SQLインジェクション

こんにちは！ぱかぱかです！ ここ数回の記事ではAndroidのアプリ開発について書いていたのですが、今日は少し趣向を変えてセキュリティのお話をしたいと思います。 というのも私、セキュリティ関係のプロジェクトに配属されている先輩から以下の本を1年以上借りっぱなしになっているのです…体系的に学ぶ 安全なWebアプリケーションの作り方 第2版 脆弱性が生まれる原理と対策の実践作者:徳丸 浩SBクリエイティブAmazonセキュリティ界隈では有名で徳丸本と呼ばれているこの本。 読もう読もうと思いつつ、資格勉強やモバイル開発の勉強を優先してしまいずっと後回しにして今に至ります… 流石に返したいのですが、こ…

Irish-Name-Repo 1(300pts) Irish-Name-Repo 2(350pts) Irish-Name-Repo 3(400pts) Irish-Name-Repo 1(300pts) Description There is a website running at https://jupiter.challenges.picoctf.org/problem/33850/ (link) or http://jupiter.challenges.picoctf.org:33850. Do you think you can log us in? Try to see if…

ウェブアプリケーションのセキュリティ対策は重要です。特にSQLインジェクションやクロスサイトスクリプティング（XSS）などの脆弱性からアプリケーションを守る方法について、基本的な対策法を紹介します。 [スポンサーリンク] 未経験からITエンジニアになる【ENたま転職】 SQLインジェクションへの対処法 クロスサイトスクリプティングへの対処法 セッション管理の強化 バリデーションとサニタイズ アップデートとセキュリティパッチ まとめ SQLインジェクションへの対処法 SQLインジェクションは、不正なSQLクエリを注入される脆弱性です。これによってデータベースへのアクセスが不正に行われる可能性があ…

はじめに 贅沢な名だね、とは言わせねーよ！ nikkieです。 実習として、やられサイトにSQLインジェクションしました。 これで湯婆婆と遭遇しても身を守れます！ 目次 はじめに 目次 やられサイトBad Todo List 脱線：湯婆婆とSQLインジェクションってなんの関係があるの？ 実習 SQLインジェクション 終わりに やられサイトBad Todo List Webセキュリティでおなじみ、徳丸さんが公開されている脆弱性診断実習用アプリです。 インストール方法はこちら： https://github.com/ockeghem/badtodo/blob/90966d999b258e7cf45…

ペンタセキュリティとクラウドブリックは、四半期ごとにExploit-DBのWeb脆弱性を分析し、最新のWeb脆弱性のトレンドを分かりやすくまとめた「EDB/CVE-Report」を発刊しております。 Webサイトセキュリティ運用に役立つEDB/CVEレポートを無料で公開しております。こちらからダウンロードしてご利用ください。 www.pentasecurity.co.jp 2023年第1四半期のWeb脆弱性トレンドをインフォグラフィックにてご確認ください。 インテリジェント型WAF「WAPPLES」 www.pentasecurity.co.jp クラウド型WAFサービス「Cloudbric …

クロスサイトスクリプティングとSQLインジェクションについて勉強しました。本記事はこれらの攻撃についてまとめています。なお、私はセキュリティに関してはずぶの素人で本記事にも誤りが含まれているかもしれません。その際はコメントでご指摘いただけると幸いです。 クロスサイトスクリプティング(XSS) どんな攻撃？ 脆弱性があるWEBページに悪意のあるスクリプトを埋め込む攻撃です。 どうやって攻撃するの？ URLのパラメータなどに悪意があるスクリプトを設定し、実行させます。 例 GET方式で http://(脆弱性があるWEBサーバのphpファイル)?para='>"><hr> などのURLを指定します…

ペンタセキュリティとクラウドブリックは、四半期ごとにExploit-DBのWeb脆弱性を分析し、最新のWeb脆弱性のトレンドを分かりやすくまとめた「EDB/CVE-Report」を発刊しております。 Webサイトセキュリティ運用に役立つEDB/CVEレポートを無料で公開しております。こちらからダウンロードしてご利用ください。 www.pentasecurity.co.jp 2022年第4四半期のWeb脆弱性トレンドをインフォグラフィックにてご確認ください。 インテリジェント型WAF「WAPPLES」 www.pentasecurity.co.jp クラウド型WAFサービス「Cloudbric …

こんにちは！ 今回はRubyでSQLiteを使う方法をまとめます。 SQLiteのGemを取得 コンソールで下記を実行 gem install sqlite3 SQLiteを読み込み 使用したいrbファイルに下記を記載 require 'sqlite3' dbファイルを作成 変数に代入しない場合 SQLite3::Database.new('test.db') 変数に代入する場合 db = SQLite3::Database.new('test.db') テーブルを作成 dbの変数に対しexecuteメソッドを実行し、SQLを渡す db.execute('CREATE TABLE test_t…

この記事は BASE Advent Calendar 2023 の10日目の記事です。 ちわ BASEから代わりまして、PAY株式会社（BASE株式会社グループ会社）のクリス @x86_64 です。数か月前、絵を買うよう執拗に勧めてくる人に言いくるめられ、額縁入りのライザのアトリエ複製原画だのデジタルアートブック特典付きのアーマード・コア6だのを入手しました。 この記事は私がセキュリティエンジニアとして日頃感じることや昔話、将来のイメージについてろくろを回しまくり、なんか宣誓を立てるものです。少しはPCI DSS v4.0の話もしますがあとは自分の話しかしません。 PAY株式会社とは BASE…

