攻撃と防御で実践するプロダクトセキュリティ演習_2024（導入編）

2024年度リクルート エンジニアコース新人研修の講義資料です

Transcript

1. ߈ܸͱ๷ޚͰ࣮ફ͢ΔϓϩμΫτηΩϡϦςΟԋश ʙಋೖύʔτʙ ग़Ո ༞و ஥੢ ๎໵
2. ΠϯτϩμΫγϣϯ 2
3. 3 ग़Ո༞و / Yuki Ideya • ೥݄ʙ 3&%
   5&".ॴଐ • ͦΕҎલ͸ۚ༥ܥͷ4*FS΍ɺηΩϡϦςΟϕϯμʔͰ׭ެி΁ͷڭҭࣄ ۀͳͲ΍͍ͬͯ·ͨ͠ ʲ࠷ۙϋϚ͍ͬͯΔ͜ͱɾࠓޙ΍Γ͍ͨ͜ͱʳ • ੜ੒"*ͷηΩϡϦςΟपΓษڧͨ͠Γͱ͔ ηΩϡϦςΟҎ֎ͷ஌ࣝ ͸՝୊ײʜʂ • ޴ͷௐࢠ͕ຫੑతʹѱ͍ͷͰɺͣ˓ͩ΋Μͱ͔ͱੜ੒"*Ͱ஻ΓΛ୅Θ Γʹ΍ͬͯ͘ΕΔ࢓૊ΈΛ໛ࡧத • ๺ւಓ͔ΒϦϞʔτͰಇ͍ͯͯग़ࣾ΄΅ͳ͍ͷͰ߈ΊͨαϒΧϧͬΆ ͍෰ΛങͬͨΓ͢ΔͷͰ͕͢ɺணΔ৔໘͕ͳ͍ͯͭ͘΋ޙչ͠·͢ ௕ظͷ࣋පͰ޴ͷௐࢠ͕ѱΊͳͷͰ֏෷͍ͳͲͰ͓ฉ͖͍ۤ͠৔໘͕͋Δ͔΋͠Ε·ͤΜɻ ͪΌΜͱ࠷ޙ·ͰίϯςϯπΛ͓ಧ͚Ͱ͖ΔΑ͏४උສ୺ͳͷͰ҆͝৺͍ͩ͘͞ʜʂ
4. 4 ஥੢ ๎໵ / Tomoya Nakanishi • ೥य़ʙ 3&%
   5&".ॴଐ • ϦΫϧʔτ৽ଔೖࣾ ʲ࠷ۙϋϚ͍ͬͯΔ͜ͱɾࠓޙ΍Γ͍ͨ͜ͱʳ • ϖωτϨʔγϣϯςετͷࢿ֨ษڧɺҰ൪࠷ۙऔͬͨͷ͸04&1 • μΠϏϯάʹߦ͘ճ਺͕૿͍͑ͯΔ
5. 5 ඇެ։
6. ಋೖฤ(1೔໨)ͷΞδΣϯμ 6  ΠϯτϩμΫγϣϯ  ԋश؀ڥΛ৮ͬͯΈΑ͏ 3. ϓϩμΫτηΩϡϦςΟͱ੬ऑੑ 4. WebΞϓϦέʔγϣϯʹ͓͚Δ੬ऑੑͱ߈ܸख๏ 5. ੬ऑੑͷରࡦ 6. WebΞϓϦέʔγϣϯʹର͢Δ߈ܸख๏ΛΑΓৄ͘͠ ษڧ͍ͨ͠ํ͸
7. ࠓճͷߨٛ ߈ܸ ͱ ๷ޚ Ͱ࣮ફ͢ΔϓϩμΫτηΩϡϦςΟԋशͰ͸ɺ 7 ߈ܸऀ͕ͲͷΑ͏ʹ੬ऑੑΛѱ༻͢Δͷ͔Λ஌Δ͜ͱͰɺ ਖ਼͘͠੬ऑੑΛमਖ਼͢ΔͨΊͷ஌ࣝͱํ๏ Λ਎ʹ͚ͭΔ͜ͱΛ໨తͱ͠·͢
8. • ڐՄ͞ΕͨγεςϜҎ֎ʹࢼ͞ͳ͍͜ͱ ʢෆਖ਼ΞΫηεېࢭ๏ʣ • ਖ਼౰ͳཧ༝ͳ͘Ϛϧ΢ΣΞΛऔಘɾอ༗͠ͳ͍͜ͱ ʢෆਖ਼ࢦྩి࣓తه࿥ʹؔ͢Δࡑʣ • Πϯλʔωοτ্Ͱ഑෍͞ΕΔιϑτ΢ΣΞͷར༻࣌ʹ͸ɺͦΕΒͷ৴པੑΛ ࣄલʹ֬ೝ͢Δ͜ͱ ʢ৘ใηΩϡϦςΟରࡦج४ʣ ஫ҙࣄ߲ 8 ͜ͷߨٛͰ͸࣮ࡍʹѱ༻͕ՄೳͳίʔυΛऔΓѻ͍·͢ɻ औΓѻ͍ʹ͸े෼ʹ஫ҙ͍ͯͩ͘͠͞ɻ
9. ԋश؀ڥΛ৮ͬͯΈΑ͏ 9
10. 10 ඇެ։
11. 11 ඇެ։
12. 12 ඇެ։
13. 1-1. ػೳΛࢼ͠ͳ͕ΒιʔείʔυΛݟͯΈ·͠ΐ͏ 1-2. ʲൃలʳ੬ऑੑΛ୳ͯ͠Έ·͠ΐ͏ 13 ԋश1ɿԋश؀ڥΛ৮ͬͯΈ·͠ΐ͏(࣮ࢪ࣌ؒ: 15෼)
14. ϓϩμΫτηΩϡϦςΟͱ੬ऑੑ 14
15. 15 ηΩϡϦςΟ্ͷऑ఺͕͋ΔϓϩμΫτΛ࡞ΔͱͲ͏ͳΔʁ
16. 16 ඇެ։
17. 17 ඇެ։
18. 18 ඇެ։
19. ੬ऑੑ ʢVulnerabilityʣ 19 ηΩϡϦςΟ্ͷऑ఺͕͋ΔϓϩμΫτΛ࡞ΔͱͲ͏ͳΔʁ ιϑτ΢ΣΞ౳ʹ͓͚Δ ͱ͍͏
20. ੈͷதͷγεςϜɾιϑτ΢ΣΞʹରͯ͠ ຖ೔ͲΕ͚ͩͷ੬ऑੑ͕ใࠂ͞Ε͍ͯΔʁ Q. 20
21. 1೔ฏۉ໿80݅ۙ͘ใࠂ͞Ε͍ͯΔʢ2023೥ʣ※ WebαʔϏεͳͲͷར༻ऀͷରॲͷඞཁ͕ͳ͍΋ͷΛ߹ΘͤΔͱɺ ΑΓଟ͘ͷ΋ͷ͕ଘࡏ͢Δͱߟ͑ΒΕΔ A. 21 ※CVEʢڞ௨੬ऑੑࣝผࢠʣͷ෇༩਺ϕʔε
22. ͲΜͳ੡඼ʹ੬ऑੑ͕ใࠂ͞Ε͍ͯΔʁ • Linux΍WindowsɺAndroidɺiOSͳͲͷOS • ϓϩάϥϛϯάݴޠͷඪ४ϥΠϒϥϦ • ήʔϜػͳͲͷ૊ΈࠐΈػث • Chrome΍FirefoxͳͲͷϒϥ΢β ྫ͑͹ɾɾɾ ਎ͷճΓͰ޿͘ར༻͞ΕΔ༗໊ͳιϑτ΢ΣΞʹ΋੬ऑੑ͕ൃݟ͞Ε͍ͯΔ զʑ΋੬ऑੑΛ࡞ΓࠐΜͰ͠·͏Մೳੑ͸े෼ʹ͋Δ 22
23. WebΞϓϦέʔγϣϯʹ͓͚Δ੬ऑੑͱ߈ܸख๏ 23
24. ຊηΫγϣϯͷΞδΣϯμ 24 1. ຊηΫγϣϯͰऔΓѻ͏੬ऑੑͷ঺հ 2. XSS (Cross-Site Scripting) 3. IDORʢInsecure Direct Object Reference) 4. CSRF (Cross-Site Request Forgery) 5. SQL Injection 6. Path Traversal 7. DoS (Denial-of-Service) 8. OS Command Injection
25. 25 ඇެ։
26. 26 XSSʢCross-Site Scriptingʣ
27. 27 ඇެ։
28. 28 ඇެ։
29. XSSʹΑΔ߈ܸྫ 29 ৘ใ઄औ ѱҙͷ͋Δίϯςϯπ΁ͷվม • $PPLJFͷ઄औʹΑΔϩάΠϯηογϣϯͷͷͬͱΓ • $PPLJFΛ෇༩ͨ͠ϦΫΤετ࣮ߦͱ಺༰ͷಡΈऔΓ • ը໘ʹදࣔ͞Εͨ৘ใͷࡡऔ • ࠮ٗϖʔδͷදࣔͳͲ
30. XSSͷݪཧ 30 ѱҙͷ͋Δ+BWB4DSJQͷίʔυ͕ ຒΊࠐΊͯ͠·͏ϖʔδ
31. XSSͷݪཧ 31 $PPLJFΛࣗ෼ͷαʔόʔʹૹ৴ ͤ͞ΔίʔυΛຒΊࠐΜͰ΍Ζ ͏ʂ 攻撃者 ΞΫηε͢Δͱ $PPLJF͕ൈ͔ΕΔ +BWBTDSJQU
32. XSSͷݪཧ 32 攻撃者 ΞΫηε͢Δͱ $PPLJF͕ൈ͔ΕΔ +BWBTDSJQU 被害者 ͜ͷਓͷϓϩϑΟʔϧؾʹͳ Δʂ ΞΫηε࣌ʹ࣮ߦ
33. XSSͷݪཧ 33 ϖϯΪϯ͘Μͷ ηογϣϯήοτʂ 攻撃者 ΞΫηε͢Δͱ $PPLJF͕ൈ͔ΕΔ +BWBTDSJQU 被害者 ඃ֐ऀ͸ϖʔδΛ Ӿཡ͚ͨͩ͠Ͱ $PPLJF͕ൈ͔Εͯ͠·͏ ͜ͷਓͷϓϩϑΟʔϧؾʹͳΔʂ ΞΫηε࣌ʹ࣮ߦ
34. ૉ๿ͳٙ໰ 34 攻撃者 被害者 アクセスすると Cookieが抜かれる JavaScript ߈ܸऀ͕༻ҙͨ͠ ϖʔδʹΞΫηε ߈ܸऀ͕༻ҙͨ͠ϖʔδͷ+BWB4DSJQUͰ ԋश؀ڥͷαΠτͷ৘ใΛऔΕͳ͍ͷʁ ٙ໰
