Upgrade to Pro — share decks privately, control downloads, hide ads and more …

脆弱性発見者の目から見た、脆弱性対応の最前線

 脆弱性発見者の目から見た、脆弱性対応の最前線

Internet Week 2016の講演資料です。

Avatar for MUNEAKI NISHIMURA

MUNEAKI NISHIMURA

December 01, 2016
Tweet

More Decks by MUNEAKI NISHIMURA

Other Decks in Technology

Transcript

  1. ηΩϡϦςΟɾΩϟϯϓͱ͸ • ࣍୅Λ୲͏ηΩϡϦςΟਓࡐͷൃ۷ͱҭ੒Λ ໨తͱͨ͠׭ຽ࿈ܞࣄۀ - *1"ͱࣾͷڠࢍاۀ͔ΒͳΔ࣮ࢪڠٞձ͕ओ࠵ - ܦࡁ࢈ۀল͕ڞ࠵ - ࠓ೥Ͱ೥໨

    • ധ೔ɺே͔Β൩·ͰηΩϡϦςΟ௮͚ͷ߹॓ - શࠃ໊ͷԠืऀ͔Βબൈ͞Ε໊͕ͨࢀՃ - ֤ྖҬͷҰઢͰ׆༂͢Δٕज़ऀਞ͕ߨࢣΛ୲౰
  2. ҆қʹҾ͖ड͚ͨ΋ͷͷɾɾɾ • ࣗ෼Ҏ֎͸௒༗໊ͳߨࢣਞ - ॻళ΍ωοτͷηΩϡϦςΟ࿈ࡌهࣄͳͲͰΑ໊͘લΛݟΔਓͨͪ - (PPHMFͷ੬ऑੑใࠂ݅਺ͰੈքҐͷਓ • $5'΍ະ౿ͳͲଟํ໘Ͱ׆༂͢Δνϡʔλʔ •

    શࠃ͔Βબͼൈ͔ΕͨԠืऀୡ • ຊ౰ʹࣗ෼͕ߨࢣͰྑ͔ͬͨͷ͔ʁ - ࣗ෼ͷ࣮ྗΛ٬؍తʹଌΔखஈ͕ཉ͔ͬͨ͠ - ڭ͑Δࢿ͕֨͋Δ͔Λ͔֬Ί͔ͨͬͨ
  3. ੬ऑੑΛ୳͠ଓ͚Δཧ༝ • ॅ୐ϩʔϯΛฦͨ͢Ί - ໨ඪ͸ࡀ·Ͱʹ׬ࡁ - Ք͍࣮ͩײͷͳ͍ใ঑ۚ͸ɺआΓ࣮ͨײͷͳ͍ϩʔϯͱ૬ੑ͕͍͍ • ٕज़ྗͷҡ࣋޲্ͷͨΊ -

    ࢓༷΍ίʔυΛѱ༻ํ๏Λߟ͑Δश׳Λ͚͓ͭͯ͘ͱɺ ۀ຿Ͱݕࠪ΍ϨϏϡʔ͢Δͱ͖ʹ߈ܸํ๏͕ર͖΍͘͢ͳΔ - ଞͷൃݟऀ΍։ൃऀͱग़ձ͍ɺ৽ͨͳ߈ܸͷ࢓ํΛֶͿ
  4. աڈʹݟ͚ͭͨ࢓༷ͷ࣮૷ෆඋʢൈਮʣ • $ISPNFͷ$41ҧ൓Ϩϙʔτͷૹ৴ઌ͕CBTFͰ੍ޚͰ͖Δ IUUQTDSCVHDPN • $ISPNFͷ4FSWJDF8PSLFST͕JGSBNFTBOECPY಺Ͱಈ࡞͢Δ IUUQTDSCVHDPN • 'JSFGPYͷ3FGFSSFS1PMJDZ͕৽͍͠λϒͰ։͍ͨࡍʹޮ͔ͳ͍ IUUQTMJTUTXPSH"SDIJWFT1VCMJDQVCMJDXFCBQQTFD"QSIUNM

    • 'JSFGPYͷ#SPBEDBTU$IBOOFM"1*͕ϓϥΠόγʔϞʔυ͔Β ௨ৗϞʔυͷ΢Οϯυ΢ʹ௨஌͞ΕΔ IUUQTCVH[JMMBNP[JMMBPSHTIPX@CVHDHJ JE • 'JSFGPYͷ'FUDI"1*Ͱ)PTU΍$PPLJFϦΫΤετϔομ͕ࢦఆͰ͖Δ IUUQTCVH[JMMBNP[JMMBPSHTIPX@CVHDHJ JE
  5. ൃݟऀ͔Βͷ͓ئ͍ • ରԠͷঢ়گΛఆظతʹڞ༗ͯ͠ཉ͍͠ - ରԠ׬ྃ·ͰҰ੾࿈བྷͷདྷͳ͍૭ޱ͕ଟ͍ - ೥Ҏ্Ի৴ෆ௨ͷࣄྫ΋͋Δ • ঢ়گ͕෼͔Βͳ͍ͱൃݟऀ͸ෆ҆ʹͳΔ -