問4 サイドチャネル攻撃に該当するものはどれか。 ア 暗号アルゴリズムを実装した攻撃対象の物理デバイスから得られる物理量(処理時間，消費電流など)やエラーメッセージから，攻撃対象の秘密情報を得る。 イ 企業などの秘密情報を不正に取得するソーシャルエンジニアリングの手法の一つであり，不用意に捨てられた秘密情報の印刷物をオフィスの紙ごみの中から探し出す。 ウ 通信を行う2者間に割り込み，両者が交換する情報を自分のものとすり替えることによって，その後の通信を気付かれることなく盗聴する。 エ データベースを利用するWebサイトに入力パラメータとしてSQL文の断片を送信することによって，データベースを改…

ソース： medium.com 訳： 脆弱性レポートを作成するときは、セキュリティ チームがレポートを理解し、迅速に処理できるように、できるだけ多くの情報を提供する必要があります。そうしないと、バグの修正に時間がかかることになります。 HackerOne の記事「ステップバイステップ: 優れた脆弱性レポートの書き方」から、この記事では、優れた詳細な脆弱性レポートを作成するために必要な追加セクションを含め、各コンポーネントについて簡単に説明します。 - 最初の最も重要なコンポーネントは レポートのタイトル です。 適切なレポートのタイトルは、脆弱性の種類、ドメインまたはエンドポイント、および脆弱…

良かったこと 1. SQLインジェクション対策について調べたこと プレースホルダーを利用するとSQLに関わる特殊文字がエスケープされて不正なSQL文が実行されないように対策することができる。 このような機能は、一般的にはフレームワークで実装されている。 という基本的なことを障害を起点に学んだ。 こういうところからしっかりインプットせねば。 2. 面接をたくさんやったこと 元同期の会社の面接をやらせてもらった。 現在の選考状況を洗いざらい正直に伝えたら、当日中に1次、2次、最終面接を一気にやらせてほしいという依頼が来た。 合格通知も出ていないのに最終面接(社長面接)までやらせてもらって良いのだろ…

参考文献 Top10の詳細 A01:2021-Broken Access Control(アクセス制御の不備) 説明 一般的な例 予防方法 A02:2021-Cryptographic Failures(暗号化の失敗) 説明 一般的な例 予防方法 A03:2021-Injection(インジェクション) 説明 一般的な例 予防方法 A04:2021-Insecure Design(安全が確認されない不安な設計) 説明 一般的な例 予防方法 A05:2021-Security Misconfiguration(セキュリティの設定ミス) 説明 一般的な例 予防方法 A06:2021-Vulnera…

前回：やられアプリ BadTodo - 3.7 SQLインジェクション idパラメータに対して - demandosigno sqlmap はSQLインジェクションを検出するためのオープンソースのテストツールです。 sqlmap: automatic SQL injection and database takeover tool これまでの検査でDB名やテーブル名など一通り分かっていますが sqlmapでも試してみます。 前提 Docker版 BadTodoを対象としているので、Kali LinuxをDocker Desktopでインストールし、Kali からslqmapを実行しました。 手…

◾️問題 Webサーバのログを分析したところ，Webサーバへの攻撃と思われるHTTPリクエストヘッダが記録されていた。次のHTTPリクエストヘッダから推測できる，攻撃者が悪用しようとしていた脆弱性はどれか。ここで，HTTPリクエストヘッダ中の"%20"は空白を意味する。〔HTTPリクエストヘッダの一部〕 GET /cgi-bin/submit.cgi?user=;cat%20/etc/passwd HTTP/1.1Accept: */*Accept-Language: jaUA-CPU: x86Accept-Encoding: gzip，deflateUser-Agent: (省略)Host:…

アドカレって何でもいいっぽいと前回の投稿後に調べてわかったので、ノリでやっていきます。 俺が25人分になる Advent Calendar 2023 - Adventar 上げようと思ったのはSMTとかの解説なんですが、時間がかかっているのでお茶を濁すことにしました。 二日目でいきなり一日空いてるのですが、別に0時に限定されてないのでまだ戦える……はず！（このタイトルで1日で終了は悲しすぎる） というわけでお得意の脆弱性関連のネタ書こうと思ったんですが……これ無限に書ける割にコアなネタなのが問題です。知らん人からは「だから何？」って感じでしょうし。 書くネタに困ったときに頼りそうなので、今回は…

こんにちは、ソーシャル経済メディア「NewsPicks」のむとうです。 先日から『Ghost of Tsushima』の開発者が書いた『ルールズ・オブ・プログラミング』という本をちょっとずつ読み進めていて、プログラミング熱が高まっています。この本は大きな指針を示すだけで具体の話をするものではないのですが、読み物として面白いので私も似たようなことをやってみたくなりました。 何年もこういう仕事をしているとバグが入るパターンというのが見えてきます。そしてだいたいどこに行っても何の仕事でも似たようなことをすることになるのですが、今回の話もその一つです。 構造化テキストを文字列結合で作らない、置換でいじ…

はじめに SQL インジェクションとは？ 概要 リスク 発生件数 攻撃方法 対策 根本的な対策 プレースホルダの利用 静的プレースホルダ 動的プレースホルダ エスケープ処理 保険的な対策 入力値の制限 適切なデータベース権限の設定 詳細なエラーメッセージの非表示 WAF の導入 まとめ We are Hiring!! 参考資料 はじめに こんにちは！ 株式会社ユーザベース BtoB SaaS Product Team（以下 Product Team）の山室・利根です。 ユーザベースの Product Team には、全社のセキュリティを担うチームとは別に、プロダクトセキュリティの底上げを担うセ…