35. ૉ๿ͳٙ໰ 35 攻撃者 被害者 アクセスすると Cookieが抜かれる JavaScript ߈ܸऀ͕༻ҙͨ͠ ϖʔδʹΞΫηε ߈ܸऀ͕༻ҙͨ͠ϖʔδͷ+BWB4DSJQUͰ ԋश؀ڥͷαΠτͷ৘ใΛऔΕͳ͍ͷʁ ٙ໰ 401 4BNF
    0SJHJO
    1PMJDZ ͰͰ͖ͳ͍
36. XSSʹΑΔ߈ܸྫ 36 https:// ...のページ window.document.body window.localStorage Cookie（※） https://evil.example.com/...のページ ※originより制限が緩いsite単位での管理 ѱҙͷ͋Δ+BWB4DSJQU ブラウザ Origin ͕ҟͳΔϖʔδ ͜͜ͷ෦෼Λ 0SJHJOͱ͍͏ ຊདྷϒϥ΢β্Ͱ͸ɺ͋Δ63-ʹΑͬͯϩʔυ͞ΕΔϦιʔεʢ+BWB4DSJQUͷίʔυͳͲʣ͔Β͸ ผαΠτͷϦιʔε΁ΞΫηε͢Δ͜ͱ͕Ͱ͖ͳ͍ ˠ
    ಉҰΦϦδϯϙϦγʔʢ4BNF0SJHJO 1PMJDZ
    401ʣʹΑΔอޢ
37. XSSʹΑΔ߈ܸྫ ຊདྷϒϥ΢β্Ͱ͸ɺ͋Δ63-ʹΑͬͯϩʔυ͞ΕΔϦιʔεʢ+BWB4DSJQUͷίʔυͳͲʣ͔Β͸ ผαΠτͷϦιʔε΁ΞΫηε͢Δ͜ͱ͕Ͱ͖ͳ͍ ˠ ಉҰΦϦδϯϙϦγʔʢ4BNF0SJHJO 1PMJDZ
    401ʣʹΑΔอޢ 37 https:// ...のページ window.document.body window.localStorage Cookie（※） https://evil.example.com/...のページ ※originより制限が緩いsite単位での管理 ѱҙͷ͋Δ+BWB4DSJQU ブラウザ Origin ͕ҟͳΔϖʔδ GFUDI ʹΑΔϨεϙϯεಡΈऔΓ
38. 38 XSSʹͭͳ͕Δةݥͳ࣮૷ྫ +BWB4DSJQUͷίϯςΩετͰղऍ͞ΕΔ෦෼ <img onload=“ユーザーの入力”> document.body.innerHTML = “ユーザーの入力” document.write(“ユーザーの入力”) ʹ Ϣʔβʔͷೖྗ͕͋Δ ˠ ةݥͳίʔυʹͳΔ K2VFSZͷK2VFSZBQQFOE
    ΍ 3FBDUKTͷEBOHFSPVTMZ4FU*OOFS)5.- ͳͲ ϥΠϒϥϦΛ࢖͍ͬͯͯ΋஫ҙ͕ඞཁͳ෦෼΋͋Δɻ ࣮૷ྫ ࣮૷ྫ ࣮૷ྫ note
39. 39 IDOR ʢInsecure Direct Object Referenceʣ
40. 40 ඇެ։
41. 41 ඇެ։
42. 42 ඇެ։
43. 43 IDORͷݪཧ POST /posts/ comment=今⽇はいい天気☀ ID: 1ͷ౤ߘΛߋ৽͢ΔϦΫΤετ POST /posts/ comment=こんにちは︕ ID: 2ͷ౤ߘΛߋ৽͢ΔϦΫΤετ ౤ߘ͝ͱʹ*%ΛׂΓ౰ͯͯαʔόʔଆͰࣝผ ฤूର৅ͷ౤ߘΛϦΫΤετ࣌ʹ*%Ͱࢦఆ A͞Μ͕ࣗ਎ͷ ౤ߘʢID: 1ʣΛߋ৽ ߈ܸऀ͕ࣗ਎ͷ ౤ߘʢID: 2ʣΛߋ৽ "͞Μ ʮࠓ೔͸͍͍ఱؾ‗ʯ ߈ܸऀ ʮ͜Μʹͪ͸ʯ ౤ߘ ౤ߘ
44. 44 IDORͷݪཧ POST /posts/ comment=私はお⾦持ちです︕ ID: 2ͷ౤ߘΛߋ৽͢ΔϦΫΤετ ߈ܸऀ͕ࣗ਎ͷ ౤ߘʢID: 2ʣΛߋ৽ 他⼈の投稿IDに 変更して更新 "͞Μ ʮࢲ͸͓ۚ࣋ͪͰ͢ʂʯ ߈ܸऀ ʮ͜Μʹͪ͸ʯ ౤ߘ ౤ߘ
45. 45 CSRF (Cross-Site Request Forgery)
46. 46 ඇެ։
47. 47 ඇެ։
48. αʔόʔ͸ɺʮͲͷϢʔβʔʹΑΔϦΫΤετ͔ʯͱ͍ͬͨηογϣϯ؅ཧΛϦΫΤετ࣌ʹ෇ Ճ͞ΕΔ$PPLJFϔομͷ஋Ͱߦ͏ ϒϥ΢βଆͰ͸ɺϦΫΤετൃੜ࣌ʹαΠτผʹอଘ͞Ε͍ͯͨ$PPLJFΛࣗಈతʹ෇༩͢Δ 48 CSRFͷݪཧ ϩάΠϯ Ϣʔβʔhoge https://example.com Set-Cookie: sessionid=sdfhaiew ϒϥ΢βʹ CookieΛอଘ
49. αʔόʔ͸ɺʮͲͷϢʔβʔʹΑΔϦΫΤετ͔ʯͱ͍ͬͨηογϣϯ؅ཧΛϦΫΤετ࣌ʹ෇ Ճ͞ΕΔ$PPLJFϔομͷ஋Ͱߦ͏ ϒϥ΢βଆͰ͸ɺϦΫΤετൃੜ࣌ʹαΠτผʹอଘ͞Ε͍ͯͨ$PPLJFΛࣗಈతʹ෇༩͢Δ 49 CSRFͷݪཧ ϩάΠϯ Set-Cookie: sessionid=sdfhaiew ౤ߘ΁ͷ͍͍Ͷ ౤ߘͷฤू Cookie: sessionid=sdfhaiew Cookieͷ஋͔Β Ϣʔβʔhoge͔ΒͷϦΫΤετ ͱͯ͠ॲཧ ϒϥ΢β͔Β https://example.com ΁ͷϦΫΤετૹ৴ Ϣʔβʔhoge https://example.com ϒϥ΢βʹ CookieΛอଘ Cookie: sessionid=sdfhaiew ϦΫΤετʹ ࣗಈతʹ$PPLJF෇༩
50. ࣗಈͰ$PPLJFૹ৴͞ΕΔੑ࣭Λར༻ͯ͠ ଞͷϢʔβʔ͕ҙਤ͠ͳ͍ϦΫΤετૹ৴͢Δ63-ΞΫηεͤͨ͞ΒͲ͏ͳΔʁ 50 CSRFͷݪཧ Ϣʔβʔͷ࡟আ ʮϢʔβʔͷ࡟আʯͷϦΫΤετ ͱಉ͡63-Λૹ৴ ϩάΠϯࡁΈͷϒϥ΢βͰ ϦϯΫΛ։͘ Ϣʔβʔhoge Cookieͷ஋͔Β Ϣʔβʔhoge͔ΒͷϦΫΤετ ͱͯ͠ॲཧ ˠ Ϣʔβʔͷҙਤʹ൓ͯ͠উखʹΞΧ΢ϯτ͕࡟আ͞Εͯ͠·͏ Cookie: sessionid=sdfhaiew ϦΫΤετʹ ࣗಈతʹ$PPLJF෇༩ ϒϥ΢β͔Β IUUQTFYBNQMFDPN
    ΁ͷϦΫΤετૹ৴
51. 51 SQL Injection
52. 52 ඇެ։
53. 53 ඇެ։
54. 8FCΞϓϦέʔγϣϯͰ͸σʔλͷอଘʹσʔλϕʔεʢ%#ʣ͕ར༻͞ΕΔ͜ͱ͕ଟ͍ 54 DBαʔόʔ Webαʔόʔ SQL Injectionͷݪཧ ίϝϯτʹ”hoge”͕ ؚ·ΕΔ౤ߘΛݕࡧ ”hoge”ΛؚΉίϝϯτΛ DBݕࡧ͢Δॲཧ ݕࡧ݁ՌͷϨίʔυ %#ͷૢ࡞ʹԠͯ͡ ൃߦ͢Δ42-ΫΤϦΛ૊Έཱͯ SELECT * FROM users WHERE comment LIKE ‘%hoge%’
55. 55 42-
    *OKFDUJPOͷݪཧ 4&-&$5
    
