カテゴリー: セキュリティ

セキュリティ

Trivy による脆弱性スキャン

  インストール       利用しよう   Composer   npm   Docker Image     Amazonおすすめ iPad 9世代 2021年最新作 iPad 9世代出たから買い替え。安いぞ!🐱 初めてならiPad。Kindleを外で見るならiPad mini。ほとんどの人には通常のiPadをおす …

セキュリティ

TokenはCookieに保存する

  Cookieに下記属性をつけて保存すること   HttpOnly SameSite=strict secure=true そうすれば悪意あるJSから抜き取られない。   Local Storageに保存しない   Amazonおすすめ iPad 9世代 2021年最新作 iPad 9世代出たから買い替え。安いぞ!🐱 初めてならiPad。Kindleを外で見るならi …

セキュリティ

Laravel RCE(Remote Code Execution)

フレームワークやライブラリは脆弱性情報をチェックして、定期的に更新しませう🐱     https://www.ambionics.io/blog/laravel-debug-rce https://snyk.io/vuln/SNYK-PHP-FACADEIGNITION-1059267 https://labs.f-secure.com/archive/laravel-cookie-fo …

AWS, セキュリティ

AWS WAF + WafCharm

  CloudFrontを作成済 スケルトンのAWS WAF Web ACLsを作成 設定したいCloudFrontに適用する // CloudFrontのWeb ACLはGlobal(CloudFront)リージョンに作られる。 IAMで AWSWAFFullAccess, S3FullAccessのグループを作成 ユーザを追加 アクセスキー xxxxx シークレットアクセスキー yy …

セキュリティ

Web系 脆弱性チェックサイト

課題 RSSなど取得できればLambdaでSlack通知など今後検討 WAF Charmの有効活用 ゼロデイなどCVE情報に出回る前に腕試しや金銭などを目的とするハッキングチームに脆弱性情報が出回る。またCVEを公表することで被害も加速するので情報は若干遅い。情報収集として趣味でハッキングチームに所属しているようなセキュリティマニアが将来的には必要かも? → 妥協策としてTwitterやExplo …

セキュリティ

Session Fixation セッションフィクサーション

  セッションフィクサーションとは? ログイン画面(セッション開始 = 整理番号の振り出し) 👿悪人「君の整理番号はaaaだ」 👦ユーザ「整理番号はaaaか」 認証 👦ユーザ「整理番号aaaです。メールアドレスはuser@example.com、パスワードはpasswordです。」 👨受付「整理番号aaaですね。認証情報も合ってる。認証するよ!」 ログイン成功 👦ユーザ「ログインできたぞ …

セキュリティ

PHP composerのパッケージ脆弱性チェック

  2022年05月01日追記 Trivy による脆弱性スキャン   Trivyを使うのが良いでしょう🐱     $ wget https://get.symfony.com/cli/installer -O – | bash $ /Users/yuu3/.symfony/bin/symfony security:check –dir=/Users/yuu3/Des …

セキュリティ

XSS クロスサイトスクリプティング

    どんなの? ユーザが投稿するフォームでJavaScriptを許してしまっている時に悪意あるJavaScriptのコードを仕込まれると、JavaScriptが実行されてしまう JavaScriptにより、Cookieを攻撃者サイトに通知されて、セッション idを盗聴される。といったことが発生する 対策 ユーザが投稿するフォームでJavaScriptやタグの受付を拒否するようにする …

セキュリティ

Nullバイト攻撃

  どんなの? 「\0」「\x00」「%00」といった文字列の終わりを意味する制御文字を与えることで、セキュリティチェックをくぐり抜けるというもの ディレクトリトラバーサルと併用される     対策 アップデートする PHP5.3.4以上なら対策されているので問題ない。   Amazonおすすめ iPad 9世代 2021年最新作 iPad 9世代出たから買い替え。安 …

セキュリティ

セッションハイジャック

  どんなの? JavaScriptにより、Cookieの中のセッション idを攻撃者のサイトに送信させることで、セッション idを取得し、攻撃者がユーザアカウントをハイジャックできるようになる。     対策 アプリ内に外部からJavaScriptを混入させないようにする   Amazonおすすめ iPad 9世代 2021年最新作 iPad 9世代出たから買い替え …

セキュリティ

ディレクトリトラバーサル

  どんなの? パスパラメータやパラメータから得られた情報で、サーバ内ファイルを参照するプログラムを実装している場合に   ../../etc/passwd などでWEBアプリの公開ディレクトリを遡られてしまい、機密ファイルにアクセスされたり、ファイルを混入されたりする   対策 パスパラメータなど外部からの値で、サーバ内ファイルを参照させる実装を行わない   &nb …

セキュリティ

OSコマンドインジェクション

どんなの? 外部のリクエストやパラメータの情報から、WEBアプリでOSコマンドに値を渡されることで意図しない操作をされてしまう 対策 外部のリクエストやパラメータの情報から、WEBアプリでOSコマンドに値を渡さない OSコマンドをWEBアプリ内で利用しない Amazonおすすめ iPad 9世代 2021年最新作 iPad 9世代出たから買い替え。安いぞ!🐱 初めてならiPad。Kindleを外で …