Web Application Hardening ① (Boot Camp 2020)

8FC"QQMJDBUJPO)BSEFOJOHᶃ #PPU$BNQ ౻ݪ޼ ,P'VKJXBSB ʢגʣϦΫϧʔτɹϓϩμΫτ౷ׅຊ෦ɹϓϩμΫτ։ൃ౷ׅࣨɹΤϯδχΞ ϦϯάࣨɹϓϩμΫςΟϏςΟΤϯδχΞϦϯά෦ɹϓϥοτϑΥʔϜηΩϡ ϦςΟάϧʔϓ

‣౻ݪ޼ LPGVKJXBSB ‣೥౓৽ଔೖࣾ ೥໨Ͱ͢ʂ ‣ओʹϞόΠϧͷηΩϡϦςΟΛݟ͍ͯ·͢ʂ ‣झຯ͸ήʔϜͱ͔ڝٕϓϩάϥϛϯάͱ͔$5'ͱ͔΍ͬͯ·͢ʂ XIPBNJ 2
ʢגʣϦΫϧʔτɹϓϩμΫτ౷ׅຊ෦ɹϓϩμΫτ։ൃ౷ׅࣨ ΤϯδχΞϦϯάࣨɹ ϓϩμΫςΟϏςΟΤϯδχΞϦϯά෦ϓϥοτϑΥʔϜηΩϡϦςΟάϧʔϓ

)BSEFOJOHͱ͸ʜʁ 3 8FC"QQMJDBUJPO)BSEFOJOH 8FCΞϓϦέʔγϣϯΛ ݎ࿚Խ͢Δ

࠷ڧͷݎ࿚Խ 4 αʔόʔΛམͱͨ͠Β σʔλ͕࿙Ӯ͠ͳ͍ ҆શͩͶʂ

࠷ڧͷݎ࿚Խ 5 αʔόʔΛམͱͨ͠Β σʔλ͕࿙Ӯ͠ͳ͍ ҆શͩͶʂ ڐ͞Εͳ͍ ϦεΫʁ Մ༻ੑʁ

)BSEFOJOHͱ͸ʜʁ 6 8FC"QQMJDBUJPO)BSEFOJOH 8FCΞϓϦέʔγϣϯΛ ݎ࿚Խ͢Δ ཁ݅Λຬͨͭͭ͠

‣ΞϓϦΛཁ݅Λຬͨͭͭ͠ɺݎ࿚ʹͯ͠΋Β͍·͢ɻ ‣ΦϦδφϧͷ8FCΞϓϦͷ੬ऑੑΛ୳͠ग़͠ɺνʔϜʹผ Εͯमਖ਼͠·͢ɻ ‣ߨٛͷճ໨ͷޙ൒ɺमਖ਼ͨ͠8FCΞϓϦʹߨࢣਞ͕߈ܸΛ ࢓ֻ͚ͯɺमਖ਼ঢ়گͷϞχλϦϯάΛ͠·͢ɻ ͜ͷݚमͷ֓ཁ 7

ߨٛͷεέδϡʔϧ 8 ߨٛͷઆ໌ ؀ڥߏங ͓னٳΈ ݄ ੬ऑੑͷݕࠪ
੬ऑੑͷमਖ਼ Ր ੬ऑੑͷमਖ਼ ͓னٳΈ ੬ऑੑͷղઆ

‣ˢ্هͷج४Ͱͬ͘͟ΓνʔϜ෼͚͠·͠ΐ͏ νʔϜߏ੒ 9 $5'8FC୲౰ɺϋʔσχϯάܦݧऀ 42-JOKFDUJPOɺ944ͳͲͷ੬ऑੑΛ߈ܸͨ͜͠ͱ͕͋Δରࡦͨ͜͠ͱ͕͋Δ ΄ͲͰ͸ͳ͍͕ɺฉ͍ͨ͜ͱ͸͋Δɺ஌͍ͬͯΔ ʹ౰ͯ͸·Βͳ͍

‣QIQͰ࡞ΒΕͨ؆қ&$αΠτ ‣ιʔείʔυ͸(JU)VCʹஔ͍͍ͯ·͢ɻ 8FCΞϓϦʹ͍ͭͯ 10 6CVOUV 7VF 1IQ -BSBWFM *NBHFNBHJDL .BJMI)PH
ͳͲͳͲʜ

‣αʔόʔ͔Β͸࣮ࡍʹ͸ϝʔϧ͸ૹ৴͞Ε·ͤΜɻ ‣ϝʔϧΛૹ৴͠Α͏ͱͨ͠ܗ੻͸.BJM)PHͰ֬ೝͰ͖·͢ɻ ࠓճ͸͜ͷ.BJM)PHͷը໘Ͱϝʔϧͷ֬ೝΛ͍ͯͩ͘͠͞ɻ ϝʔϧͷ֬ೝํ๏ 11