    '30.
    VTFST
    8)&3&
    DPNNFOU
    -*,&
    bϢʔβʔͷೖྗ` ʮ`ʯͰғΘΕͨ෦෼͸จࣈྻͱͯ͠ղऍ ϢʔβʔͷೖྗΛར༻͢Δ42-ΫΤϦ
56. 56 42-
    *OKFDUJPOͷݪཧ 4&-&$5
    
    '30.
    VTFST
    8)&3&
    DPNNFOU
    -*,&
    bϢʔβʔͷೖྗ` ʮ`ʯͰғΘΕͨ෦෼͸จࣈྻͱͯ͠ղऍ 4&-&$5
    
    '30.
    VTFST
    8)&3&
    DPNNFOU
    -*,&
    b`
    6/*0/
    4&-&$5
    
    '30.
    VTFST b` Ϣʔβʔͷೖྗͷ్தʹʮ`ʯؚ͕·Ε͍ͯͨΒɾɾɾʁ ͜͜Ͱจࣈྻͱͯ͠͸ऴΘΓ จࣈྻͰ͸ͳ͍෦෼ͱͯ͠ղऍ͞ΕΔ ޷͖ͳΫΤϦจΛ௥هͰ͖Δ ϢʔβʔͷೖྗΛར༻͢Δ42-ΫΤϦ
57. ৘ใ࿙͍͑ 6/*0/۟Λར༻ͯ͠Ϩεϙϯε͔Β৘ใऔಘ #MJOE
    42-
    *OKFDUJPO ৚݅ࣜΛར༻ͨ͠ΤϥʔԠ౴͔Β৘ใऔಘ͢Δ &SSPSCBTFE
    42-
    *OKFDUJPO ৚݅ࣜΛར༻ͨ͠4-&&1͔Β৘ใऔಘ͢Δ 5JNFCBTFE
    42-
    *OKFDUJPO %P4 4-&&1۟ͷར༻ʹΑΔॲཧͷ஗Ԇ 57 42-
    *OKFDUJPOʹΑΔ߈ܸྫ ར༻͍ͯ͠Δ%#αʔόʔͷछྨ΍ݖݶʹΑͬͯ͸ɺ೚ҙίʔυ࣮ߦ΍ϑΝΠϧಡΈऔΓ΋Մೳʹ
58. 58 Path Traversal
59. 59 ඇެ։
60. 60 ඇެ։
61. ϑΝΠϧΞοϓϩʔυɾμ΢ϯϩʔυػೳͷ࣮૷ ʢྫɿϓϩϑΟʔϧը૾ͷऔಘɺ$47σʔλͷೖߘͳͲʣ 61 Path Traversalͷݪཧ อଘઌ΍ಡΈग़͠ݩͷσΟϨΫτϦΛܾఆ͢ΔࡍʹϢʔβʔͷೖྗΛར༻ lBQQVQMPBETz
    
