BadTodo

前回：やられアプリ BadTodo - 17.3 パスワードハッシュ化の目的 - demandosigno パスワード解析ソフトの John the Ripper でもハッシュの解析はできるのですが、今回は hashcat を使います。 その名の通りハッシュの解析ができます。強力なグラフィックボードはハッシュの解析も速いため、ベンチマークソフトとしても使われています。 hashcat - advanced password recovery hashcatは様々なハッシュの種類やソルト付きハッシュに対応していますが、私のPCのグラフィックボードは古くて性能が低いため以下の内容で試します。 ・ハ…

前回：やられアプリ BadTodo - 17.2 補足 保存するパスワードのハッシュ化 - demandosigno 今回の内容は記事の最後にリンクを貼った徳丸さんの解説動画の内容などから自分なりにまとめたものです。（細かい点はわざと省いています。徳丸さんの動画はとても分かりやすいですのでぜひ全編視聴してみてください） これらを踏まえた上で、次回のハッシュ値の解析に進みます。 データベースに保存されるデータは盗まれた際の保険として暗号化されます。 データベース暗号化の目的 重要情報を保護したい 情報が漏洩しても悪用されないようにデータを暗号化する つまり情報漏洩に対する緩和策です。 （暗号化 …

前回：やられアプリ BadTodo - 25.3 NULLバイト攻撃（+XSS） - demandosigno 前回までに挙げたNULLバイト攻撃の３つの例はどれもGETリクエストに対するものでした。 続けて、POSTリクエストに対して試してみようとした際に疑問点が残ったためメモしておきます。 eregi() で試します（正規表現によるマッチングを行う関数） まず GET の場合 eregi_get.php <?php $id = $_GET['id']; var_dump($id); var_dump(eregi("^[a-z]{4}$", $id)); // a-zの4文字であるか否か。マ…

前回：やられアプリ BadTodo - 22 A8:2017 - 安全でないデシリアライゼーション - demandosigno 幾つかのプログラミング言語は eval（イーバル）という機能や関数を持っています。 eval には複数のコードを解釈し実行する機能がありますが、evalの利用法に問題がある場合、外部から送り込んだスクリプトを実行される危険があります。 （PHPの場合『注意: これは、関数ではなく 言語構造のため、可変関数や名前付き引数を用いてコールすることはできません』とのことです。） PHP: eval - Manual ちなみに、「evalインジェクション」という呼称は変ですね…

前回：やられアプリ BadTodo - 3.9 SQLインジェクション 対策方法 - demandosigno これまでのSQLインジェクションは、UNION SELECT 演算子を使って既に存在する表に追記させたり、SLQエラー文の出力を利用して情報を得たりしました。 しかし、結果を出力する場所がなかったり、エラーメッセージが表示される場合でもカスタムされたエラーページでテンプレート文が表示されるだけの場合は使えません。 そこで第3の方法としてブラインドSQLインジェクションがあります。ブラインドSQLインジェクションには Boolean-Based と Time-Based がありますが、…

前回：やられアプリ BadTodo - 27 レースコンディション - demandosigno キャッシュを利用することでアプリケーションの読み込み処理を高速化したり、サーバーの負荷を軽減させたりできます。 BadTodoでは Nginx がリバースプロキシサーバとなりキャッシュ機能を持っています。 今、"test"ユーザでBadTodoにログインしマイページを見ています。（これ以降少し時間のかかる操作のため、ログイン時に「ログインしたままにする」をチェックしておきます） このときURLに"rnd=6603fd696be28"という文字列が付いています。これは「キャッシュバスター」といい、U…

前回：やられアプリ BadTodo - 26 TOCTOU競合 - demandosigno 競合状態 (race condition) 情報処理における競合状態は「イベントタイミングへの予期せぬ依存が引き起こす異常な振る舞い」である。特に複数のプロセスやスレッドが通信しながら動作する場合（並行計算）に発生するが、単一スレッドで動作している場合であっても、シグナルによる割り込みが原因で発生することもある。 競合状態 - Wikipedia TOCTOUも競合状態の一種と考えて良いようです。 システム開発のセキュリティにおいてレースコンディションと TOCTOU は、しばしば混同して使われること…