SSTエンジニアブログ

SSTのエンジニアによるWebセキュリティの技術を中心としたエンジニアブログです。

「CODE BLUE 2021」参加レポート(岩間編)

はじめに メトロイドヴァニアとBABAisYOUが楽しすぎて仕事する気が起きない岩間です。 10/19-20で開催されていたCODE BLUE 2021にオンラインで参加してきました。 私が聴講したセッションについて、簡単にですがレポートしたいと思います! はじめに 「サイ…

新卒研修記~Webアプリの開発~

はじめに こんにちは。SST研究開発部の小野里です。喉の入り口付近に口内炎ができてしまって辛いです。 さて、私の新卒研修ではここ2ヶ月ほど、社内向けのWebアプリ開発を行っていました。 目的は大きく分けて2つあり、 検証や調査で必要となる基礎スキル(…

LocalStackにServerlessGoatを構築した話

はじめに こんにちは、研究開発部の宇田川です。 今月末に開かれるセミナーで脆弱性体験アプリケーションのServerlessGoatを題材にチームメンバーが登壇するのですが、その準備で行ったLocalStack上にServerlessGoatを構築した内容を紹介します。 背景 クラ…

CODE BLUE 2021開催中!~基調講演レポート~

はじめに コロナ禍でどんどん太り続けていて、11月の健康診断におびえている黒木です。 今回は2021/10/19~20で開催されたCODE BLUEのアラナ・モーリシャス教授の基調講演についてレポートしたいと思います。 はじめに CODE BLUE とは 参加したセッション サ…

WSL2, Windows Terminal, Docker Desktop for Windows のインストールメモ

こんにちは、SSTでWeb脆弱性診断用のツール(スキャンツール)開発をしている坂本(Twitter, GitHub)です。 最近、WSL2やDockerを触る機会がありました。 今まで触れていなかったので、これを機会に WSL2 の Ubuntu をインストールしたり、Windows Terminal を…

Oracle Java SE8 Silver 受験記

はじめに こんにちは、SSTでWeb脆弱性診断を担当しているTです。 去年8月に「Oracle Java SE8 Silver」資格に挑戦し、無事合格しました。そこで、その際に勉強した内容について共有させて頂きます。 Java SE8 Silverは「上級者の指示の下で指定された実装が…

Linuxシステムの勉強に役立つコマンドの紹介

こんにちは、SSTでWeb脆弱性診断用のツール(スキャンツール)開発をしている坂本(Twitter, GitHub)です。 先日の記事では Linux のネットワークインターフェイス名を出発点として systemd や udev について調査しました。 どうやって調査したかというと、 検…

Raspberry Pi 4 を使ったスマホ向け透過型Proxy環境の構築(その2 : 有線LAN無しパターン)

前回の記事では Raspberry Pi 4 Model B Starter Kit (以下「ラズパイ」) をWiFi AP化し、Burp の Invisible(透過型) