Upgrade to Pro
— share decks privately, control downloads, hide ads and more …
Speaker Deck
Features
Speaker Deck
PRO
Sign in
Sign up for free
Search
Search
コミュニティ活動からみるPHPセキュリティ / PHP Conference Kansai 2015
Search
yoshinori matsumoto
June 03, 2015
Technology
0
560
コミュニティ活動からみるPHPセキュリティ / PHP Conference Kansai 2015
PHPカンファレンス関西2015
yoshinori matsumoto
June 03, 2015
Tweet
Share
More Decks by yoshinori matsumoto
See All by yoshinori matsumoto
WordPress セキュリティガイド #wpmeetupkyoto / WP Security Guide
ym405nm
6
3.4k
FIDO2導入してみたを考えてみた / Around The Auth Capy Matsumoto
ym405nm
0
270
Hack L33t Fighters Ⅱ #owaspsendai
ym405nm
0
350
WordPress保安検査ガイド〜運用可能なセキュリティを始めるために〜 / wpcamp_haneda_security
ym405nm
1
690
CAPYのFIDOへの取り組み / Capy FIDO
ym405nm
0
160
WordPress 管理者がおさえておきたい Web アプリケーションセキュリティ / owasp-wordpress-meetup
ym405nm
1
1.6k
Extreme Honyepotter
ym405nm
0
850
攻撃者からみたWordPressセキュリティ / WordCamp Kansai 2015
ym405nm
8
5k
Other Decks in Technology
See All in Technology
ネットワーク保護はどう変わるのか?re:Inforce 2025最新アップデート解説
tokushun
0
210
Claude Code に プロジェクト管理やらせたみた
unson
6
4.1k
B2C&B2B&社内向けサービスを抱える開発組織におけるサービス価値を最大化するイニシアチブ管理
belongadmin
1
7k
Lakebaseを使ったAIエージェントを実装してみる
kameitomohiro
0
130
Flutter向けPDFビューア、pdfrxのpdfium WASM対応について
espresso3389
0
130
CDKTFについてざっくり理解する!!~CloudFormationからCDKTFへ変換するツールも作ってみた~
masakiokuda
1
150
マネジメントって難しい、けどおもしろい / Management is tough, but fun! #em_findy
ar_tama
7
1.1k
NewSQLや分散データベースを支えるRaftの仕組み - 仕組みを理解して知る得意不得意
hacomono
PRO
2
160
いつの間にか入れ替わってる!?新しいAWS Security Hubとは?
cmusudakeisuke
0
130
SEQUENCE object comparison - db tech showcase 2025 LT2
nori_shinoda
0
140
AIの全社活用を推進するための安全なレールを敷いた話
shoheimitani
2
520
Delta airlines Customer®️ USA Contact Numbers: Complete 2025 Support Guide
deltahelp
0
710
Featured
See All Featured
Art, The Web, and Tiny UX
lynnandtonic
299
21k
実際に使うSQLの書き方 徹底解説 / pgcon21j-tutorial
soudai
PRO
181
54k
Into the Great Unknown - MozCon
thekraken
40
1.9k
Save Time (by Creating Custom Rails Generators)
garrettdimon
PRO
31
1.3k
Evolution of real-time – Irina Nazarova, EuRuKo, 2024
irinanazarova
8
820
Design and Strategy: How to Deal with People Who Don’t "Get" Design
morganepeng
130
19k
Bash Introduction
62gerente
613
210k
CSS Pre-Processors: Stylus, Less & Sass
bermonpainter
357
30k
Connecting the Dots Between Site Speed, User Experience & Your Business [WebExpo 2025]
tammyeverts
6
300
jQuery: Nuts, Bolts and Bling
dougneiner
63
7.8k
Building a Scalable Design System with Sketch
lauravandoore
462
33k
Imperfection Machines: The Place of Print at Facebook
scottboms
267
13k
Transcript
OWASP KANSAI 松本 悦宜 公開用資料修正 2015/06/03
None
OWASPとは – Webセキュリティを取り巻く問題を解決する ための国際的なコミュニティ – 企業や国境の壁はもちろんのこと、あらゆる 専門知識と経験を持ったスペシャリスト、ま たユーザのコラボレーションにより、自由に 参加できる開放された活動を展開 –
2001年から活動開始 アメリカ政府認定NPO – 200以上の拠点に支部
OWASPとは OWASPに基づく様々なアウトプット – 3年に一度、Webアプリケーションの注意すべき 脆弱性と対策をまとめて公表 – オープンソースの脆弱性診断ツール – ソフトウェア -
オープンソース – ドキュメント -CC BY SA
OWASP TOP 10 • Webアプリケーションの注意 すべき脆弱性と対処方法の まとめ • 3年に一度リリース •