‣%PDLFSΛΠϯετʔϧ͢Δ ‣EPDLFSDPNQPTFΛΠϯετʔϧ͢Δ ͋Δͱศར ϩʔΧϧ؀ڥͷ੔උํ๏%PDLFS 12 $ brew install docker $
brew cask install docker $ open /Applicastions/Docker.app $ brew install docker-compose

"࠷଎ͰϩʔΧϧ؀ڥͰಈ͔ͯ͠Έ͍ͨਓ޲͚ 13 $ docker pull kofujiwara/ponkotsu_store:latest $ docker run -d
--rm -p 80:80 --name ponkotsu_store kofujiwara/ponkotsu_store

‣EPDLFSDPNQPTF͢Δ #ιʔείʔυͷมߋΛϦΞϧλΠϜʹ൓ө͍ͤͨ͞ਓ޲͚ 14 $ gcloud source repos clone ponkotsu_store --project=rtc-
bc2020-security-? # ?ʹ͸a,b,c,d͕ೖΓ·͢ $ cd ponkotsu_store $ docker-compose up # ϩʔΧϧͰಈ͔͍ͨ͋͠ͳͨʹ ͜ͷϦϙδτϦΛQVTI͢ΔͱࣗಈతʹϦϞʔτ؀ڥ͕Ξοϓσʔτ͞Ε·͢ʂ

‣%PDLFSDPNQTFVQ͕Α͠ͳʹ΍ͬͯ͘ΕΔͷͰɺQIQϑΝ Πϧͷมߋ͸ࣗಈతʹ൓ө͞Ε·͢ɻ ‣WVFΛมߋͨ͠৔߹͸ɺOQNSVOQSPEΛ๨Εͣʹɻ #ιʔείʔυΛมߋͨ͠ͱ͖͸ 15 $ # gitͷτοϓσΟϨΫτϦͰ $ cd
src $ npm run prod

‣IUUQMPDBMIPTU ‣IUUQMPDBMIPTUNBJMIPH $IFDLҎԼͷ63-ʹΞΫηεͯ͠Έ͍ͯͩ͘͞ 16 දࣔ͞Ε·͔ͨ͠ʁ OBNFBENJO QBTTXPSEQBTTXPSE ͰϩάΠϯͰ͖·͢

‣ଞͷडߨऀʹରͯ͠߈ܸΛ࢓ֻ͚ͳ͍͜ͱ ‣ීஈͷύεϫʔυ΍ϝʔϧΞυϨεΛ࢖༻͠ͳ͍͜ͱ ‣ߨٛͷղ౴͸ൿີʹ͢Δ͜ͱ ԋशظؒத͸1VCMJDͳ(JU)VCͳͲͰ؅ཧͯ͠΋0,Ͱ͕͢ɺԋशऴྃޙ ͸1SJWBUFʹ͍ͯͩ͘͠͞ɻ ‣ࣗश͸ଞͷߨٛதʹ͸͠ͳ͍Ͱ͍ͩ͘͞ʂ ஫ҙࣄ߲ 17

ݕࠪର৅ͱ͢Δ੬ऑੑ 18 ‣ݕࠪର৅͸5$1͔ΒΞΫηεͰ͖Δ.BJM)PHΛআ͍ͨ͢΂ͯͷػೳʹͳΓ·͢ ࣮ࡍʹ͸ϝʔϧ͸ૹ৴͞Ε·ͤΜ͕ɺૹ৴͞Ε͍ͯΔͱࢥͬͯ։ൃ͍ͯͩ͘͠͞ɻ ࣾ಺ωοτϫʔΫ͔Β֎ʹϝʔϧ͕ૹ৴͞ΕΔػೳΛ࡞Δ͜ͱ͕೉͔ͬͨ͠ͱ͍ ͏എܠ͕͋Γ·͢ɻ ‣ຊߨٛͰ͸ɺϏδωεϦεΫͷߴ͍੬ऑੑͷΈΛݕࠪͷର৅ͱ͠·͢ɻ w೚ҙίʔυ࣮ߦ
w೚ҙ04ίϚϯυ࣮ߦ wҰൠϢʔβʔʹଞͷϢʔβʔͷݸਓ৘ใ͕࿙Ӯ ϝʔϧΞυϨεɺύεϫʔυϋογϡ w؅ཧऀʹଞͷϢʔβʔͷฏจύεϫʔυ͕࿙Ӯ wσʔλϕʔεෆਖ਼ૢ࡞ wଞਓͷϢʔβʔʹͳΓ͢·ͯ͠঎඼͕ߪೖͰ͖Δ w࢒ߴΛෆਖ਼ʹૢ࡞͢Δ͜ͱ͕Ͱ͖Δ wෆਖ਼ͳߪೖ ࢒ߴෆ଍ͳͷʹങ͑ΔͳͲ wαʔόʔͷ೚ҙͷϑΝΠϧ͕ಡΈग़ͤΔ ྫFOW͕ಡΈऔΕͨΒμϝ wଞͷϢʔβʔͷϒϥ΢βͰ೚ҙͷKBWBTDSJQU͕࣮ߦͰ͖Δ