    GJMFOBNF GJMFOBNFதʹlzΛؚΊͨύεΛࢦఆ͢Δͱɾɾɾ
62. ϑΝΠϧΞοϓϩʔυɾμ΢ϯϩʔυػೳͷ࣮૷ ʢྫɿϓϩϑΟʔϧը૾ͷऔಘɺ$47σʔλͷೖߘͳͲʣ 62 Path Traversalͷݪཧ ಡΈग़͢ϑΝΠϧ͕
    FUDQBTTXE
    ʹͳͬͯ͠·͏ lBQQVQMPBETFUDQBTTXEz อଘઌ΍ಡΈग़͠ݩͷσΟϨΫτϦΛܾఆ͢ΔࡍʹϢʔβʔͷೖྗΛར༻ lBQQVQMPBETz
    
    GJMFOBNF GJMFOBNFதʹlzΛؚΊͨύεΛࢦఆ͢Δͱɾɾɾ
63. ೚ҙͷίʔυ࣮ߦ QIQ΍KTQͷ഑ஔʹΑΔαʔόʔ্Ͱͷίʔυͷ࣮ߦ αʔόʔ্ͷ೚ҙͷϑΝΠϧɾ৘ใͷಡΈऔΓ ϩάϑΝΠϧͷऔಘ αʔόʔͷߏ੒৘ใऔಘ ؀ڥม਺ͷऔಘ 63 Path TraversalʹΑΔ߈ܸྫ
64. 64 DoS (Denial-of-Service)
65. 65 DoSͷ࣮ྫ ϓϩϑΟʔϧը૾ઃఆ࣌ʹ੾Γൈ͖ॲཧͷίϚϯυ͕࣮ߦ͞Ε͍ͯΔ ϐΫηϧ਺͕ଟ͍ը૾Λੜ੒ͯ͠Ξοϓϩʔυ $ vips black black.png 1000000 1000000 --bands 3 ྫʣԯϐΫηϧͷQOHը૾Λੜ੒ ˠ ੾Γൈ͖ॲཧͰ๲େͳ$16ϦιʔεΛফඅ
66. 66 ඇެ։
67. 67 DoSͷݪҼྫ ܁Γฦ͠ॲཧͷ࣮૷ϛε ϑΝΠϧͷऔΓѻ͍ ճ෮ෆೳͳྫ֎ ճ਺ͷ্ݶ੍͕ݶ͕ແ͍ αΠζ੍ݶ͕ແ͍ɺϦιʔεͷ։์๨Ε ϝϞϦͷྖҬ֎ΞΫηε͕ൃੜ͢ΔόάʹΑΔϓϩηεͷΫϥογϡ
68. 68 OS Command Injection
69. 69 ඇެ։
70. 70 ඇެ։
71. ίϚϯυΛ࣮ߦ͢ΔࡍͷҰ෦ͷ஋ʹϢʔβʔͷೖྗΛར༻͢Δ࣮૷ -JOVYͰγΣϧػೳΛ༗ޮʹͨ͠ίϚϯυ࣮ߦͷ৔߹ʢྫɿDIJME@QSPDFTTFYFDʣ γΣϧεΫϦϓτͷߏจ͕ར༻Ͱ͖Δ 71 OS Command Injectionͷݪཧ DPOWFSU
    JOQVUQOH HSBWJUZ
    DFOUFS
    SFTJ[F
    YϢʔβʔͷೖྗ஋?
    DSPQ
    
    PVUQVUQOH cΛؚΊͨʮϢʔβʔͷೖྗ஋ʯΛࢦఆ͢Δͱɾɾɾ
72. ίϚϯυΛ࣮ߦ͢ΔࡍͷҰ෦ͷ஋ʹϢʔβʔͷೖྗΛར༻͢Δ࣮૷ -JOVYͰγΣϧػೳΛ༗ޮʹͨ͠ίϚϯυ࣮ߦͷ৔߹ʢྫɿDIJME@QSPDFTTFYFDʣ γΣϧεΫϦϓτͷߏจ͕ར༻Ͱ͖Δ 72 OS Command Injectionͷݪཧ DPOWFSU
    JOQVUQOH HSBWJUZ
    DFOUFS
    SFTJ[F
    YϢʔβʔͷೖྗ஋?
    DSPQ
    
    PVUQVUQOH cΛؚΊͨʮϢʔβʔͷೖྗ஋ʯΛࢦఆ͢Δͱɾɾɾ DPOWFSU
    JOQVUQOH HSBWJUZ
    DFOUFS
    SFTJ[F
    YcMTc?
    DSPQ
    
    PVUQVUQOH ͭ໨ͷίϚϯυ ͭ໨ͷίϚϯυ ͭ໨ͷίϚϯυ Ϣʔβʔͷࢦఆͨ͠ίϚϯυ͕࣮ߦ͞Εͯ͠·͏
73. 73 OS Command Injectionͷ࣮૷ྫ ίϚϯυΛ࣮ߦ͢Δؔ਺ʹϢʔβʔೖྗΛར༻͢Δέʔε ʢจࣈྻ݁߹ͳͲʣ system(“ユーザーの入力”) exec(“ユーザーの入力”) passthru(“ユーザーの入力”) Runtime.getRuntime().exec(“ユーザーの入力”) child_process.spawn(“ユーザーの入力”) child_process.exec(“ユーザーの入力”) 1)1 +BWB /PEFKT exec(“ユーザーの入力”) system(“ユーザーの入力”) 3VCZ
74. ੬ऑੑͷରࡦ 74
75. ຊηΫγϣϯͷΞδΣϯμ 75 1. Path Traversalରࡦ 2. OS Command Injectionରࡦ 3. ੬ऑੑରࡦͷϙΠϯτʢࠓճͷԋश΍ࠓޙͷۀ຿Ͱ࣮ ફͯ͠΄͍͜͠ͱ
76. ϑΝΠϧΞοϓϩʔυɾμ΢ϯϩʔυػೳͷ࣮૷ ʢྫɿϓϩϑΟʔϧը૾ͷऔಘɺ$47σʔλͷೖߘͳͲʣ 76 Path Traversalͷݪཧʢ࠶ܝʣ อଘઌ΍ಡΈग़͠ݩͷσΟϨΫτϦΛܾఆ͢ΔࡍʹϢʔβʔͷೖྗΛར༻ lBQQVQMPBETz
    
