はじめに 本記事は、Burp Suite 2023.5のアーリーアダプター版リリースで追加された Burp Organizer の紹介記事になります。 原文をご確認されたい方は、公式のリリースノートをご覧ください。 portswigger.net 機能紹介 Organizerは、HTTPメッセージのエビ…
はじめに この記事は、Burp Suiteのリリース内容について抄訳した内容と筆者の気になるポイントを記載しています。 Burpを使用して診断を行う方を対象にしていますので、バグ修正のような細かい変更点については本記事で触れない場合がございます。 原文をご…
5/16追記 2023.4.3安定版リリースで、2023.4のアーリーアダプターの内容が取り込まれたため、本記事も安定版に書き換えております。 はじめに この記事は、Burp Suiteのリリース内容について抄訳した内容と筆者の気になるポイントを記載しています。 Burpを…
目次 前提知識 導入 脆弱性の概要 脆弱性の例 前提知識 マイクロサービス アーキテクチャ[1] マイクロサービス アーキテクチャ（多くの場合、マイクロサービスと略される）は、アプリケーション開発におけるアーキテクチャ スタイルの一つです。マイクロサー…
ゼルダの伝説新作が待ち遠しくて仕事のやる気が起きない岩間です。 AWSの侵入テストのドキュメントを見ていたら、色々と変更されているではありませんか。 aws.amazon.com 調べてみたところ、2023/1/8 ~ 2023/1/15の間で更新があったようです。 変更箇所をそ…
はじめに 本記事は、Burp Suite 2023.3のアーリーアダプター版リリースで追加された Collaborator payloads in Intruder attacks の紹介記事になります。 原文をご確認されたい方は、公式のリリースノートをご覧ください。 portswigger.net ※ 注意: Burp Sui…
4/17追記 2023.3.2安定版リリースで、2023.3のアーリーアダプターの内容が取り込まれたため、本記事も安定版に書き換えております。 はじめに この記事は、Burp Suiteのリリース内容について抄訳した内容と筆者の気になるポイントを記載しています。 Burpを…
無限に広がる青い空！セキュアスカイ！CTOはせがわです！ 最近ようやくオンサイトでの登壇も増えてきたのですが、この数年すっかりオンライン慣れしすぎてしまって、いざオンサイトで登壇となると色々勘所が鈍ってしまったと感じることも少なくありません。…
はじめに この記事は、Burp Suiteのリリース内容について抄訳した内容と筆者の気になるポイントを記載しています。 Burpを使用して診断を行う方を対象にしていますので、バグ修正のような細かい変更点については本記事で触れない場合がございます。 原文をご…
3/27追記 2023.2.3安定版リリースで、2023.2のアーリーアダプターの内容が取り込まれたため、本記事も安定版に書き換えております。 はじめに この記事は、Burp Suiteのリリース内容について抄訳した内容と筆者の気になるポイントを記載しています。 Burpを…
2/10追記 2023.1.2安定版リリースで、2023.1のアーリーアダプターの内容が取り込まれたため、本記事も安定版に書き換えております。 はじめに この記事は、Burp Suiteのリリース内容について抄訳した内容と筆者の気になるポイントを記載しています。 Burpを…
こんにちは、SSTでWeb脆弱性診断用のツール(スキャンツール)開発をしている坂本(Twitter, GitHub)です。 本記事では Android で burp などMITM型*1 のProxyを設定する方法と、Android版 Chrome 99 以上で発生する NET::ERR_CERTIFICATE_TRANSPARENCY_REQUIRE…
はじめに この記事は、Burp Suiteのリリース内容について抄訳した内容と筆者の気になるポイントを記載しています。 Burpを使用して診断を行う方を対象にしていますので、バグ修正のような細かい変更点については本記事で触れない場合がございます。 原文をご…
はじめに この記事は、Burp Suiteのリリース内容について抄訳した内容と筆者の気になるポイントを記載しています。 Burpを使用して診断を行う方を対象にしていますので、バグ修正のような細かい変更点については本記事で触れない場合がございます。 原文をご…
はじめに この記事は、Burp Suiteのリリース内容について抄訳した内容と筆者の気になるポイントを記載しています。 Burpを使用して診断を行う方を対象にしていますので、バグ修正のような細かい変更点については本記事で触れない場合がございます。 原文をご…
