SSTエンジニアブログ

SSTのエンジニアによるWebセキュリティの技術を中心としたエンジニアブログです。

脆弱性診断用のアカウントが複数必要な理由

はじめに こんにちは。脆弱性診断員のYOSHIIです。 ログイン機能があるWebシステムを診断する際に、診断用のアカウントを複数ご提供いただけるようにお願いすることがあります。 「なぜアカウントが1つではダメなのか。複数アカウントで何をするのか。」 こ…

OAuth2.0におけるCSRFとは

はじめに こんにちは、診断員の秋本です! 最近、ダイワスカーレットのドヤ顔を見るためだけにウマ娘をプレイしてます。ゲームシステム全然わからん…。 皆さんは、RFC6749で定義されているOAuth2.0をご存じでしょうか。 OAuth2.0には実装不備によって生じて…

書籍「Webブラウザセキュリティ」発刊記念 著者&レビュアー対談(後編)

こんにちは!CTOのはせがわです。 今年1月に発売された書籍「Webブラウザセキュリティ」の著者の米内貴志(つばめ)さん、レビュアーにしむねあさん、キヌガワマサトさん、私の4名でわいわいと本を振り返る対談記事、後編です(前編はこちらからどうぞ)。 docu…

書籍「Webブラウザセキュリティ」発刊記念 著者&レビュアー対談(前編)

こんにちは!CTOのはせがわです。 今年1月に、ラムダノートさんから「Webブラウザセキュリティ」という本が出版されました。 Webブラウザセキュリティ ― Webアプリケーションの安全性を支える仕組みを整理する 米内貴志 著 224ページ A5判 ISBN:978-4-90868…

2020年のWebスキミング被害を振り返ってみる

こんにちは!ようやく一人前の脆弱性診断士になりつつある西尾です。 今回はタイトルの通り、2020年に公表されたWebスキミング被害を振り返ってみたいと思います。 Webスキミングとは、ECサイト(ネットショップ)の決済画面等を改ざんして不正なコードを仕…

ScutumAPIリリース記念 第三弾 CloudFrontログとScutumの防御ログを結合してみた。

はじめに こんにちは、研究開発の宇田川です。 過去2回と防御ログ(リスト)と防御ログ(詳細)についてAWSを使用した自動取得の方法をご紹介しました。 techblog.securesky-tech.com techblog.securesky-tech.com 今回は、CloudFrontのログとScutumの防御ログの…

Metasploitable3触ってみた

はじめに ドルフロの異性体イベントをストーリークリアしたので、これからランキング戦とドロ周回で大忙しなため仕事する気が起きない岩間です。ガンスリコラボで参入した新規さんついてこられるのか・・・? 今回は、業務検証で利用することになったMetaspl…

ScutumAPIリリース記念 第二弾 詳細な防御ログをAWSで自動取得してみた。

はじめに こんにちは、研究開発の宇田川です。 前回のブログでは、防御ログ(リスト)をAWSを使って自動取得する方法を公開させていただきました。 techblog.securesky-tech.com 第二弾は、AWSサービスを利用して詳細な防御ログの自動取得する方法を公開させ…

リモートでプレゼンテーションするのに最適なツールを作った

こんにちは!Webサイトの大穴を調査していてたまに遭遇する遺物にワクワクする、CTOのはせがわです! 今日は、オンラインでのプレゼンテーションに最適なスライド表示ソフトを自作したのでそれの紹介です。 オンラインでのスライド再生の悩み みなさん、オン…

インフラコードの品質&セキュリティチェックをしてみよう!

はじめに こんにちは、CISOの新井です。ここのところずっとリモートワークでの生活が続いているのですが、みなさんいかがお過ごしでしょうか?自分は出かけることが減った分、自宅で楽しめる幅を広げていけたらなと思っています。最近は、初めてチーズケーキ…