‣ຊߨٛͰ͸ɺҎԼͷऑ఺͕ଘࡏͨ͠ͱͯ͠΋औΓѻ͍·ͤΜɻ ؾʹ͠ͳ͍ऑ఺ 19 wτʔΫϯ͕ແظݶ࢖༻Մೳ wτʔΫϯ͕࠶ར༻Մೳ w$PPLJF͕)5510OMZͰ͸ͳ͍ w$43'τʔΫϯ͕ͳ͍ wαʔόʔͷϦιʔεΛա৒ফඅ͢Δ͜ͱʹΑΔ%P4߈ܸ wηογϣϯτʔΫϯ͕ແظݶ࢖༻Մೳ wϩάΠϯ࠶ࢼߦ࣌ؒͷ੍ݶ͕ͳ͍

8FC"QQͷ࢓༷ॻ ΞϓϦͷ࢓༷͸େࡶ೺ͳ΋ͷͰ͢ɻ ΞϓϦΛݎ࿚ʹ͢Δ্Ͱඞཁ͕͋Ε͹ɺେ͖ͳ࢓༷มߋΛ൐Θͳ͍ൣғͰ มߋͯ͠΋ߏ͍·ͤΜɻ ΞϓϦͷςετ͸ਓྗͰߦ͍·͢ɻ /05&

༗ޮͳ ηογϣϯ*% Λ͍࣋ͬͯͳ͍ ৔߹ '4ϩάΠϯը໘ '4τοϓը໘ ࣍ϖʔδ '4ύεϫʔυ๨Ε '4Ϣʔβʔ࡞੒ը໘ ˞
ෆਖ਼ϦΫΤετ΍૬ޓʹҠಈ͢ΔϘλϯ౳Ͱ ࠶ͼಉ͡ը໘ʹભҠ͢ΔՄೳੑ͕͋Γ·͕͢লུ͍ͯ͠·͢

'4τοϓը໘ '4঎඼ৄࡉϖʔδ '4ߪೖը໘ '4 ϩάΠϯը໘ '4؅ཧऀը໘ '4Ϣʔβʔϖʔδ ˞ ෆਖ਼ϦΫΤετ΍૬ޓʹҠಈ͢ΔϘλϯ౳Ͱ ࠶ͼಉ͡ը໘ʹભҠ͢ΔՄೳੑ͕͋Γ·͕͢লུ͍ͯ͠·͢

‣ϩάΠϯ໊ͱύεϫʔυͰϩάΠϯՄೳͱ͢Δɻ ‣ϩάΠϯϘλϯΛԡ͢ͱɺϩάΠϯ ' Λϙετ͢Δ ‣ϩάΠϯ ' ͕ਖ਼ৗऴྃͨ͠Βɺτοϓը໘ʹભҠ͢Δ ‣ϩάΠϯ ' ͕ҟৗऴྃͨ͠Βฦ٫͞ΕͨΤϥʔจݴΛදࣔ
͢Δɻ ‣τοϓը໘ '4 ʹભҠ͢Δ '4ϩάΠϯը໘ MPHJO 23

'ϩάΠϯ"1* 1045BQJMPHJO 24 1045BQJMPHJO ϦΫΤετϘσΟ VTFSϩάΠϯ໊ ඞਢɾจࣈྻ QBTTXPSEύεϫʔυ ඞਢɾจࣈྻ
Ϩεϙϯείʔυ ਖ਼ৗऴྃ ҟৗऴྃ ϨεϙϯεϘσΟ ਖ਼ৗऴྃ࣌ TFTTJPO@JEηογϣϯ*% BENJO؅ཧऀ ͦΕҎ֎ ҟৗऴྃ࣌ NFTTBHFࣦഊཧ༝ උߟ ηογϣϯ*%Λ$PPLJFʹه࿥͢Δ BENJOΛϩʔΧϧετϨʔδʹอଘ͢Δ