こんにちは、SSTでWeb脆弱性診断用のツール(スキャンツール)開発をしている坂本(Twitter, GitHub)です。 最近 Fetch API*1 や XMLHttpRequest*2 を使ってクロスサイトのCookieを送る・送らないの実験をする機会がありました。 そこで自分の勘違いが複数発見…
はじめに こんにちは。SSTで診断員をやっている秋本です。 約3年ほどWebアプリケーションの脆弱性診断業務に従事しています。 そろそろ他のレイヤのスキルも身に着けたいなと思い、最近、会社のお金でHTB Academyという学習サービスを始めました。 今回のブ…
どうも！脆弱性診断士の西尾です！ 2020年に引き続き、2021年もWebスキミングの国内の被害状況について振り返っていきたいと思います。 本当は1月に書きたかったのですが、本業が忙しく気づけば4月になってしまいました… ちなみに前回の記事はこちら↓ techbl…
はじめに こんにちは。SST研究開発部の小野里です。いよいよ入社2年目になってしまい、新入社員特権でチヤホヤされる時期も終わってしまったので戦々恐々としています。 さて、私はつい先日まで2021年度新卒研修最後の課題として、Log4ShellのPoCを作って動…
はじめに こんにちは。久々に寝坊やらかして凹んでる、SST研究開発部の小野里です。今年入ってきた新人さんたちは、私のようにならないでほしいと祈るばかりです。 さて、新年度には入ってしまいましたが、つい先日まで2021年度新卒研修最後の延長戦として、…
はじめに こんにちは！CTOのはせがわです。 先日公開された、Flatt Securityさんのブログ「開発者が知っておきたい「XSSの発生原理以外」の話」、おもしろいですね。このXSSの記事に限らず、Flatt Securityさんのブログは役に立つ記事が多い*1ので、個人的に…
こんにちは、SSTでWeb脆弱性診断用のツール(スキャンツール)開発をしている坂本(Twitter, GitHub)です。 最近 WebAuthn *1 を触る機会がありました。 WebAuthnを使うと、Webアプリのログインで指紋認証や顔認証など多要素認証を組み込むことが可能となります…
はじめに こんにちは。SST研究開発部の小野里です。最近はキーボードを自作しようと思って色々パーツを買いそろえており、キーボードのことばかり考えています。今回の話はキーボードとは全く関係ありません。 さて、先日以下の記事で社内向けの蔵書管理サー…
はじめに こんにちは。BARON YOSHIIです。 私はシーランド公国の男爵という立場ですが、現在は日本でWebアプリの脆弱性診断をしています。 そして、2021年度ProSec-ITの受講生でもあります。 2022年度の募集要項が公開されましたので、この機会に「ProSec-IT…
Apache Log4jの脆弱性対応について、セキュアスカイ・テクノロジー社内（いわゆる情シスの視点）で実施している対応進行中の一部を可能な範囲でシェアします。
はじめに こんにちは、SSTでWeb脆弱性診断を担当しているTです。 この記事は以下の投稿の続きの内容になっています。 techblog.securesky-tech.com 前回の内容に続き、去年12月に「Oracle Java SE8 Gold」資格に挑戦し合格しました。そこで、その際に勉強し…
レスポンスヘッダとして「Access-Control-Allow-Origin」に「*」やリクエストの Origin ヘッダの値を設定したとき、ブラウザがどのような動きをするのか考え、確かめる記事。
はじめに 女神転生Vで最初のヒュドラにボコボコにされて仕事のやる気がおきない岩間です。 今回は、2021/11/19に行われたBoss of the SOC v4.1 Japanの参加レポートになります。 Boss of the SOC v4.1 Japanについて Boss of the SOC(BOTS)は、Splunk社のSpl…
はじめに メトロイドヴァニアとBABAisYOUが楽しすぎて仕事する気が起きない岩間です。 10/19-20で開催されていたCODE BLUE 2021にオンラインで参加してきました。 私が聴講したセッションについて、簡単にですがレポートしたいと思います！ はじめに 「サイ…
はじめに こんにちは。SST研究開発部の小野里です。喉の入り口付近に口内炎ができてしまって辛いです。 さて、私の新卒研修ではここ2ヶ月ほど、社内向けのWebアプリ開発を行っていました。 目的は大きく分けて2つあり、 検証や調査で必要となる基礎スキル（…
