脆弱性診断

取締役CTOの小竹（aka tkmru）です。 Androidアプリの脆弱性診断において、scrcpyというツールを使い、端末の画面をPCにミラーリングすれば、視線の移動が減り、作業効率が上がります。 また、録画機能を使えば、作業内容を共有する際にも便利です。 ここでは、scrcpyの活用方法について解説します。 本記事はAndroid Advent Calendar 2024の18日目の記事です。 scrcpyとは？ scrcpyは、Android端末の画面をPCにミラーリングし、PCから端末を操作するためのオープンソースのツールです。 Android端末をPCに接続した状態でscrcpyコ…

デジタルペンテスト部のみやけです。Webアプリケーションの脆弱性診断員となって一余年、セキュリティのプロフェッショナルを名乗るために知見を広げたいと思う今日この頃。知見を広げるとなればやはり情報収集かと考えていたところ、昨年の就活イベントで就活生から「情報収集はどんなことをされていますか？」という質問をいただいたこと思い出しました。私自身も他の人の情報収集については気になりますし、それを今後どう活かしていけばいいのかを聞いてみたい。そこで、セキュリティについて知見を広げたい、これからセキュリティを学びたいと考えているみなさんの参考にもなればと、Webアプリケーションとプラットフォームの脆弱性診…

VAddyの脆弱性診断では、事前に検査したい画面をクロールという形でシナリオを作り、それを元にスキャンを実行します。 本日、複数のシナリオ（クロールデータ）をまとめて実行できるスキャン一括機能をリリースしました。（2024年9月時点では本機能はAdvancedプランのみの提供となっています） 本機能を開発した背景 一つのクロールに全てのシナリオを入れて検査する場合は良いのですが、クロールを小分けに記録して管理する場合、それぞれ検査実行を行う必要がありました。 VAddyのWebAPIやコマンドラインツールを使った場合は、小分けしたクロールをそれぞれ実行するのは自動化できるため手間ではなかったの…

VAddyで、クロールしたURLの一覧情報のCSVダウンロード、発見した脆弱性情報のCSVダウンロード機能をリリースしました。 クロールしたURLの一覧情報のCSVダウンロード クロールしたURL一覧は画面上で表示できていましたが、この情報をCSVダウンロードしてサイトマップと付き合わせることで、VAddyの検査カバー範囲を確認したいというご要望を受け、本機能をリリースしました。 クロール管理の該当クロールデータを選択するとクロールしたURLの一覧が表示されます。その画面の右上にある「クロールURLダウンロード(CSV)」ボタンを押下するとダウンロードできます。 本機能はエンタープライズプラン…

はじめに こんにちは、QAエンジニアのもときです。 エモテクにjoinして、まもなく1年になろうとしています。 今回はこの1年で活動してきたことの中から脆弱性診断について、お伝えしたいと思います。 この記事は エモーションテック Advent Calendar 2023 の12日目の記事です。 過去に取り上げた脆弱性診断 脆弱性診断は、以前別の記事(https://tech.emotion-tech.co.jp/entry/2022/04/26/165408)でも取り上げました。その当時は、OWASP ZAPの自動スキャンを実施した際の手順や結果などをお伝えしました。今回は、OWASP ZAP…

*本記事は STORES Advent Calendar 2023 6日目の記事です こんにちは。セキュリティ本部のsohです。 現在、弊社ではスマホアプリ診断内製化の準備を進めています。 同じようにスマホアプリの脆弱性診断を内製化したい、というニーズがある会社は多く存在しますが、実際のところ、スマホアプリを対象とした脆弱性診断士の確保は困難であり、外部ベンダーの方にすべてお願いせざるを得ないケースも多いかと思います。 また、その情報の少なさから、スマホアプリ診断を実施したいと考えている開発者や脆弱性診断士にとっても、「何をやればいいのか」「何から始めればいいのか」がわからないものである場合は…