‣༗ޮͳηογϣϯ*%Λอ༗͍ͯ͠ͳ͍৔߹ɺϩάΠϯը໘ '4 ʹભҠ͢Δ ‣ը໘දࣔ࣌ɺ঎඼Ұཡऔಘ"1* ' Λୟ͍ͯɺ঎඼ͷҰཡΛऔಘɾදࣔ͢Δ ‣ݕࡧϘλϯΛԡ͢ͱɺݕࡧͨ͠จࣈྻΛؚΉ঎඼ͷΈΛߜΓࠐΈɺͳ͓͔ͭ஋ஈॱͰιʔτ͢Δ '
ιʔτͷঢॱ߱ॱ͸஋ஈॱϑΥʔϜͰબ୒ͨ͠΋ͷʹͳΔ ‣঎඼Λબ୒͢Δͱɺ঎඼ৄࡉϖʔδ '4 ʹભҠ͢Δ ‣"%.*/ϘλϯͰ؅ཧऀը໘ '4 ΁ɺϩάΞ΢τϘλϯΛԡ͢ͱϩάΞ΢τ ' ɺӈ্ͷΞΠίϯΫϦοΫͰϢʔ βʔϖʔδ '4 ʹભҠ͢Δ '4τοϓը໘ 25

'঎඼औಘ"1* (&5BQJHPPET 26 (&5BQJHPPET Ϩεϙϯείʔυ ϨεϙϯεϘσΟ (PPETߜΓࠐΜͩ঎඼ͷϦετ ‣
JE঎඼*% ‣ UIVNCOBJM঎඼ͷαϜωΠϧͷϑΝΠϧ໊ ‣ QSJDFՁ֨ ‣ EFTDSJQUJPO঎඼ͷઆ໌

'ը૾औಘ"1* (&5BQJJNBHF 27 (&5BQJJNBHF ΫΤϦύϥϝʔλ pMFऔಘ͢ΔϑΝΠϧ໊ ඞਢ
Yը૾ͷԣ෯ ೚ҙɾจࣈྻ Zը૾ͷॎ෯ ೚ҙɾจࣈྻ Ϩεϙϯείʔυ ਖ਼ৗऴྃ࣌ ҟৗऴྃ࣌ ϑΝΠϧ͕ଘࡏ͠ͳ͍ ϨεϙϯεϘσΟ ը૾ͷόΠφϦσʔλ

‣঎඼ͷৄࡉ৘ใΛऔಘ͠ ' ɺ঎඼ͷը૾ɺ঎඼໊ɺ঎඼ͷ஋ஈɺϨϏϡʔΛදࣔ͢Δɻ ‣ߪೖը໘΁ਐΉϘλϯΛԡ͢ͱɺߪೖը໘ '4 ΁ભҠ͢Δɻ ‣ϨϏϡʔΛॻ͘ϘλϯͰɺϨϏϡʔΛॻ͘μΠΞϩάΛදࣔ͢Δɻ ૯߹ධՁͷ੕ΛΫϦοΫ͢Δ͜ͱͰɺධՁΛมߋ͢Δ͜ͱ͕Ͱ͖Δ
ϨϏϡʔΛهೖ͠ɺૹ৴͢ΔϘλϯΛԡ͢͜ͱͰɺϨϏϡʔΛૹ৴͢Δ ' ͜ͱ͕Ͱ͖Δ ‣ϨϏϡʔ͸0QFO(SBQI1SPUPDPMʹରԠ͍ͯͯ͠ɺ63-ΛషΔͱը૾ΛҰͭදࣔ͢Δ '4঎඼ৄࡉϖʔδ HPPET\HPPET@JE^ 28

'঎඼ৄࡉऔಘ"1* (&5BQJHPPET\঎඼*%^ 29 (&5BQJHPPET\JE^ Ϩεϙϯείʔυ ਖ਼ৗऴྃ ҟৗऴྃ ঎඼*%͕ଘࡏ͠ͳ͍ ϨεϙϯεϘσΟ
ਖ਼ৗऴྃ࣌ JE঎඼*% UJUMF঎඼λΠτϧ EFTD঎඼ͷઆ໌ UIVNCOBJM঎඼ͷը૾ϑΝΠϧ໊ QSJDFՁ֨ SFWJFXTϨϏϡʔҰཡͷϦετ ‣ SBUJOHϨϏϡʔͷϨʔςΟϯά ‣ NFTTBHFϨϏϡʔจݴ ‣ OBNFϨϏϡʔऀ ‣ VQEBUFE@BUϨϏϡʔ೔ ҟৗऴྃ࣌ ͳ͠