モバイル分野にも対応するため『OWASP MobileSecurity Project』の一環として 「Top 10 Mobile Risks」の開発も進行中 https://www.owasp.org/images/7/79/OWASP_Top_10_2013 _JPN.pdf
OWASP ZAP • OWASPによるオープン ソースの脆弱性診断 ツール • 日本語にも対応、日本 語版の運用マニュアルもあり •
誰にでも手軽に検査できることを重視した 設計 https://www.owasp.org/index.php/OWASP_Zed_Attack_ Proxy_Project https://docs.google.com/file/d/0B1e1Cma1GUllazNUNVp 6OWdGYzg/edit
国内におけるOWASPの活動 • OWASP Japan – 2011年に国内にて活動開始(主に東京) – 2014年3月OWASP AppSec APAC
2014を開催 • OWASP Kansai – 2014年より関西にて 活動開始
国内におけるOWASPの活動 • OWASP Japan – 2011年に国内にて活動開始(主に東京) – 2014年3月OWASP AppSec APAC
2014を開催 • OWASP Kansai – 2014年より関西にて 活動開始
None
Security × PHP Hot Topics • Webサイトの脆弱性を突く攻撃 • 継続的に行われている攻撃 •
PHPのサポート終了
Webサーバ サイトの脆弱性を突いた攻撃 Webサイト 脆弱性 攻撃者 改ざん マルウェア設置 脆弱性 情報窃取
サイトの脆弱性を突いた攻撃 インジェクション 認証とセッション管 理の不備 クロスサイトスクリ プティング (XSS) 安全でないオブジェ クト 直接参照
セキュリティ設定の ミス 機密データの露出 機能レベルアクセス 制御の欠落 クロスサイトリクエ ストフォージェリ (CSRF) 既知の脆弱性を持つ コンポーネントの使 用 未検証の リダイレ クトとフォーワード 各項目の詳細は OWASP TOP 10 で解説
サイトの脆弱性を突いた攻撃 自組織のウェブサイトに CMS が使われている という認識がない 脆弱性がある古いバージョンの CMS を使用す る危険性を認識していない 委託先との契約が終了するなどの理由で、ウェ
ブサイトの管理者が不在である
サイトの脆弱性を突いた攻撃 例えば、PHPを避ける 管理できないウェブサイトは 閉鎖の検討を https://www.ipa.go.jp/security/ciadr/vul/201406 19-oldcms.html
サイトの脆弱性を突いた攻撃 セキュリティに関する重要なお知らせ「WEB サイト改ざんの予防策」 https://heteml.jp/pages/security/ Movable Type を安全に利用するためにでき ること http://www.movabletype.jp/blog/secure_m ovable_type.html
CMSベンダやホスティング事業者 セキュリティ機関などの情報を参考に 継続的な対策を!
攻撃の継続的な発生 リスト型攻撃
攻撃の継続的な発生 スキャン ライブラリの使用時の設定不備を探索していると 考えられるアクセス
攻撃の継続的な発生 古い PHP にある脆弱性を使用して攻撃を行っていると 考えられるアクセス スキャン
サポートの終了 • PHP 5 系のサポート終了 Supported Versions https://php.net/supported-versions.php
サポートの終了 フレームワークもまた… The Release Process http://symfony.com/doc/current/contributing/community/releases.html
None
OWASP Kansai • 日本で2番目のOWASPローカルチャプ ター • 2014年3月から活動開始 • 3か月に1回のChapter Meeting(勉強会)
を開催
OWASP Kansai Local Chapter Meeting
OWASP Kansai Local Chapter Meeting OWASP Kansai Local Chapter Meeting
2nd テーマは HTML5 「HTML5が最近どうなっていて何があぶなっかしいのか?」 HTML5-WEST.jp 村岡さん 「負ける気せえへん HTML5セキュリティやし」 神戸デジタル・ラボ 松本 「HTML5のセキュリティ、もうちょい詳しく!」 OWASP Kansai はせがわようすけさん 2014年6月
OWASP Kansai Local Chapter Meeting 2nd HTML5 になるとどう変わるの? サーバサイドで気を付けるべきことは?
新しい要素と新しい属性 新しい JavaScript API サイト(オリジン)を超えた AJAX 別サイト(オリジン)から来たリクエストを受け入れる または拒否する ブラウザに実装されているHTTP のレスポンスヘッダ
OWASP Kansai Local Chapter Meeting OWASP Kansai Local Chapter Meeting
3rd テーマは OWASP ZAP 【サイト開発者必見】無償で使える!脆弱性検査 ツール『OWASP ZAP』ハンズオン ZAPエバンジェリスト 亀田さん 2015年2月
OWASP Kansai Local Chapter Meeting 3rd OWASP ZAPとは ローカルプロキシツール
無料、オープンソースライセンス セキュリティ診断に使用される ブラウザ サーバ プロキシ リクエストの確認 変更など リクエスト リクエスト レスポンス レスポンス 疑似攻撃による セキュリティテスト
OWASP Kansai Local Chapter Meeting 3rd OWASP ZAP ハンズオン
OWASP ZAP を使ってみて実際に “疑似攻撃” する 誰でもセキュリティ診断ができるように
次のイベントは? オワスプ カンサイ ナイト OWASP Kansai Night 神戸市内のお店を借り切ってたこ焼きパーティ お酒を交えながら楽しくWebセキュリティについて 情報交換を行うカジュアルなスタイル
2015年6月24日(水) 19:00 ~ 21:00
まとめ • OWASP Kansai では Web アプリケーショ ンを安全にするための取組を行っています • PHPer
の皆様の力が必要です!! • 関西からセキュリティをもりあげましょー OWASP Kansai 検索