    GJMFOBNF ˠ ಡΈग़͢ϑΝΠϧ͕ҙਤ͠ͳ͍
    FUDQBTTXE
    ʹͳͬͯ͠·͏ lzΛར༻͢Δͱɾɾɾ lBQQVQMPBETFUDQBTTXEz
77. ../../../etc/passwd 77 Path Traversalରࡦ filenameʹ1্ͭͷ֊૚Λࣔ͢ “../” ͕ར༻Ͱ͖Δ͜ͱ͕໰୊͔ͩΒɾɾɾ filename͔Β “../” ΛऔΓআ͘ॲཧΛͯ͠ରࡦ etc/passwd /app/uploads/etc/passwd “/app/uploads/” + filename ࡉ޻Λͯ͠΋ BQQVQMPBET
    ഑Լ͕ಡΈग़͠ର৅ͷύεʹͳΔ ˠ ೚ҙͷύεͷϑΝΠϧΛಡΈग़͢͜ͱ͕Ͱ͖ͳ͘ͳͬͨ ˞͜ͷमਖ਼ํ๏͸ਖ਼͋͘͠Γ·ͤΜʂ
78. 78 Path Traversalରࡦ Node.jsͰͷ࣮૷ ΛऔΓআ͘ॲཧ
79. 
    ઌఔͷ1BUI
    5SBWFSTBMͷରࡦΛӌճͯ͠ FUDQBTTXE
    ΛಡΈग़ ͯ͠Έ·͠ΐ͏ 
    ͲͷΑ͏ʹରࡦΛ͢Δͱ׬ᘳʹमਖ਼Ͱ͖Δ͔Λߟ͑ͯΈ·͠ΐ͏ 79 ԋश8ɿରࡦͷӌճ (࣮ࢪ࣌ؒ: 10෼)
80. filenameʹ….//….//….//….//etc/passwd Λࢦఆ͢Δ͜ͱͰରࡦΛӌճͰ͖Δ 80 Path Traversalରࡦ ….//….//….//etc/passwd ../../../etc/passwd /app/uploads/../../../etc/passwd “/app/uploads/” + filename → /etc/passwd ͔ΒϑΝΠϧΛಡΈग़ͯ͠͠·͏
81. 81 Path Traversalରࡦ ରࡦྫ ύεͷਖ਼نԽͷྫɿ /app/uploads/./././etc/passwd → /app/uploads/etc/passwd /app/uploads/././../uploads/../etc/././passwd → /etc/passwd ύεΛਖ਼نԽͯ͠ɺҙਤͨ͠σΟϨΫτϦ഑Լ͕ࢦఆ͞Ε͍ͯΔ͔Λ ݕূ /app/uploads/ Ͱ࢝·Δʁ
82. ίϚϯυΛ࣮ߦ͢ΔࡍͷҰ෦ͷ஋ʹϢʔβʔͷೖྗΛར༻͢Δ࣮૷ -JOVYͰγΣϧػೳΛ༗ޮʹͨ͠ίϚϯυ࣮ߦͷ৔߹ʢྫɿDIJME@QSPDFTTFYFDʣ γΣϧεΫϦϓτͷߏจ͕ར༻Ͱ͖Δ 82 OS Command Injectionͷݪཧʢ࠶ܝʣ DPOWFSU
    JOQVUQOH HSBWJUZ
    DFOUFS
    SFTJ[F
    YϢʔβʔͷೖྗ஋?
    DSPQ
    
    PVUQVUQOH cΛؚΊͨʮϢʔβʔͷೖྗ஋ʯΛࢦఆ͢Δͱɾɾɾ DPOWFSU
    JOQVUQOH HSBWJUZ
    DFOUFS
    SFTJ[F
    YcMTc?
    DSPQ
    
    PVUQVUQOH ͭ໨ͷίϚϯυ ͭ໨ͷίϚϯυ ͭ໨ͷίϚϯυ Ϣʔβʔͷࢦఆͨ͠ίϚϯυ͕࣮ߦ͞Εͯ͠·͏
83. 83 OS Command Injectionରࡦ ίϚϯυͷҾ਺ͱͯ͠ѻ͏෦෼ΛγΣϧߏจͷҰ෦ͱͯ͠ར༻Ͱ͖ͯ͠·͏ͷ͕໰୊͔ͩΒɾɾɾɾ Ϣʔβʔೖྗͷ෦෼Λ""ͰғΉ DPOWFSU
    JOQVUQOH HSBWJUZ
    DFOUFS
    SFTJ[F
    YϢʔβʔͷೖྗ஋?
    DSPQ
     PVUQVUQOH DPOWFSU
    JOQVUQOH HSBWJUZ
    DFOUFS
    SFTJ[F
    YcMTc?
    DSPQ
    
    PVUQVUQOH ""಺ͰͭͷҾ਺ͱͯ͠ೝࣝ͞ΕΔͷͰɺ MT͸࣮ߦ͞Εͳ͍ ˞͜ͷमਖ਼ํ๏͸ਖ਼͋͘͠Γ·ͤΜʂ
84. 84 OS Command Injectionରࡦ /PEFKTͰͷ࣮૷
85. 9-1. ઌఔͷOS Command InjectionͷରࡦΛӌճͯ͠ ls Λ࣮ߦͯ͠Έ· ͠ΐ͏ 9-2. ͲͷΑ͏ʹରࡦΛ͢Δͱྑ͍͔Λߟ͑ͯΈ·͠ΐ͏ 85 ԋश9ɿରࡦͷӌճ (࣮ࢪ࣌ؒ: 10෼)
86. 86 OS Command Injectionରࡦ AͰίϚϯυΛғΜͰରࡦΛӌճͰ͖Δ DPOWFSU
    lJOQVUQOHz
    HSBWJUZ
    DFOUFS
    SFTJ[F
    lYAMTA?z
    DSPQ
    
    lPVUQVUQOHz
87. 87 OS Command Injectionରࡦ ରࡦɿ ಛఆͷจࣈΛېࢭͯ͠ίϚϯυ͕࣮ߦ͞Εͳ͍Α͏ʹ͠Α͏ɾɾɾ ˞͜ͷमਖ਼ํ๏͸ਖ਼͋͘͠Γ·ͤΜʂ Λېࢭ A
88. 88 OS Command Injectionରࡦ  ͰίϚϯυΛғΜͰରࡦΛӌճͰ͖Δ DPOWFSU
    lJOQVUQOHz
    HSBWJUZ
    DFOUFS
    SFTJ[F
    lY MT ?z
    DSPQ
    
    lPVUQVUQOHz
89. 89 OS Command Injectionରࡦ ରࡦɿ ˞͜ͷमਖ਼ํ๏͸ਖ਼͋͘͠Γ·ͤΜʂ Λېࢭ A
    
    
90. 90 OS Command Injectionରࡦ lcMTczͰจࣈྻ෦෼Λൈ͚ͯӌճͰ͖Δ DPOWFSU
    lJOQVUQOHz
    HSBWJUZ
    DFOUFS
    SFTJ[F
    lYzcMTcz?z
    DSPQ
    
    lPVUQVUQOHz
91. 91 OS Command Injectionରࡦ ରࡦɿ ˞͜ͷमਖ਼ํ๏͸ਖ਼͋͘͠Γ·ͤΜʂ A
    
    l Λېࢭ ېࢭจࣈΛ૿΍͢ରࡦͰຊ౰ʹେৎ෉ɾɾɾʁ
92. 92 OS Command Injectionରࡦ ϑΝΠϧ໊΁ͷࡉ޻ͱ૊Έ߹Θͤͯӌճ DPOWFSU
    lUNQJOQVUQOHʘz
    HSBWJUZ
    DFOUFS
    SFTJ[F
    lcMTcY?z
    DSPQ
    