    ใࠂͷ࢓ํ͕ޡ͍ͬͯͨͷͰ͸ͳ͍͔ʢӈਤʣ - ૣ͘͠ͳ͍ͱ੬ऑੑ͕ѱ༻͞ΕΔͷͰ͸ͳ͍͔ • मਖ਼લͷ੬ऑੑ͕ެද͞ΕΔڪΕ΋ - ใࠂΛແࢹ͞Εͨͱײͨ͡ൃݟऀౖ͕ͬͯ๫࿐ - ެදʹΑΓमਖ਼Λଅͦ͏ͱ͢Δൃݟऀ΋ ˞גࣜձࣾϨϐμϜ ྛࢯͷߨԋࢿྉΑΓҾ༻
  6. Ұൠతͳ੬ऑੑ৘ใఏڙαʔϏεͷ՝୊ • ৘ใ഑৴ͷλΠϜϥά - ։ൃݩʹΑΔ৘ใެ։͔Β൒೔ఔ౓ͷ஗Ԇ • ৘ใͷ໢ཏੑ - $7&ͷׂΓ౰ͯΒΕ͍ͯͳ͍੬ऑੑͳͲʹൈ͚ •

    ࣗࣾ؀ڥͱҰக͠ͳ͍ਂࠁ౓ධՁ - $744͸੬ऑੑ͕࠷େݶʹѱ༻͞ΕͨલఏͰݟੵ΋ΒΕΔ܏޲͕͋Γɺ ࣗࣾʹ͓͚Δਂࠁ౓ͱ͸Ұக͠ͳ͍͜ͱ͕͋Δ
  7. ͦ͜ͰɺࣗࣾͰ੬ऑੑ৘ใͷऩूͱධՁ͕ඞཁ • ৘ใల։ͷૣظԽ - ੬ऑੑͷҰ࣍৘ใΛపఈऩू - +1$&35$$ͷૣظܯռύʔτφʔγοϓΛ௨ͯ͡ɺެදલͷ੬ऑੑ৘ใΛೖख • ໢ཏੑͷ޲্ -

    ࠃ಺֎ͷηΩϡϦςΟ৘ใൃ৴ऀΛ5XJUUFSͰϑΥϩʔ - +1$&35$$ͷૣظܯռ৘ใΛ༻͍ͯɺ৘ใͷऩू࿙ΕΛ௿ݮ • ࣗࣾ؀ڥʹج͍ͮͨ੬ऑੑධՁ - ੬ऑੑΛ$4*35Ͱղੳ͠ɺ߈ܸͷ೉қ౓΍ࣗࣾͰੜ͡͏Δඃ֐ΛධՁ
  8. ৘ใల։ͷૣظԽ • ͭͷ৘ใܦ࿏Λ૊Έ߹Θͤͯɺ৘ใऩूͷૣظԽͱ໢ཏੑΛ௥ٻ - ೋ࣍৘ใͰ৘ใΛಘͨ΋ͷ͸ɺҰ࣍৘ใͰऩूͰ͖ΔΑ͏ʹϑΟʔυόοΫ ੬ऑੑ৘ใެ։ +1$&35$$ ૣظܯռύʔτφʔγοϓ Ұ࣍৘ใ ೋ࣍৘ใ

    +1$&35$$ ૣظܯռ৘ใ • ެ։લͷ੬ऑੑ৘ใ • ֤छ344΍.- • ։ൃݩͷ8FCαΠτ • 5XJUUFS • ֤छχϡʔεαΠτ • ຖ೔༦ํʹདྷΔ ΞφϦετϊʔτ
  9. ৘ใల։ͷૣظԽ r (IPTUTDSJQUͷ੬ऑੑࣄྫ ೔࣌ ঢ়گ ೥݄೔ (IPTUTDSJQUͷ։ൃݩʹ੬ऑੑͷ౤ߘʢ࣮ূίʔυ͋Γʣ ೥݄೔ 0444FDVSJUZ.-Ͱ$7&࠾൪ ೥݄೔

    ࠃ಺ͷ੬ऑੑ৘ใαʔϏεʹ৘ใܝࡌ ೥݄೔ .FUBTQMPJUͷ(JU)VCʹͯຊ੬ऑੑͷ߈ܸίʔυΛ֬ೝ ೥݄೔ +1$&35$$ΑΓૣظܯռύʔτφʔγοϓ΁৘ใ഑৴ ೥݄೔ +1$&35$$ΑΓૣظܯռ৘ใ഑৴ • (IPTUTDSJQUʹ͓͚ΔϦϞʔτίʔυ࣮ߦͷ੬ऑੑʢ$7&ʣ ͜ͷ࣌఺Ͱ֤ࣄۀʹ ۓٸରԠΛґཔ
  10. ࣗࣾ؀ڥʹج͍ͮͨ੬ऑੑධՁ • ެ։͞Ε͍ͯΔ$744஋ΛӏವΈʹ͠ͳ͍ - Өڹ͠ͳ͍੬ऑੑͷରԠʹ֤ࣄۀͷ޻਺Λׂ͘͜ͱʹͳΔ - ࣗࣾ؀ڥʹ͓͚ΔӨڹΛٕज़తʹ൑அ • ՄೳͳݶΓमਖ਼ύονͷιʔείʔυΛ֬ೝ -