'ϨϏϡʔ౤ߘ"1* 1045BQJSFWJFX 30 1045BQJSFWJFX ϦΫΤετϘσΟ HPPE*E ඞਢɾ਺஋
NFTTBHFϨϏϡʔϝοηʔδ ඞਢɾจࣈྻ SBUJOHϨʔτ ඞਢɾ਺஋ɾҎ্ҎԼ Ϩεϙϯείʔυ ਖ਼ৗऴྃ ҟৗऴྃ ঎඼*%͕ଘࡏ͠ͳ͍ ϦΫΤετ஋͕ෆਖ਼ ϨεϙϯεϘσΟ ਖ਼ৗऴྃ࣌ͳ͠ ҟৗऴྃ࣌ NFTTBHFࣦഊཧ༝

‣Ϣʔβʔ໊ɺ࢒ߴɺ঎඼৘ใΛऔಘ͠ ' ' දࣔ͢Δɻ ‣Ϋʔϙϯͱݸ਺Λબ୒͠ɺߪೖ͢Δ ' ɻ Ϋʔϙϯ͸Կ౓Ͱ΋࢖༻Մೳ
ݸ਺͸ʙݸ·ͰೖྗՄೳ ‣Ϋʔϙϯ΍ݸ਺Λબ୒͢Δͱɺ߹ܭֹۚΛऔಘ ' ͠ɺը໘ʹ൓ө͢Δɻ ‣ߪೖϘλϯΛԡ͢ͱߪೖ׬ྃμΠΞϩά͕දࣔ͞ΕΔɻ '4ߪೖը໘ CVZ\঎඼*%^ 31 ߪೖ੒ޭμΠΞϩά ߪೖࣦഊμΠΞϩά

'঎඼ֹۚࢼܭࢉ"1* (&5BQJESZCVZ 32 1045BQJESZCVZ ΫΤϦύϥϝʔλ HPPE*E঎඼*% ඞਢɾ਺஋
DPVOUߪೖݸ਺ ඞਢɾ਺஋ EJTDPVOUׂҾ཰ ඞਢɾ਺஋ Ϩεϙϯείʔυ ਖ਼ৗऴྃ ҟৗऴྃ ঎඼͕ଘࡏ͠ͳ͍ ϨεϙϯεϘσΟ QSJDF߹ܭՁ֨

'ߪೖ"1* (&5BQJCVZ 33 1045BQJCVZ ΫΤϦύϥϝʔλ HPPE*E঎඼*% ඞਢɾ਺஋
DPVOUݸ਺ ඞਢɾ਺஋ EJTDPVOUׂҾ཰ ඞਢɾ਺஋ Ϩεϙϯείʔυ ਖ਼ৗऴྃ ҟৗऴྃ ঎඼ɾϢʔβʔ͕ଘࡏ͠ͳ͍ ϦΫΤετ͕ෆਖ਼ ϨεϙϯεϘσΟ ਖ਼ৗऴྃ࣌ TUBUVTߪೖՄ൱ CBMBODFߪೖޙ࢒ߴ QSJDFՁ֨

‣Ϣʔβʔͷ৘ใΛऔಘ͠ ' ɺ දࣔ͢Δɻ Ϣʔβʔ*% ද໊ࣔ &ϝʔϧΞυϨε
ॴ࣋ۚ ϢʔβʔΞΠίϯը૾ ‣ߪೖཤྺΛऔಘ͠ ' ɺදࣔ͢ Δɻ ঎඼໊ ߪೖ࣌ؒ ݸ਺ ߹ܭֹۚ '4Ϣʔβʔϖʔδ VTFS 34

'Ϣʔβʔ৘ใऔಘ"1* (&5BQJVTFS 35 (&5BQJVTFS Ϩεϙϯείʔυ ਖ਼ৗऴྃ ҟৗऴྃ ༗ޮͳηογϣϯ*%Λอ༗͍ͯ͠ͳ͍ ϨεϙϯεϘσΟ
ਖ਼ৗऴྃ࣌ JEϢʔβʔ*% FNBJMϝʔϧΞυϨε OBNFϢʔβʔ໊ DPVQPOTอ༗Ϋʔϙϯ*%Ұཡ DPVQPO%FUBJMTอ༗ΫʔϙϯͷৄࡉͷϦετ ‣ JEΫʔϙϯ*% ‣ EJTDPVOUׂҾ཰ ‣ EFTDSJQUJPOΫʔϙϯઆ໌จ BENJO؅ཧऀݖݶΛอ༗͍ͯ͠Δ͔ *DPOΞΠίϯը૾ϑΝΠϧ໊ ҟৗऴྃ࣌ NFTTBHFࣦഊཧ༝ උߟ ༗ޮͳηογϣϯ*%Λอ༗͍ͯ͠Δ͜ͱ