    lPVUQVUQOHz όοΫεϥογϡͰlΛΤεέʔϓॲཧ
93. /PEFKTͷ৔߹ IUUQTHJUIVCDPNNNPNUDIFWNBHJDLXBOEKT Ͱಉ༷ͷॲཧΛهड़Ͱ͖Δ 93 OS Command Injectionରࡦ ରࡦྫ ίϚϯυ࣮ߦΛͤͣʹಉ౳ͷॲཧΛ࣮ݱ͢Δ ېࢭจࣈΛ૿΍͢ ํ਑Λݟ௚ͦ͏
94. ੈͷதҰൠʹެ։͞Ε͍ͯΔ߈ܸख๏΍ରࡦͷϕετϓϥΫςΟε͕͋Ε ͹ͦΕʹج͍࣮ͮͯ૷Λ͢Δ • ͢΂ͯͷ߈ܸखஈΛࣗ෼Ͱߟ͑ɺ׬ᘳʹରࡦΛ࣮૷͢Δ͜ͱ͸೉͍͠ • 944΍42-
    *OKFDUJPOͳͲͷҰൠతͳ੬ऑੑ͸ɺϑϨʔϜϫʔΫͷυΩϡϝϯτதͳͲɺ ϕετϓϥΫςΟεͷهࡌ͕͋Δ৔߹͕ଟ͍ͷͰͦΕʹै͏ 94 ੬ऑੑରࡦͷϙΠϯτʢࠓճͷԋश΍ࠓޙͷۀ຿Ͱ࣮ફͯ͠΄͍͜͠ͱʣ
95. 95 ੬ऑੑରࡦͷϙΠϯτʢࠓճͷԋश΍ࠓޙͷۀ຿Ͱ࣮ફͯ͠΄͍͜͠ͱʣ ѱ༻͞Ε΍͍͢ػೳ΍࣮૷Λ஌Ζ͏ • ઃܭɾ࣮૷͍ͯ͠Δ࣌ʹηΩϡϦςΟΛҙࣝͰ͖Δঢ়ଶʹͳΖ͏ ʢϢʔβʔೖྗ͕ଟ͍ՕॴɺϑΝΠϧμ΢ϯϩʔυɾΞοϓϩʔυͳͲʣ • ٯʹѱ༻͞ΕΔ͜ͱ͕ͳ͍҆શͳػೳɾ࣮૷΋෼͔ΔΑ͏ʹ
96. 96 ੬ऑੑରࡦͷϙΠϯτʢࠓޙۀ຿ͷதͰߟ͑ͯ΄͍͜͠ͱʣ ΑΓ؆୯ʹ͔࣮ͭ֬ʹ҆શʹ࣮૷Ͱ͖Δํ๏΍୅ସࡦΛଟ֯తʹߟ͑Α͏ 04
    $PNNBOE
    *OKFDUJPOͷྫ ˠ ίϚϯυ࣮ߦΛ͢Δؔ਺Λ࢖͏ͷΛ΍ΊΔ
97. • PortSwigger WebSecurity Academy ʢ https://portswigger.net/web-security ʣ • ମܥతʹֶͿ ҆શͳWebΞϓϦέʔγϣϯͷ࡞Γํ ʢ https://www.sbcr.jp/product/4797393163/ ʣ 97 WebΞϓϦέʔγϣϯʹର͢Δ߈ܸख๏ΛΑΓৄ͘͠ษڧ͍ͨ͠ํ͸
98. ԋश 98
99. 99 ࠓճ͸ʮCTFʯͱݺ͹ΕΔܗࣜͰνʔϜ͝ͱͷԋश CTFͱ͸ʁ Capture The Flag ઐ໳஌ࣝ΍ٕज़Λۦ࢖ͯ͠Ӆ͞Ε͍ͯΔFlagʢൿີͷจࣈྻʣΛݟ͚ͭग़͠ɺ ࣌ؒ಺ʹ֫ಘͨ͠߹ܭಘ఺Λڝ͏ϋοΩϯάίϯςετ νʔϜ͝ͱʹ֫ಘͨ͠ϙΠϯτΛڝ͏ ԋश֓ཁ
100. 100 ඇެ։
101. 101 ໰୊͸2छྨ ੬ऑੑΛѱ༻ͯ͠ൿີͷ'MBHΛ औಘɾૹ৴͢Δ͜ͱͰ ϙΠϯτΛ֫ಘͰ͖Δ໰୊ ߈ܸʢAttackʣ ѱ༻Մೳͳ੬ऑੑΛमਖ਼͠ɺ ϦϙδτϦʹίϛοτ ߨࢣʹ֬ೝΛͯ͠΋Β͏͜ͱͰ ϙΠϯτΛ֫ಘͰ͖Δ໰୊ ๷ޚʢDefenseʣ ໰୊ʹ͍ͭͯ
102. 102 üνʔϜ಺Ͱ෼͔Βͳ͍ਓ͕͍Ε͹ڭ͑߹͏ͳͲɺޓ͍ʹॿ͚߹͍ͳ͕ΒਐΊ ͍ͯͩ͘͞ üΦϯϥΠϯͷਓ͕͍Δ৔߹ʹ͸ɺߨࢣ΋ࢀՃͰ͖ΔΑ͏ɺߨࢣ͕ೖ͍ͬͯΔ νϟϯωϧͷϋυϧΛ׆༻͍ͯͩ͘͠͞ üαʔόʔʹ઀ଓͰ͖ͳ͍ͳͲͷτϥϒϧ࣌͸SlackͰϝϯγϣϯ ʢ @pdo-fye0325-prd-security-tutors ʣ Λ෇͚ͯߨࢣʹ஌Β͍ͤͯͩ͘͞ αʔόʔϦηοτͳͲͷରԠΛߦ͍·͢ üձࣾͷϧʔϧ΍๏཯Λक্ͬͨͰ͋Ε͹ɺར༻͢Δπʔϧ΍αΠτʹ੍ݶ͸ ͋Γ·ͤΜ ԋशͷਐΊํ
103. 103 είΞαʔόʔʹ͍ͭͯ ࠓճͷԋशͰඞཁͳ֤छૢ࡞͕Ͱ͖ΔαʔόʔͰ͢ ໰୊ͷճ౴ఏग़ ֫ಘͨ͠ϙΠϯτͷ֬ೝ ॱҐͷ֬ೝ
104. 104 είΞαʔόʔ΁ͷΞΫηεͱϩάΠϯ ഑෍͞ΕͨείΞαʔόʔͷURLΛ։͘ ※͜ͷαʔόʔ͸߈ܸର৅Ͱ͸ͳ͍͜ͱʹ஫ҙ ӈ্ͷLoginΛΫϦοΫ note
105. 105 Check1: είΞαʔόʔ΁ͷΞΫηεͱϩάΠϯ νʔϜ͝ͱʹ഑෍͞Ε͍ͯΔϩάΠϯ৘ใͰϩάΠϯ
106. 106 Check1: ໰୊Ұཡϖʔδͷ֬ೝ ࠓճͷԋशதͰ͸໰୊จ͸νʔϜ͝ͱʹ഑෍͞ΕͨυΩϡϝϯτΛࢀর͍ͯͩ͘͠͞
107. 107 ໰୊ʹ͍ͭͯ ü෇༩ϙΠϯτ͸Լهͷ௨ΓͰ͢ attack: 100 pts defense: मਖ਼͕׬ᘳͳ৔߹: 100 pts मਖ਼͕ෆ׬શͳ৔߹: 50 pts üChallenge͝ͱʹ൪߸͕ৼΒΕ͍ͯ·͕͢Ͳͷॱ൪Ͱղ͍ͯ΋ߏ͍·ͤΜ üChallenge಺ͷattack΍defenseʹ΋ղ͘΂͖ॱ൪ʹࢦఆ͸͋Γ·ͤΜ ü֤໰୊Ͱͦͷ໰୊͕ղ͚ͨνʔϜ਺Λ֬ೝͰ͖·͢ ଟ͘ͷνʔϜ͕ղ͚ͨ໰୊ͷํ͕೉қ౓͕௿͍͔΋͠Ε·ͤΜ
108. ໰୊ͷ֬ೝ 108
109. 109 Check 2: νϡʔτϦΞϧ໰୊ʢ߈ܸฤʣɿ໰୊֬ೝ ֤νʔϜʹ഑෍͞ΕͨυΩϡϝϯτ͔Β໰୊จΛ֬ೝͰ͖·͢