    ߈ܸͷ༰қੑΛਪଌͰ͖Δ - ௥Ճ͞Εͨςετέʔε΍ίϛοτϝοηʔδʹ߈ܸίʔυؚ͕·ΕΔ͜ͱ΋ • ߈ܸπʔϧͷ։ൃϦϙδτϦΛ؂ࢹͯ͠߈ܸͷՄೳੑΛ൑அ - .FUBTQMPJUͷ(JU)VCʹ߈ܸίʔυ͕ଓʑͱू·Δ IUUQTHJUIVCDPNSBQJENFUBTQMPJUGSBNFXPSLQVMMT
  11. ϝτϦΫε ஋ ߈ܸϕΫλ ωοτϫʔΫ ߈ܸͷෳࡶ͞ ௿ʹ؆୯ ೝূͷཁ൱ ೝূͳ͠ ػີੑ΁ͷӨڹ શ໘త

    ׬શੑ΁ͷӨڹ શ໘త Մ༻ੑ΁ͷӨڹ શ໘త ࣗࣾ؀ڥʹج͍ͮͨ੬ऑੑධՁ r $7& • 0QFO44-ʹ͓͚ΔϝϞϦૢ࡞ͷෆඋͷ੬ऑੑ • /*45ධՁͷ$744ϕʔε஋͸ - ϝϞϦഁյܥͷ੬ऑੑͷඃ֐͸௨ৗαʔϏε๦֐ɻ ϝϞϦͷյ͠ํ࣍ୈͰϦϞʔτίʔυ࣮ߦͱͳΔ - ߈ܸͷෳࡶ͞ʢ௿ʣ͸αʔϏε๦֐Λલఏʹ ݟੵ΋ΒΕ͍ͯΔҰํɺӨڹʢશ໘తʣ͸ ϦϞʔτίʔυ࣮ߦΛલఏͱ͍ͯ͠Δ • 0QFO44-ͷΞυόΠβϦʢҰ࣍৘ใʣͰ͸ - 8FCαʔό΍ϩʔυόϥϯα͕)5514௨৴࣌ʹ ࢖༻͢ΔMJCTTMʹ͸Өڹ͠ͳ͍ /*45ͷ$744WϕʔεείΞ Ұ࣍৘ใΑΓۓٸରԠෆཁͱ൑அ
  12. ࣗࣾ؀ڥʹج͍ͮͨ੬ऑੑධՁ r $7& • Bind9におけるサービス妨害の脆弱性 ೔࣌ ঢ়گ ೥݄೔ ։ൃݩ͔Β੬ऑੑ৘ใެ։ɻ։ൃϦϙδτϦʹमਖ਼ύον͋Γɻ ղੳͷ݁Ռɺ%/4ϦΫΤετൃͰ%/4αʔόΛ

    མͱͤΔ͜ͱ͕൑໌ɻۓٸରԠΛ࣮ࢪ ೥݄೔ .FUBTQMPJUͷ(JU)VCʹ߈ܸίʔυͷଘࡏΛ֬ೝ ೥݄೔ ओཁαʔϏεʹ͓͍ͯύονద༻׬ྃ ೥݄೔ ܯ࡯ிΑΓɺຊ੬ऑੑΛѱ༻ͨ͠ແࠩผͳ߈ܸ׆ಈ͕ ؂ࢹ͞Εͨͱͷ஫ҙשى
  13. ༧ఆ͍ͯ͠ΔऔΓ૊Έ • ৘ใऩूͷޮ཰Խ - 5XJUUFSʹΑΔ৘ใऩूʢຖ೔෼ʙ࣌ؒʣͷஔ͖׵͑Λݕ౼த • ߈ܸ׆ಈͷ৘ใऩूΛڧԽ - ֤ࠃͷ߈ܸൃੜঢ়گΛऩू -

    ߈ܸͷൃੜঢ়گʹԠͯ͡ɺ଎΍͔ʹରԠͷԹ౓ײΛม͑Δ • ֤αʔϏεͷߏ੒ʹԠͨ͡ରԠґཔ - αʔόߏ੒΍ίϯϑΟάϨʔγϣϯͳͲΛৄࡉʹ೺Ѳ͠ɺ ֎෦͔Β߈ܸΛड͚ΔՄೳੑʹԠͯ͡ରԠͷԹ౓ײΛ෼͚Δ