ファジング

◀︎ 前へ｜次へ ▶︎️ 問題を引き起こしそうなデータを大量に入力して，そのときの応答や挙動を監視することによって，ソフトウェアの脆弱性を検出するテスト手法はどれか。 限界値分析 実験計画法 ファジング ロードテスト // 解答 ウ 解説 準備中 限界値分析準備中 実験計画法準備中 ファジング準備中 ロードテスト準備中 参考情報 分野・分類 分野 テクノロジ系 大分類 開発技術 中分類 システム開発技術 小分類 ソフトウェア結合・ソフトウェア適格性確認テスト 出題歴 ES 平成27年度春期 問24

◀︎ 前へ｜次へ ▶︎️ ソフトウェアのテスト手法のうち，ファジングはどれか。 テスト対象に問題を引き起こす可能性があるデータを大量に送り込み，その応答や挙動を監視することによって脆弱性を検出する。 テスト対象の振る舞いを状態遷移表で整理し，発生し得る遷移をテストする。 同値分割で得られた，同値クラスの境界となる値，及びその前後の値を明らかにして，それらをテストデータとする。 プログラムの処理経路を網羅するようにテストを実施し，正しく動作することを検証する。 // 解答 ア 解説 準備中 テスト対象に問題を引き起こす可能性があるデータを大量に送り込み，その応答や挙動を監視することによって脆弱性…

多数の組織がランサムウエアに感染したサプライチェーン攻撃についてまとめてみた - piyologhttps://piyolog.hatenadiary.jp/entry/2021/07/12/054229 ランサムウェアに支払われた身代金の詳細をまとめるウェブサイト「Ransomwhere」 - GIGAZINEhttps://gigazine.net/news/20210712-ramsomwhere/ IoT診断とファジング - ラック・セキュリティごった煮ブログhttps://devblog.lac.co.jp/entry/20210712 世界のマルウェア解析市場、2027年まで年平均…

Kali Linux 2021.1でXSStrikeを使用しクロスサイトスクリプティング（XSS）の脆弱性を検出することについて解説しています。 XSStrike（https://github.com/s0md3v/XSStrike）は、クロスサイトスクリプティング（XSS）の脆弱性を検出するために使用される高速なクローラーを備えた高度なWebアプリケーション侵入テストツールです。このツールは本来の機能の他に、クローリング、ファジング、パラメータディスカバリー、WAFの検出機能も備えています。また、DOM XSSの脆弱性をスキャンすることもできます。 なお、サイバーセキュリティ対策や情報セキュ…

5/15 - 5/16という日程で開催された。zer0ptsで参加して7位。 [Web] m0lefans ユーザごとに別のサブドメインが用意されるInstagram的なSNSが与えられるので、adminのサブドメインを特定し、adminのフォロワーしか読めない記事をなんとかして読めという問題だった。 まずはadminのサブドメインを特定する方法。画像のアップロードができるエンドポイントは各ユーザごとに発行されたサブドメイン下ではなく、共通の https://m0lecon.fans/feed/create だった。CSRF対策もされていないので、以下のようにCSRFでadminに好きな画像を…

セキュリティキャンプ、C脅威解析トラックの応募が通ったので課題をさらします。内容以前に文才がないのは大目に見てください。 ## 問1あなたがセキュリティ・キャンプ全国大会に応募する理由を教えてください。受講生や講師とのコミュニケーション、受講したい講義、なりたい自分など、何でも構いません。私がセキュリティキャンプに応募する理由は、プロからの興味深い講義はもちろんその講義を受けに来る有望な同年代のエンジニアが集まる環境に強く好奇心を掻き立てられるからです。 私は中学生ごろにC言語の本を買って以降、周りに工学関係の人がいないこともあり基本的に本とネットに頼ってプログラミングを勉強してきました。物が…

セキュリティキャンプ全国大会2021に参加することになりました。応募用紙を書くにあたって、先人たちの応募用紙晒しが役立ったので、僕も応募課題を晒します。 冗長なところとかは一部省略してます。 セキュリティ・キャンプ全国大会2021 脅威解析トラック 応募課題 以下の問1～問8について、それぞれ5,000文字以内で回答してください。 なお、正解がある設問については、"正解していること"よりも"正解にたどり着くまでのプロセスや熱意"を重要視しています。答えにたどり着くまでの試行錯誤や自分なりの工夫等を書いて、精一杯アピールしてください。 問1 あなたがセキュリティ・キャンプ全国大会に応募する理由を…

Seccamp2021の選考通過した 問1 問2 問3 問4 問5 問6 問7 問7-1 問7-2 問7-3 問8 解いたときの感触とかいろいろ Seccamp2021の選考通過した 今回、初応募でした。まさか通ると思ってなくて、来年もう一回やるかと考えてました。課題でも書いたのですが先輩からの話で2年生のときからseccampの存在は知っていましたが、技量がたらないと思って申し込んでませんでした。今回、たまたま応募開始のページを見て申し込もうと決めた次第です。同じCトラックの方々より、明らかに技術足りていませんが、頑張っていきたいと思います。(インターン、教習とかぶっていくのですごいタスクの…

論文投稿が終わってしばらく頭を休めていた。毎度のことながら論文書くのはしんどい。他人の成果物のあら探しをするのは簡単だが、いざ自分でアウトプットすると成果物を作り上げる行為のしんどさを思い出す。どんなことであれ自分でアウトプットする気概のある人はリスペクトすべきだなぁ。 ってことで論文メモ。Grammar-based fuzzing について新しめの研究をメモる。 タイトル Systematically Covering Input Structure ASE2019 Systematically covering input structure | Proceedings of the 34…

THMのPickle Rickに挑戦しました。解法はほかの方を見たほうがいいと思います。 0.どこまで試行したか まずNmapを用いて開かれているポートを検索。するとssh(port:22)とHTTP(port:80)が開いている状態であった。まずはサイトのほうにアクセスしてみる。 サイト自体は入力欄もない普通のサイト。まずはソースコードを使用して何か情報がないか見てみると下部にusernameが書かれていた。ここで先ほどのsshが頭に浮かび、先ほどのuserで接続してみる。しかしpublickeyエラーが出て接続することができない。 この辺りで20分が経過しBoxの寿命もあるのでここで断念。…

◀︎ 前へ｜次へ ▶︎️ ファジングの説明はどれか。 社内ネットワークへの接続を要求するPCに対して，マルウェア感染の有無を検査し，セキュリティ要件を満たすPCだけに接続を許可する。 ソースコードの構文を機械的にチェックし，特定のパターンとマッチングさせることによって，ソフトウェアの脆弱性を自動的に検出する。 ソースコードを閲読しながら，チェックリストに従いソフトウェアの脆弱性を検出する。 問題を引き起こしそうな多様なデータを自動生成し，ソフトウェアに入力したときのソフトウェアの応答や挙動から脆弱性を検出する。 // 解答 エ 解説 社内ネットワークへの接続を要求するPCに対して，マルウェア感…