社内でセキュリティ勉強会をAWSの中の人に開いて貰った雑記 アクセスキーのアンチパターンチェック ・gitにはおかない … git-secretsでチェック https://qiita.com/irico/items/01a36be74fb26148b8e6 ・s3に置かれていないかはMacieで確認可能 ・メールやSlackで送り合わない gitでアクセスキーを送付しない為 …
雑記 AWSのセキュリティ勉強会に参加した🐱
カテゴリー: セキュリティ
Laravel RCE(Remote Code Execution)
フレームワークやライブラリは脆弱性情報をチェックして、定期的に更新しませう🐱 https://www.ambionics.io/blog/laravel-debug-rce https://snyk.io/vuln/SNYK-PHP-FACADEIGNITION-1059267 https://labs.f-secure.com/archive/laravel-cookie-fo …
AWS WAF + WafCharm
CloudFrontを作成済 スケルトンのAWS WAF Web ACLsを作成 設定したいCloudFrontに適用する // CloudFrontのWeb ACLはGlobal(CloudFront)リージョンに作られる。 IAMで AWSWAFFullAccess, S3FullAccessのグループを作成 ユーザを追加 アクセスキー xxxxx シークレットアクセスキー yy …
Web系 脆弱性チェックサイト
課題 RSSなど取得できればLambdaでSlack通知など今後検討 WAF Charmの有効活用 ゼロデイなどCVE情報に出回る前に腕試しや金銭などを目的とするハッキングチームに脆弱性情報が出回る。またCVEを公表することで被害も加速するので情報は若干遅い。情報収集として趣味でハッキングチームに所属しているようなセキュリティマニアが将来的には必要かも？ → 妥協策としてTwitterやExplo …
Session Fixation セッションフィクサーション
セッションフィクサーションとは？ ログイン画面(セッション開始 = 整理番号の振り出し) 👿悪人「君の整理番号はaaaだ」 👦ユーザ「整理番号はaaaか」 認証 👦ユーザ「整理番号aaaです。メールアドレスはuser@example.com、パスワードはpasswordです。」 👨受付「整理番号aaaですね。認証情報も合ってる。認証するよ！」 ログイン成功 👦ユーザ「ログインできたぞ …
PHP composerのパッケージ脆弱性チェック
$ wget https://get.symfony.com/cli/installer -O – | bash $ /Users/yuu3/.symfony/bin/symfony security:check –dir=/Users/yuu3/Desktop/develop.nosync/xxx_project/composer.lock Symfony Security Ch …
XSS クロスサイトスクリプティング
どんなの？ ユーザが投稿するフォームでJavaScriptを許してしまっている時に悪意あるJavaScriptのコードを仕込まれると、JavaScriptが実行されてしまう JavaScriptにより、Cookieを攻撃者サイトに通知されて、セッション idを盗聴される。といったことが発生する 対策 ユーザが投稿するフォームでJavaScriptやタグの受付を拒否するようにする …
Nullバイト攻撃
どんなの？ 「\0」「\x00」「%00」といった文字列の終わりを意味する制御文字を与えることで、セキュリティチェックをくぐり抜けるというもの ディレクトリトラバーサルと併用される 対策 アップデートする PHP5.3.4以上なら対策されているので問題ない。
セッションハイジャック
どんなの？ JavaScriptにより、Cookieの中のセッション idを攻撃者のサイトに送信させることで、セッション idを取得し、攻撃者がユーザアカウントをハイジャックできるようになる。 対策 アプリ内に外部からJavaScriptを混入させないようにする
ディレクトリトラバーサル
どんなの？ パスパラメータやパラメータから得られた情報で、サーバ内ファイルを参照するプログラムを実装している場合に ../../etc/passwd などでWEBアプリの公開ディレクトリを遡られてしまい、機密ファイルにアクセスされたり、ファイルを混入されたりする 対策 パスパラメータなど外部からの値で、サーバ内ファイルを参照させる実装を行わない &nb …
OSコマンドインジェクション
どんなの？ 外部のリクエストやパラメータの情報から、WEBアプリでOSコマンドに値を渡されることで意図しない操作をされてしまう 対策 外部のリクエストやパラメータの情報から、WEBアプリでOSコマンドに値を渡さない OSコマンドをWEBアプリ内で利用しない
バッファオーバーフロー
悪意あるリクエストにより、メモリ領域から溢れてメモリを上書きされて意図しないコードを実行してしまう どうなる？ 意図しないサービス停止 ウィルスの感染。バックドアの仕込まれ 対策 メモリを直接扱う言語で開発しない…というのも手🐱 C, C++, アセンブリなど。Go言語はバッファオーバーフローに利用される複雑なところは弄らせないのでので脆弱ではない、とのこと。 &nb …