110. 110 Check 3: νϡʔτϦΞϧ໰୊ʢ߈ܸฤʣɿ໰୊֬ೝ ໰୊෼தͷϦϯΫΛΫϦοΫͯ͠߈ܸର৅ͷΞϓϦέʔγϣϯʹΞΫηε ϢʔβʔΛొ࿥ͯ͠ϩάΠϯ͢ΔͱɺϓϩϑΟʔϧ͕දࣔ͞ΕΔγϯϓϧͳWebαΠτ
111. 111 Check 4: νϡʔτϦΞϧ໰୊ʢ߈ܸฤʣͷιʔείʔυͷऔಘ ֤νʔϜʹ഑෍͞ΕͨϦϙδτϦΛΫϩʔϯͯ͠ιʔείʔυΛ֬ೝ $ git clone /bootcamp-2024-teamx.git $ cd bootcamp-2024-teamx/ $ ls … fortune … ໰୊໊ͱಉҰͷσΟϨΫτϦ໊ʹͦͷ໰୊ʹؔ࿈ͨ͠ϑΝΠϧ͕֨ೲ͞Ε͍ͯΔ ࠓճͷ໰୊ͷ৔߹͸ʮfortuneʯ
112. 112 ΞϓϦέʔγϣϯͱιʔεɾίʔυ͔Β ੬ऑੑΛ୳ͯ͠'MBHΛ֫ಘ͠Α͏ʢ߈ܸฤʣ
113. 113 Flagʹ͍ͭͯ üFlagͷܗࣜ͸໰୊͝ͱʹࢦఆ͕ͳ͍ݶΓɺ ctfRED{[¥x20-¥x7E]+} ʢ{}಺͸ද ࣔՄೳͳ1จࣈҎ্ͷASCIIจࣈʣͰ͢ üdummy{…} ͱ͍ͬͨμϛʔͷFlag͕දࣔ͞ΕΔ͜ͱ͕͋Γ·͕͢ɺຊ෺Ͱ͸ ͳ͍͜ͱʹ஫ҙ͍ͯͩ͘͠͞ ü഑෍͞ΕͨιʔείʔυதͰ͸ɺຊ෺ͷFlag͕ϚεΫ͞Ε͍ͯ·͢ üFlag͸ૹ৴ϑΥʔϜ͔ΒԿճૹ৴ͯ͠΋ϙΠϯτ͕ݮΔ͜ͱ͸͋Γ·ͤΜ͕ɺ ਪଌ͕ࠔ೉ͳจࣈྻʹͳ͍ͬͯ·͢ üօ͞Μͷਐ௙۩߹Λ֬ೝ͍ͨ͠ͷͰɺFlag͸ͳΔ΂͘ཷΊࠐ·ͣʹఏग़Λ͓ ئ͍͠·͢
114. 114 ੬ऑੑʹ͍ͭͯ ü࣍ͷ੬ऑੑ͸ࠓճͷ߈ܸର৅Ͱ͸͋Γ·ͤΜ • HTTPΛར༻ͯ͠௨৴͍ͯ͠Δ • CookieʹSecureଐੑ͕෇༩͞Ε͍ͯͳ͍ • DoS߈ܸ͕Մೳ • ϩάΠϯࢼߦճ਺ʹ੍ݶ͕ͳ͍
115. 115 νϡʔτϦΞϧ໰୊ʢ߈ܸฤʣɿFlagͷ৔ॴͷ֬ೝ ·ͣ͸ιʔείʔυத͔Βz'MBHzͷ৔ॴΛ୳͢ 'MBH͸࠷ॳʹొ࿥͞ΕΔϢʔβʔͷ lGMBHzΧϥϜʹ֨ೲ͞Ε͍ͯΔ fortune/src/database/seeders/UserSeeder.php ϩάΠϯதͷϢʔβʔ໊͕zBENJOzͷ ͱ͖ʹzGMBHzΛදࣔ fortune/src/resources/views/user.blade.php
116. 116 νϡʔτϦΞϧ໰୊ʢ߈ܸฤʣɿ੬ऑੑ ϩάΠϯ͍ͯ͠ΔϢʔβʔΛࣝผ͢ΔϩδοΫΛݟͯΈΔ VTFS@JE͕Ωʔͷ$PPLJFͷ஋ΛϩάΠϯதͷϢʔβʔͷJEͱͯ͠ར༻͍ͯ͠Δ
117. 117 νϡʔτϦΞϧ໰୊ʢ߈ܸฤʣɿ੬ऑੑ ؅ཧऀϢʔβʔ͸ΞϓϦέʔγϣϯ͸࠷ॳʹొ࿥͞Ε͍ͯΔϢʔβʔͳͷͰɺ ؅ཧऀϢʔβʔͷ VTFS@JE ͸ 
     Ͱ͋Δ͜ͱ͕༧૝Ͱ͖Δ ։ൃऀπʔϧ͔Β$PPLJFΛฤूͯ͠஋Λ̍ʹมߋ
118. 118 νϡʔτϦΞϧ໰୊ʢ߈ܸฤʣɿ੬ऑੑ ΋͏Ұ౓ϦΫΤετΛૹ৴͢Δͱɾɾɾ'MBH͕දࣔ͞Εͨ
119. 119 νϡʔτϦΞϧ໰୊ʢ߈ܸฤʣɿϑϥάఏग़ ֫ಘͨ͠'MBHΛ໰୊ϑΥʔϜ͔Βఏग़ ໰୊͕྘৭ʹมԽͯ͠
     QUT֫ಘ
120. 120 ߈ܸʹར༻Ͱ͖ͨ੬ऑੑΛमਖ਼ͯ͠ΈΑ͏ʢ๷ޚฤʣ
121. 121 मਖ਼ʹ͍ͭͯ ü੬ऑੑҎ֎ͷ෦෼ͷಈ࡞͸Ͱ͖Δ͚ͩอͬͨ··Ͱमਖ਼Λߦ͍ͬͯͩ͘͞ üҰؾʹଟ͘ͷఏग़͕͋Δͱ֬ೝ͕େมʹͳΔͷͰɺमਖ਼͸ਵ࣌ఏग़ͯ͠΋Β ͑Δͱॿ͔Γ·͢ αϒϚϦϯઓ๏
122. 122 Check 6: νϡʔτϦΞϧ໰୊ʢ๷ޚฤʣ: मਖ਼ͷಈ࡞֬ೝ $ cd fortune $ docker compose up --build ഑෍͞ΕͨϦϙδτϦதͷίʔυΛमਖ਼ޙͷಈ࡞֬ೝ ࣍ͷίϚϯυͰ%PDLFSίϯςφͷىಈͱಉ࣌ʹϏϧυΛ࣮ߦ αʔόʔ͕ىಈͯ͠ IUUQMPDBMIPTU ͔ΒΞΫηεͰ͖Δ
123. 123 Docker Composeͷجຊૢ࡞ʢࢀߟʣ $ docker compose exec php /bin/bash PHPαʔϏεͷίϯςφͰγΣϧΛىಈ $ docker compose down ίϯςφΛ࡟আ
124. αʔόʔ͸ɺʮͲͷϢʔβʔʹΑΔϦΫΤετ͔ʯͱ͍ͬͨηογϣϯ؅ཧΛϦΫΤετ࣌ʹ ෇Ճ͞ΕΔCookieϔομͷ஋Ͱߦ͏ ϒϥ΢βଆͰ͸ɺϦΫΤετൃੜ࣌ʹαΠτผʹอଘ͞Ε͍ͯͨCookieΛࣗಈతʹ෇༩͢Δ 124 ηογϣϯ؅ཧʢ࠶ܝʣ ϩάΠϯ Set-Cookie: sessionid=sdfhaiew ౤ߘ΁ͷ͍͍Ͷ ౤ߘͷฤू Cookie: sessionid=sdfhaiew Cookieͷ৘ใ͔Β Ϣʔβʔhoge͔ΒͷϦΫΤετ ͱͯ͠ॲཧ https://example.com΁ϦΫΤετ → อଘͨ͠CookieΛϦΫΤετ ϔομʹࣗಈతʹ෇༩ Ϣʔβʔhoge https://example.com ϒϥ΢βʹ CookieΛอଘ Cookie: sessionid=sdfhaiew