'ߪೖཤྺऔಘ"1* (&5BQJIJTUPSZ 36 (&5BQJIJTUPSZ Ϩεϙϯείʔυ ਖ਼ৗऴྃ ҟৗऴྃ ༗ޮͳηογϣϯ*%Λอ༗͍ͯ͠ͳ͍
ϨεϙϯεϘσΟ ਖ਼ৗऴྃ࣌ IJTUPSZߪೖཤྺͷϦετ ‣ JEߪೖཤྺJE ‣ UJUMF঎඼໊ ‣ HPPE@JE঎඼*% ‣ VQEBUFE@BUߪೖཤྺ ‣ QSJDFߪೖՁ֨ ׂҾޙ ‣ DPVOUߪೖݸ਺ ҟৗऴྃ࣌ NFTTBHFࣦഊཧ༝ උߟ ༗ޮͳηογϣϯ*%Λอ༗͍ͯ͠Δ͜ͱ

'ϩάΞ΢τ MPHPVU 37 (&5BQJIJTUPSZ Ϩεϙϯείʔυ ϨεϙϯεϘσΟ ͳ͠ උߟ ϩάΠϯ͍ͯ͠ΔϢʔβʔͷηογϣϯ*%Λແޮ
Խ͢Δ͜ͱ

‣ϢʔβʔΛ࡞੒͢Δ ' ɻ OBNFϢʔβʔ໊ ϝʔϧΞυϨε ࠓճ͸WBMJEͳ΋ͷͰͳͯ͘΋0,
ύεϫʔυ ΞΠίϯը૾ ͳͯ͘΋0, ‣ϢʔβʔΛ࡞੒͢ΔϘλϯͰϢʔβʔΛ࡞੒͢Δɻ ‣Ϣʔβʔ࡞੒׬ྃ࣌ʹμΠΞϩάΛදࣔ͢Δɻ ‣ࣦഊ࣌ʹΤϥʔϝοηʔδΛදࣔ͢Δɻ '4Ϣʔβʔ࡞੒ DSFBUF 38

'Ϣʔβʔ࡞੒"1* 1045BQJDSFBUF 39 1045BQJDSFBUF ϦΫΤετϘσΟ OBNFϢʔβʔ໊ ඞਢɾจࣈྻ &NBJMϝʔϧΞυϨε ඞਢɾจࣈྻ
QBTTXPSEύεϫʔυ ඞਢɾจࣈྻ Ϩεϙϯείʔυ ਖ਼ৗऴྃ ҟৗऴྃ Ϣʔβʔ·ͨ͸ϝʔϧΞυϨε͕ॏෳ͋Δ ͍͸ೖྗ஋͕ෆਖ਼͋Δ͍͸ෆ଍ ϨεϙϯεϘσΟ ਖ਼ৗऴྃ࣌ ͳ͠ ҟৗऴྃ࣌ NFTTBHFࣦഊཧ༝ උߟ Ϣʔβʔ࡞੒࣌ʹɺొ࿥ͨ͠ϝʔϧΞυϨεʹର ͯ͠ϝοηʔδΛૹ৴͢Δ

‣؅ཧऀݖݶݶఆͷΞΧ΢ϯτͰϢʔβʔͷશ৘ใΛऔಘ ' ͠ɺදࣔɻҎԼΛදࣔ ͢Δɻ Ϣʔβʔ໊ ϝʔϧΞυϨε ϋογϡԽ͞Εͨύεϫʔυ
Ϣʔβʔ࡞੒೔࣌ '4؅ཧऀը໘ BENJO 40

'શϢʔβʔऔಘ"1* (&5BQJVTFSBMM 41 (&5BQJVTFSBMM Ϩεϙϯείʔυ ਖ਼ৗऴྃ ҟৗऴྃ Ϣʔβʔ͕ະϩάΠϯ͋Δ͍͸ҰൠϢʔβ ʔ
ϨεϙϯεϘσΟ ਖ਼ৗऴྃ࣌ ҎԼͷ಺༰ͷ഑ྻ JEϢʔβʔJE OBNFϢʔβʔ໊ FNBJMϢʔβʔͷϝʔϧΞυϨε QBTTXPSEϢʔβʔͷϋογϡԽ͞Εͨύεϫʔυ DSFBUFE@BUϢʔβʔ࡞੒೔࣌ ҟৗऴྃ࣌ උߟ ؅ཧऀݖݶΛ࣋ͭϢʔβʔ͕ɺϩάΠϯ͍ͯ͠Δ ঢ়ଶͷΈදࣔ͞ΕΔ

