
29. WordPress基礎知識 重要なファイルやディレクトリ（デフォルト設定） /var/www/html インストールディレクトリ（一例） /wp-admin 管理者ログイン画面（wp-login.phpにリダイレクト） /wp-content/uploads /wp-config.php アップロードしたデータの保存領域 DBなどの設定情報が書かれているファイル 29
30. これまでの情報収集でわかったことまとめ • WordPressのバージョンは6.9.0 ⇒wp2shellの脆弱性がある • MySQLのポート（3306/tcp）が空いてる • WordPressのプラグインが古い（royal-elementor-addons 1.3.78） ⇒実は任意のファイルをアップロードできる脆弱性がある • WordPressのデータベースは ユーザー名「db_user」、パスワード「db_password」 30
31. Case.2 辞書攻撃 31
32. このシナリオでわかること たとえばセキュリティ研修でよく言われるこれ パスワードは長く複雑にして使いまわしをして はいけません なんでいけないの？という疑問に答えます 32 32
33. デモシナリオロードマップ（全体） Case.1 1 偵察活動 Case.2 4 辞書攻撃 Case.3 脆弱性を ついた攻撃 7 ターゲットサイトの 選定・調査（OSINT） ユーザーの列挙 脆弱性の調査 2 5 8 ポートスキャン パスワード辞書の 調査 Webshellの設置 3 6 9 WordPressの 調査 辞書攻撃 DB情報の窃取 WEBサイト改ざん 33
34. 辞書攻撃 ふつうにテキストファイル（辞書）の 上から順番にログイン試行していく いろんな辞書があります 良くあるパスワードトップ100～ 日本人の名前っぽいもの とあるサイトで漏えいしたもの 好みで使い分けます 引用：７日間でハッキングをはじめる本 77ページ 34
35. デモシナリオロードマップ（全体） Case.1 1 偵察活動 Case.2 4 辞書攻撃 Case.3 脆弱性を ついた攻撃 7 ターゲットサイトの 選定・調査（OSINT） ユーザーの列挙 脆弱性の調査 2 5 8 ポートスキャン パスワード辞書の 調査 Webshellの設置 3 6 9 WordPressの 調査 辞書攻撃 DB情報の窃取 WEBサイト改ざん 35
36. デモシナリオロードマップ（全体） Case.1 1 偵察活動 Case.2 4 辞書攻撃 Case.3 脆弱性を ついた攻撃 7 ターゲットサイトの 選定・調査（OSINT） ユーザーの列挙 脆弱性の調査 2 5 8 ポートスキャン パスワード辞書の 調査 Webshellの設置 3 6 9 WordPressの 調査 辞書攻撃 DB情報の窃取 WEBサイト改ざん 36
37. Case.3 脆弱性を ついた攻撃 37
38. このシナリオでわかること たとえばセキュリティ研修でよく言われるこれ ソフトウェアは最新バージョンを使いましょう 逆に使わないとどういうことが起こるの？という疑問に答えます （※絶対起こるというわけではないですが可能性があるという話です） 38 38
39. デモシナリオロードマップ（全体） Case.1 1 偵察活動 Case.2 4 辞書攻撃 Case.3 脆弱性を ついた攻撃 7 ターゲットサイトの 選定・調査（OSINT） ユーザーの列挙 脆弱性の調査 2 5 8 ポートスキャン パスワード辞書の 調査 Webshellの設置 3 6 9 WordPressの 調査 辞書攻撃 DB情報の窃取 WEBサイト改ざん 39
40. これまでの情報収集でわかったことまとめ（再掲） • WordPressのバージョンは6.9.0 ⇒wp2shellの脆弱性がある • MySQLのポート（3306/tcp）が空いてる • WordPressのプラグインが古い（royal-elementor-addons 1.3.78） ⇒実は任意のファイルをアップロードできる脆弱性がある • WordPressのデータベースは ユーザー名「db_user」、パスワード「db_password」 40
