インストール 利用しよう Composer npm Docker Image Amazonおすすめ iPad 9世代 2021年最新作 iPad 9世代出たから買い替え。安いぞ！🐱 初めてならiPad。Kindleを外で見るならiPad mini。ほとんどの人には通常のiPadをおす …
Trivy による脆弱性スキャン
カテゴリー: セキュリティ
TokenはCookieに保存する
Cookieに下記属性をつけて保存すること HttpOnly SameSite=strict secure=true そうすれば悪意あるJSから抜き取られない。 Local Storageに保存しない Amazonおすすめ iPad 9世代 2021年最新作 iPad 9世代出たから買い替え。安いぞ！🐱 初めてならiPad。Kindleを外で見るならi …
Laravel RCE(Remote Code Execution)
フレームワークやライブラリは脆弱性情報をチェックして、定期的に更新しませう🐱 https://www.ambionics.io/blog/laravel-debug-rce https://snyk.io/vuln/SNYK-PHP-FACADEIGNITION-1059267 https://labs.f-secure.com/archive/laravel-cookie-fo …
AWS WAF + WafCharm
CloudFrontを作成済 スケルトンのAWS WAF Web ACLsを作成 設定したいCloudFrontに適用する // CloudFrontのWeb ACLはGlobal(CloudFront)リージョンに作られる。 IAMで AWSWAFFullAccess, S3FullAccessのグループを作成 ユーザを追加 アクセスキー xxxxx シークレットアクセスキー yy …
Web系 脆弱性チェックサイト
課題 RSSなど取得できればLambdaでSlack通知など今後検討 WAF Charmの有効活用 ゼロデイなどCVE情報に出回る前に腕試しや金銭などを目的とするハッキングチームに脆弱性情報が出回る。またCVEを公表することで被害も加速するので情報は若干遅い。情報収集として趣味でハッキングチームに所属しているようなセキュリティマニアが将来的には必要かも？ → 妥協策としてTwitterやExplo …
Session Fixation セッションフィクサーション
セッションフィクサーションとは？ ログイン画面(セッション開始 = 整理番号の振り出し) 👿悪人「君の整理番号はaaaだ」 👦ユーザ「整理番号はaaaか」 認証 👦ユーザ「整理番号aaaです。メールアドレスはuser@example.com、パスワードはpasswordです。」 👨受付「整理番号aaaですね。認証情報も合ってる。認証するよ！」 ログイン成功 👦ユーザ「ログインできたぞ …
PHP composerのパッケージ脆弱性チェック
2022年05月01日追記 Trivy による脆弱性スキャン Trivyを使うのが良いでしょう🐱 $ wget https://get.symfony.com/cli/installer -O – | bash $ /Users/yuu3/.symfony/bin/symfony security:check –dir=/Users/yuu3/Des …
XSS クロスサイトスクリプティング
どんなの？ ユーザが投稿するフォームでJavaScriptを許してしまっている時に悪意あるJavaScriptのコードを仕込まれると、JavaScriptが実行されてしまう JavaScriptにより、Cookieを攻撃者サイトに通知されて、セッション idを盗聴される。といったことが発生する 対策 ユーザが投稿するフォームでJavaScriptやタグの受付を拒否するようにする …
Nullバイト攻撃
どんなの？ 「\0」「\x00」「%00」といった文字列の終わりを意味する制御文字を与えることで、セキュリティチェックをくぐり抜けるというもの ディレクトリトラバーサルと併用される 対策 アップデートする PHP5.3.4以上なら対策されているので問題ない。 Amazonおすすめ iPad 9世代 2021年最新作 iPad 9世代出たから買い替え。安 …
セッションハイジャック
どんなの？ JavaScriptにより、Cookieの中のセッション idを攻撃者のサイトに送信させることで、セッション idを取得し、攻撃者がユーザアカウントをハイジャックできるようになる。 対策 アプリ内に外部からJavaScriptを混入させないようにする Amazonおすすめ iPad 9世代 2021年最新作 iPad 9世代出たから買い替え …
ディレクトリトラバーサル
どんなの？ パスパラメータやパラメータから得られた情報で、サーバ内ファイルを参照するプログラムを実装している場合に ../../etc/passwd などでWEBアプリの公開ディレクトリを遡られてしまい、機密ファイルにアクセスされたり、ファイルを混入されたりする 対策 パスパラメータなど外部からの値で、サーバ内ファイルを参照させる実装を行わない &nb …
OSコマンドインジェクション
どんなの？ 外部のリクエストやパラメータの情報から、WEBアプリでOSコマンドに値を渡されることで意図しない操作をされてしまう 対策 外部のリクエストやパラメータの情報から、WEBアプリでOSコマンドに値を渡さない OSコマンドをWEBアプリ内で利用しない Amazonおすすめ iPad 9世代 2021年最新作 iPad 9世代出たから買い替え。安いぞ！🐱 初めてならiPad。Kindleを外で …