Upgrade to Pro
— share decks privately, control downloads, hide ads and more …
Speaker Deck
Features
Speaker Deck
PRO
Sign in
Sign up for free
Search
Search
MINI Hardening #1.2 20分LT ZAPを使ったHardening対策術 ...
Search
Yuho Kameda
August 29, 2015
2
520
MINI Hardening #1.2 20分LT ZAPを使ったHardening対策術 2015/8/29
Yuho Kameda
August 29, 2015
Tweet
Share
More Decks by Yuho Kameda
See All by Yuho Kameda
How to use OWASP ZAP & Vulnerabilities Slikmap
ykame
0
8.8k
Enjoy Daily Life by handy tool
ykame
0
93
Find Trust-Information -Public- 20170630 #ssmjp
ykame
1
2.4k
Intel CTF and Open xINT CTF 20161220
ykame
1
1.2k
Hey Siri! Hello Barbie! ssmjp
ykame
0
870
How to create the alert by script of ZAP
ykame
2
670
[bpstudy] OWASP ZAP Vulnerable Assesment.
ykame
2
1.3k
What is ZAP?
ykame
0
490
How to install VMwarePlayer and OWASP BWA
ykame
1
950
Featured
See All Featured
Done Done
chrislema
181
16k
Facilitating Awesome Meetings
lara
50
6.1k
個人開発の失敗を避けるイケてる考え方 / tips for indie hackers
panda_program
93
16k
Build The Right Thing And Hit Your Dates
maggiecrowley
33
2.4k
10 Git Anti Patterns You Should be Aware of
lemiorhan
655
59k
Dealing with People You Can't Stand - Big Design 2015
cassininazir
364
24k
Producing Creativity
orderedlist
PRO
341
39k
The Art of Programming - Codeland 2020
erikaheidi
52
13k
The Psychology of Web Performance [Beyond Tellerrand 2023]
tammyeverts
44
2.2k
Scaling GitHub
holman
458
140k
Designing Experiences People Love
moore
138
23k
GitHub's CSS Performance
jonrohan
1030
460k
Transcript
@YuhoKameda
ykame (@YuhoKameda) ZAP Evangelist Hardening競技 参加歴 2012/10 Hardening One(チーム枠) 2013/07
Hardening One Remix(Ping枠) 2014/06 Hardening 10 APAC(Ping枠) 2014/11 Hardening 10 Evolutions 2015/06 Hardening 10 MarketPlace(MP4)
診断 •脆弱性が無いか探す 特定 •脆弱性を見つける •見つけた脆弱性を把握する 対策 •見つけた脆弱性を修正する 対策してこそのHardening!
本スライドに記載の行為を、自身の管理下にな いネットワーク/コンピュータに行った場合、攻撃 行為と判断される場合があります。 自身の管理下にあるネットワークやサーバに対し てのみ行うようにしてください。
OWASP ZAPのインストール OWASP ZAP 2.4.1(2015/7/30 released) 診断ツール OWASP BWAのインストール OWASP
BWA 1.2 (2015/8/3 released) 診断対象となるアプリケーション 実際に帰宅してから試してみてください! 準備の詳細は、下記で。 http://zapjp.blogspot.jp/
OWASP ZAP (Zed Attack Proxy) Webアプリケーションを簡単に「脆弱性診断」するこ とができるツール ローカルプロキシツール https://code.google.com/p/zaproxy/ https://www.owasp.org/index.php/OWASP_Zed_Attack_Proxy_Project
OWASP Broken Web Application (BWA) 脆弱なWebアプリケーションの詰め合わせ Java / ASP /
PHP / Ruby on Rails… https://www.owasp.org/index.php/OWASP_Broken_Web_Applications_Project
BWAの中にある、古いWordpressを対象 Wordpress 2.0.0 最新は4.3 (2015/8/19)
古すぎてアラートだらけ
診断対象範囲を決定 Include In Context 特定ディレクトリ配下だけ診断が可能
対象をクローリング(スパイダー) 開始したいページを選択 スキャン開始!
結果… 大量に抽出できた!
動的スキャン 開始したいページを選択 スキャン開始!
ポートスキャンでオープンポートを特定
Hardening競技には、脆弱なアプリがいっぱい Wordpressの古いバージョン EC-CUBEの古いバージョン Zen Cartの古いバージョン … 脆弱なサーバ・ミドルウェアもいっぱい DNSサーバの設定不備 Bashの古いバージョン OpenSSLの古いバージョン
…
バージョンが古い… 最新バージョンを確認 バージョンアップやパッチを適用しよう! コードがボロボロ… コードを修正しよう! 設定がデフォルトのまま… 適切に設定しよう! 各役割に合った対応を! ・マネージャー ・Webアプリ開発者
・ネットワーク管理者 ・インシデント対応経験者 など
診断 •脆弱性が無いか探す 特定 •脆弱性を見つける •見つけた脆弱性を把握する 対策 •見つけた脆弱性を修正する
攻撃を受けて対策するだけがHardening競技 じゃない! 事前に管理するサーバ・Webアプリの脆弱性を 把握し、対策を検討しよう 自前でWebアプリを診断 診断サービスを活用 協力して対策を実施できることを目指そう
無料のツールでセキュリティを意識したい! http://www.slideshare.net/zaki4649/free-securitycheck
脆弱性診断の基本手法 無料で手間がかからない! インフラ編 ポートスキャン 脆弱性スキャン Webアプリケーション編 自動診断 ZAPの機能紹介 実際に検出する脆弱性の事例
MP4によるWordPress向けの対策マニュアル WordPressの検証環境を構築するスクリプト公開 https://speakerdeck.com/tsb/20
脆弱性診断士(Web アプリケーション)スキル マップ プロジェクト 2014 OWASP Japan / JNSAのISOG-J による共同WG
脆弱性診断士に必要な能力のマッピング プログラマからネットワーク知識、倫理観まで 2014/12/24 「脆弱性診断士(Webアプリケーション)スキルマップ」公開 https://www.owasp.org/index.php/Japan http://isog-j.org/output/2014/about-pentester-web-skillmap-201412.pdf