41. 脆弱性の調査 WordPress6.9.0の脆弱性を調査します WordPress6.9.0 脆弱性 などで検索する CVE＝Common Vulnerabilities and Exposures 公開されているセキュリティ上の欠陥をデータベース化したもので、 固有のID番号が付けられています 攻撃コードが見つかることもありますが偽物の可能性 もあるので注意が必要です 41
42. wp2shellの脆弱性 • 2026/7/17 公開。WordPress Core の脆弱性2件を連鎖させる攻撃チェーンが「wp2shell」 • 標準構成でも、認証情報なしにリモートから任意コード実行（Pre-Auth RCE）が成立 • 影響：6.9.0〜6.9.4 / 7.0.0〜7.0.1（6.8系は SQLi のみで RCE 対象外） デモの裏側で行われること CVE-2026-63030 CVE-2026-60137 複数の処理をまとめて頼 めるREST APIに、壊れ た依頼を混ぜて送り、対 応を崩す。 SQLインジェクションの 脆弱性を悪用し、新規管 理者を作成する。 POST /wp-json/batch/v1 POST /?rest_route=/batch/v1 その管理者でログインし、プ ラグインとしてWebshellを 設置する。 改ざんや情報窃取につながる サーバー命令の実行が可能に なる。 不審管理者ユーザー追加 不審プラグインの設置 42
43. Webshellとは Web経由でサーバのコマンドを実行することを 可能にするバックドアの一種。 （今回は脆弱性をついてこれを設置） PHPやPythonなどで作られていて一度サーバ内 に侵入・設置されると外から任意のコマンドが実 行可能になる。 43
44. デモシナリオロードマップ（全体） Case.1 1 偵察活動 Case.2 4 辞書攻撃 Case.3 脆弱性を ついた攻撃 7 ターゲットサイトの 選定・調査（OSINT） ユーザーの列挙 脆弱性の調査 2 5 8 ポートスキャン パスワード辞書の 調査 Webshellの設置 3 6 9 WordPressの 調査 辞書攻撃 DB情報の窃取 WEBサイト改ざん 44
45. デモシナリオロードマップ（全体） Case.1 1 偵察活動 Case.2 4 辞書攻撃 Case.3 脆弱性を ついた攻撃 7 ターゲットサイトの 選定・調査（OSINT） ユーザーの列挙 脆弱性の調査 2 5 8 ポートスキャン パスワード辞書の 調査 Webshellの設置 3 6 9 WordPressの 調査 辞書攻撃 DB情報の窃取 WEBサイト改ざん 45
46. 実際の事例 政策研究大学院大学(GRIPS)のインシデント報告書 • 公開WEBサーバのWebshellから内 部サーバに不正アクセス • Webshellの存在に７年間気が付かな かった • 約８ヶ月学内ネットワークをインター ネットから切り離した 引用：https://www.grips.ac.jp/jp/news/20230822-0365/ https://xtech.nikkei.com/atcl/nxt/column/18/01157/091900094/ 46
47. Demonstration おわり 47
48. 前半 まとめ 48
49. 狙われやすいところ３点（再掲） ①弱いところ 脆弱性のあるところや人間の心（ついついうっかり） ②公開されているところ インターネットから触れるところ ③ひとと関わるところ 自組織だけではなくて関係する組織とかサービスとか 49
50. デモシナリオロードマップ（全体） Case.1 1 偵察活動 Case.2 辞書攻撃 Case.3 4 ターゲットサイトの 選定・調査（OSINT） 2 ポートスキャン 5 3 WordPressの 調査 6 パスワード辞書の 弱いパスワードを使ってはいけない理由がわかった ユーザーの列挙 辞書攻撃 調査 7 8 9 DB情報の窃取 脆弱性の調査 脆弱性を最新バージョンのソフトウェアを使う必要性がわかった Webshellの設置 WEBサイト改ざん ついた攻撃 50
51. お疲れ様でした！ 51