'4ύεϫʔυ๨Ε GPSHFU 42

'4ύεϫʔυ๨Ε GPSHFU 43 ‣ϝʔϧΞυϨεΛೖྗ͠ϝʔϧΛૹ৴Ϙ λϯΛԡ͢ͱొ࿥ϢʔβʔʹϝʔϧΛૹ ৴͢Δɻ ' ϝʔϧૹ৴Մ൱ʹؔΘΒ ͣͭ͗ͷը໘΁
‣ಧ͍ͨϝʔϧͷτʔΫϯΛೖྗ͠ɺτʔ ΫϯΛૹ৴͢ΔϘλϯͰૹ৴͢Δ ' ɻ༗ޮͰ͋Ε͹ύεϫʔυೖྗը ໘΁ભҠ͢Δ ‣৽͍͠ύεϫʔυΛೖྗ͠ɺύεϫʔυ ΛϦηοτ͢ΔϘλϯͰϦηοτ͢Δ ' ɻ

'શϢʔβʔऔಘ"1* 1045BQJGPSHFUTFOE 44 1045BQJGPSHFUTFOE ϦΫΤετϘσΟ FNBJMϝʔϧΞυϨε ඞਢɾจࣈྻ Ϩεϙϯείʔυ ਖ਼ৗऴྃ
ҟৗऴྃ ϦΫΤετ͕ෆਖ਼ ϨεϙϯεϘσΟ ਖ਼ৗऴྃ࣌ ͳ͠ ҟৗऴྃ࣌ NFTTBHFࣦഊཧ༝ උߟ ϝʔϧΞυϨεͷଘࡏੋඇ͸ݸਓ৘ใͷͨΊɺΤ ϥʔϝοηʔδΛฦ͍ͯ͠ͳ͍ɻ

'τʔΫϯݕূ"1* 1045BQJGPSHFUWBMJEBUF 45 1045BQJGPSHFUWBMJEBUF ϦΫΤετϘσΟ UPLFOݕূ͢ΔτʔΫϯ ඞਢɾจࣈྻ Ϩεϙϯείʔυ ਖ਼ৗऴྃ
ҟৗऴྃ ϦΫΤετɾτʔΫϯ͕ෆਖ਼ ϨεϙϯεϘσΟ ਖ਼ৗऴྃ࣌ ͳ͠ ҟৗऴྃ࣌ NFTTBHFlԿ͔͕͓͔͍͠Α͏Ͱ͢΋͏Ұ౓τʔΫϯΛೖྗ ͯ͠Έ͍ͯͩ͘͞z උߟ ԼखʹΤϥʔϝοηʔδΛฦ͢ͱ৘ใ࿙͍͑͢Δ ͷͰΤϥʔϝοηʔδ͸୙ͯ͋͠Δ

'ύεϫʔυ࠶ઃఆ"1* 1045BQJGPSHFUSFTFUQBTT 46 1045BQJGPSHFUSFTFUQBTT ϦΫΤετϘσΟ UPLFOτʔΫϯ ඞਢɾจࣈྻ QBTTXPSE৽͍͠ύεϫʔυ ඞਢɾจࣈྻ
Ϩεϙϯείʔυ ਖ਼ৗऴྃ ҟৗऴྃ ϦΫΤετɾτʔΫϯ͕ෆਖ਼ ϨεϙϯεϘσΟ ਖ਼ৗऴྃ࣌ ͳ͠ ҟৗऴྃ࣌ NFTTBHFࣦഊཧ༝ උߟ ԼखʹΤϥʔϝοηʔδΛฦ͢ͱ৘ใ࿙͍͑͢Δ ͷͰΤϥʔϝοηʔδ͸୙ͯ͋͠Δ

'঎඼ݕࡧ"1* 1045BQJTFBSDI 47 1045BQJTFBSDI ϦΫΤετϘσΟ LFZXPSEݕࡧΩʔϫʔυ ෦෼Ұக ඞਢɾจࣈྻ PSE஋ஈͷঢॱ߱ॱ
ඞਢɾจࣈྻ Ϩεϙϯείʔυ ਖ਼ৗऴྃ ϨεϙϯεϘσΟ ਖ਼ৗऴྃ࣌ HPPET঎඼ͷϦετ JE*% UIVNCOBJMαϜωΠϧ QSJDF஋ஈ UJUMFλΠτϧ උߟ

"QQFOEJY

‣IUUQTQPSUTXJHHFSOFUCVSQ ‣IUUQTDISPNFHPPHMFDPNXFCTUPSFEFUBJMFEJUUIJTDPPLJF GOHNIOOQJMIQMBFFEJGIDDDFPNDMHGCH IMKB ‣IUUQTXXXQPTUNBODPN ‣DISPNFͷ/FUXPSLλά૬౰ͷ΍ͭˣ ศརπʔϧ 49