125. 125 Check 7: νϡʔτϦΞϧ໰୊ʢ๷ޚฤʣ: ίʔυͷमਖ਼ ϑϨʔϜϫʔΫʹ༻ҙ͞Εͨηογϣϯ؅ཧͷAPIΛར༻ͯ͠ɺ user_idͷอ؅΍ࢀরΛ͢ΔΑ͏ʹमਖ਼ fortune/src/app/Http/Controllers/UserController.php
126. 126 Check 8: νϡʔτϦΞϧ໰୊ʢ๷ޚฤʣ: मਖ਼ͷఏग़ masterϒϥϯνʹमਖ਼ίϛοτΛؚΊͨޙɺSlackͷ֤νʔϜͷνϟϯωϧʹͯ ԼهͷΑ͏ͳϝοηʔδͰߨࢣʹ௨஌͍ͯͩ͘͠͞ ߨࢣ͕֬ೝޙɺείΞαʔόʔ্ͰϙΠϯτΛ෇༩ͯ͠ɺ݁ՌΛฦ৴͠·͢ masterϒϥϯνͷΈ͕࠾఺ର৅Ͱ͋Δ͜ͱʹ஫ҙ͍ͯͩ͘͠͞
127. 127 Check 9: είΞαʔόʔ্Ͱͷ֫ಘϙΠϯτͷ֬ೝ Scoreboardλϒ͔Βɺ֤νʔϜ͕֫ಘͨ͠ϙΠϯτΛ֬ೝՄೳ
128. Ҏ্Ͱ͜ͷޙͷԋशͷઆ໌͸ऴྃͰ͢ ࠷ޙʹɾɾɾ
129. 129 ࠓճͷԋशͷউऀ͸ɺ ϙΠϯτΛ࠷΋ଟ֫͘ಘͨ͠νʔϜ
130. 130 ࠓճͷԋशͷউऀ͸ɺ ϙΠϯτΛ࠷΋ଟ֫͘ಘͨ͠νʔϜ Ͱ͸ͳ͘ɾɾɾ
131. 131 ࠓճͷԋशͷউऀ͸ɺ ϙΠϯτΛ࠷΋ଟ֫͘ಘͨ͠νʔϜ Ͱ͸ͳ͘ɾɾɾ Ͱ͖Δ͚ͩଟ͘ͷ͜ͱΛֶͿ͜ͱ͕Ͱ͖ͨνʔϜ Ͱ͢ʂ νʔϜͷதͰڠྗ͋ͬͯ͠ԋशΛਐΊ͍ͯͩ͘͞ ߨࢣਞ͔Βͷώϯτ΋ੵۃతʹ׆༻͍ͯͩ͘͠͞
132. Appendix. 132
133. 133 Appendix 1. webhook.siteͷ࢖͍ํ ᶃ https://webhook.site/ ʹΞΫηε͢ΔͱɺࣗಈతʹURL͕ൃߦ͞ΕΔ
134. 134 Appendix 1. webhook.siteͷ࢖͍ํ ᶄ ൃߦ͞ΕͨURLʹରͯ͠ϦΫΤετૹ৴ ϒϥ΢βͰΞΫηε curlͰૹ৴͢Δ scriptλάͰϦΫΤετૹ৴
135. 135 Appendix 1. webhook.siteͷ࢖͍ํ ᶅ ൃߦ͞ΕͨURLѼͷHTTPϦΫΤετͷத਎Λ֬ೝՄೳ methodͱURL ΫΤϦύϥϝʔλ ΫΤϦύϥϝʔλ ϦΫΤετϘσΟ
136. 136 Appendix 2. curlίϚϯυͷ࢖͍ํ λʔϛφϧ͔ΒHTTPϦΫΤετΛૹ৴Ͱ͖Δπʔϧ # Cookieヘッダを設定してリクエスト $ curl -H ‘Cookie: user_id=1’ http://localhost:8000/ # フォームの送信 $ curl -X POST -d ‘param=1&param2=hoge’ http://example.com/ # ファイルをアップロード $ curl -X POST -F upfile=@/path/to/sample.txt http://example.com/upload
137. 137 Appendix 2. curlίϚϯυͷ࢖͍ํ $ python3 -m pip install requests PythonͷHTTPΫϥΠΞϯτϥΠϒϥϦ import requests r = requests.get(‘http://example.com') print(r.text) r = requests.post(‘http://example.com', data={‘param1’: ‘value1’}, headers={‘Cookie’: ‘hoge=fuga’}) print(r.text)
138. 138 Appendix 3. Chrome։ൃऀπʔϧͷ࢖͍ํ Option + Command + I Ͱىಈ ʮιʔεʯλϒ ݱࡏͷϖʔδͷදࣔʹඞཁͳ HTMLɺJSɺCSSΛӾཡͰ͖Δ JSͷ৔߹ʹ͸ߦ൪߸ΛΫϦοΫ͢ Δ͜ͱͰϒϨʔΫϙΠϯτΛઃஔ ֤ͯ͠ม਺ͷ஋ͳͲΛ֬ೝՄೳ
139. 139 Appendix 3. Chrome։ൃऀπʔϧͷ࢖͍ํ ʮωοτϫʔΫʯλϒ ʮϩάΛอ࣋ʯʹνΣοΫΛ෇͚Δ͜ͱͰϖʔδભҠ ͕ൃੜͯ͠΋ɺϦΫΤετཤྺ͕࡟আ͞Εͳ͍ ʮΞϓϦέʔγϣϯʯλϒ ද͍ࣔͯ͠ΔWebαΠτͷ Cookie΍localStorageͷӾཡ΍ฤू͕Մೳ ϒϥ΢βͰൃੜͨ͠ϦΫΤετ ΛӾཡͰ͖Δ
140. 140 Appendix 4. Burp Suiteͷ࢖͍ํ ʮProxyʯ→ ʮInterceptʯ ʮOpen browserʯΛΫϦοΫ͢Δ ͜ͱͰ૊ΈࠐΈϒϥ΢β͕ىಈ
141. 141 Appendix 4. Burp Suiteͷ࢖͍ํ ʮIntercept is onʯͷঢ়ଶʹ͢Δ ͱɺىಈͨ͠ϒϥ΢βͰൃੜ͠ ͨϦΫΤετΛதஅͯ͠ฤूͰ ͖Δ