20191128 - Security Testing Workshop

Slide 1

Slide 1 text

第79回ハンズオンセミナー脆弱性診断ええんやで(^^) 脆弱性診断の混沌と秩序 2019年11⽉28⽇（⽊）脆弱性診断研究会 (Security Testing Workshop)

Slide 2

Slide 2 text

Slide 3

Slide 3 text

Slide 4

Slide 4 text

Slide 5

Slide 5 text

ZAP Evangelist https://github.com/zaproxy/zaproxy/wiki/ZapEvangelists いつでもどこでもOWASP ZAPや脆弱性診断などについてお話しします！お気軽にお声掛けください！ @nilfigo (Twitter or Facebook) 5 © 2019 脆弱性診断研究会 Security Testing Workshop 2019/11/28

Slide 6

Slide 6 text

Slide 7

Slide 7 text

脆弱性？脆弱性（ぜいじゃくせい）とは、コンピュータのOSやソフトウェアにおいて、プログラムの不具合や設計上のミスが原因となって発生した情報セキュリティ上の欠陥のことを言います。 • 「総務省安⼼してインターネットを使うために国⺠のための情報セキュリティサイト」より引⽤ http://www.soumu.go.jp/main_sosiki/joho_tsusin/security/basic/risk/11.html • ⽂中の強調はスライド作成者による © 2019 脆弱性診断研究会 Security Testing Workshop 2019/11/28 7

Slide 8

Slide 8 text

Slide 9

Slide 9 text

Slide 10

Slide 10 text

Slide 11

Slide 11 text

例）郵便番号⼊⼒欄のテストちょい⾜し異常系 © 2019 脆弱性診断研究会 Security Testing Workshop 2019/11/28 11 104-0033' and 'a'='a SQLインジェクション 003-0000;cat /etc/passwd OSコマンド・インジェクション 906-0000%0D%0ACc:[email protected] メールヘッダ・インジェクション 105-0001">alert() クロスサイト・スクリプティング

Slide 12

Slide 12 text

Slide 13

Slide 13 text

Slide 14

Slide 14 text

OWASP ってナニ︖ The Open Web Application Security Project (OWASP) is a 501(c)(3) worldwide not-for- profit charitable organization focused on improving the security of software. Our mission is to make software security visible, so that individuals and organizations are able to make informed decisions. OWASP is in a unique position to provide impartial, practical information about AppSec to individuals, corporations, universities, government agencies, and other organizations worldwide. Operating as a community of like-minded professionals, OWASP issues software tools and knowledge-based documentation on application security. https://www.owasp.org/index.php/Main_Page より引⽤ 14 © 2019 脆弱性診断研究会 Security Testing Workshop 2019/11/28

Slide 15

Slide 15 text

501(c)団体ってナニ︖ 501(c)団体（ごーまるいちしーだんたい、英語: 501(c) organization）は、アメリカ合衆国の内国歳⼊法（USC 26）第501条C項の規定により課税を免除される⾮営利団体である。同項では、連邦所得税が免除される29種類の⾮営利団体が規定されている。同法第503条〜505条では、こうした課税免除が適⽤される要件を詳述している。アメリカ合衆国の多くの州が、州税を免除される団体の定義に、内国歳⼊法第501条C項を挙げている。501(c)団体は、個⼈、法⼈、および組合から無制限に寄付を受けることができる。最も⼀般的なタイプの免税⾮営利団体は、内国歳⼊法第501条C項3号に基づく団体（「501(c)(3)」と呼ばれる団体）である。同号では、「慈善」、「宗教」、「教育」、「科学」、「⽂学」、「公共の安全のための検査」、「アマチュアスポーツ競技の振興」、「⼦供または動物に対する虐待の防⽌」のいずれかを⽬的とした活動を⾏う⾮営利団体の連邦所得税を免除することを定めている。 https://ja.wikipedia.org/wiki/501(c)%E5%9B%A3%E4%BD%93 より引⽤ 15 © 2019 脆弱性診断研究会 Security Testing Workshop 2019/11/28

Slide 16

Slide 16 text

OWASP ZAP ってナニ？ • https://www.owasp.org/index.php/OWASP_Zed_Attack_ Proxy_Project • 世界中のエンジニアによって開発されているセキュリティ診断⽤プロキシツール • ZAP ＝ Zed Attack Proxy プロキシとして動作して、ブラウザとWebアプリケーション間の通信の閲覧および改変が可能 • オープンソース（Apache License 2.0） • 商⽤・⾮商⽤問わず無償で利⽤可能 © 2019 脆弱性診断研究会 Security Testing Workshop 2019/11/28 16

Slide 17

Slide 17 text

Slide 18

Slide 18 text

Slide 19

Slide 19 text

Slide 20

Slide 20 text

Slide 21

Slide 21 text

Slide 22

Slide 22 text

Slide 23

Slide 23 text

Slide 24

Slide 24 text

Slide 25

Slide 25 text

Slide 26

Slide 26 text

Slide 27

Slide 27 text

ウェブ健康診断仕様 © 2019 脆弱性診断研究会 Security Testing Workshop 2019/11/28 27 (A) SQLインジェクション (G) パス名パラメータの未チェック／ディレクトリ・トラバーサル (B) クロスサイト・スクリプティング (H) 意図しないリダイレクト (C) CSRF（クロスサイト・リクエスト・フォージェリ） (I) HTTPヘッダ・インジェクション (D) OSコマンドインジェクション (J) 認証 (E) ディレクトリリスティング (K) セッション管理の不備 (F) メールヘッダ・インジェクション (L) 認可制御の不備、⽋落

Slide 28

Slide 28 text

Slide 29

Slide 29 text

Slide 30

Slide 30 text

3. 特定の画⾯でのみ診断が必要 1. (C) CSRF（クロスサイト・リクエスト・フォージェリ） 2. (F) メールヘッダ・インジェクション 3. (G) パス名パラメータの未チェック／ディレクトリ・トラバーサル 4. (H) 意図しないリダイレクト 5. (K) セッション管理の不備 6. (L) 認可制御の不備、⽋落 ※終盤に診断！ 7. (J) 認証 ※必ず最後に診断！ © 2019 脆弱性診断研究会 Security Testing Workshop 2019/11/28 30