)JOU 50 ύε ϝιου ϏδωεϦεΫͷߴ͍੬ऑੑͷ਺ BQJMPHJO 1045 BQJDSFBUF 1045
BQJTFBSDI 1045 BQJVTFSBMM (&5 BQJCVZ 1045 BQJGPSHFUSFTFUQBTT 1045 BQJJNBHF (&5 BQJHPPET\JE^ (&5 BQJSFWJFX 1045 ͦͷଞ ੬ऑੑ͕ෳ਺"1*ʹ·͕ͨΔ৔߹͸ݦࡏԽ͢ΔՕॴͷΈΧ΢ϯτ

8FC"QQMJDBUJPO)BSEFOJOHᶄ #PPU$BNQ ౻ݪ޼ ,P'VKJXBSB ʢגʣϦΫϧʔτɹϓϩμΫτ౷ׅຊ෦ɹϓϩμΫτ։ൃ౷ׅࣨɹΤϯδχΞ ϦϯάࣨɹϓϩμΫςΟϏςΟΤϯδχΞϦϯά෦ɹϓϥοτϑΥʔϜηΩϡ ϦςΟάϧʔϓ

ຊ೔ͷྲྀΕͷ֓ཁ 52 ࢀՃऀͷօ͞Μʹ HDMPVE؀ڥʹQVTIͯ͠΋Β͏ ӡӦ͕߈ܸΛ࢓ֻ͚ΔΞϓϦͷς ετΛߦ͏ίʔυϨϏϡʔʮ ӡӦ͕੬ऑੑͷमਖ਼ঢ়گΛ֬ೝ͢ Δ ੒੷ൃදʂ օ͞Μͷमਖ਼ํ๏Λ঺հ
੬ऑੑΛ͢΂ͯ঺հ ࣌ؒऴྃ

‣࢑ఆରԠ ੬ऑੑ΁ͷຊ࣭తͳରԠʹͳ͓ͬͯΒͣɺ੬ऑੑΛඞͣ͠΋๷͛Δ෺Ͱ͸ͳ͍͕ɺؾٳΊఔ౓ʹͳΔϨϕϧͷରԠ ‣߃ٱରԠ ͦͷ੬ऑੑΛѱ༻ͨ͠߈ܸΛ׬શʹ๷͙ํ๏Ͱ͋Ε͹ɺରԠͷखஈ͸໰Θͳ͍ɻ ‣ਫฏల։ ੬ऑੑͷൃੜʹࢸͬͨ௚઀తͳݪҼΛ୳ΔɻͦͷݪҼʹ֘౰͍ͯͦ͠͏ͳ෦෼͕ଞʹͳ͍͔ԣஅతʹݟ௚͠ɺಉ ༷ͷ੬ऑੑΛ௵͢
‣࠶ൃ๷ࢭࡦͷݕ౼ ͳͥͦͷ੬ऑੑ͕ੜ·Εͨͷ͔ɺࠜຊతͳݪҼΛ୳Δɻ αʔϏεͰ੬ऑੑΛൃݟͨ͠ͱ͖ͷमਖ਼ํ๏ 53 ͬ͘͟Γͱͨ࣌͠ܥྻ

‣શݸͷ૝ఆ͍ͯ͠Δ੬ऑੑ͕मਖ਼͞Ε͔ͨͲ͏͔Λ ࢲ͕߈ܸͰ͖Δ͔Ͳ͏͔ͱ͍͏؍఺Ͱ ֬ೝ͠·͢ ‣߃ٱରԠతʹमਖ਼͞ΕͨΒQUT ෆ׬શͰ͋Δఔ౓๷͓͛ͯΓɺ࢑ఆରԠతʹ๷͍͛ͯͨΒQUT ༷ࢠΛݟͯ গ͠ώϯτΛग़͠·͢ ‣͕࣌ؒ༨ͬͨΒ఺਺ؔ܎ͳ͍Ͱ͕͢ɺ ߈ܸίʔυΛ૊ΜͰΈΔ
ීஈ͸੬ऑੑͷमਖ਼Λ͓ئ͍͢Δͱ͖ʹ࢖͍·͢ ΑΓඒ͍͠௚͠ํΛ໛ࡧͯ͠ΈΔ ࠶ൃ๷ࢭࡦͷݕ౼ ಘ఺ํ๏ 54

Web Application Hardening ① (Boot Camp 2020)

Web Application Hardening ① (Boot Camp 2020)

More Decks by Recruit Technologies

Other Decks in Technology

Featured

Transcript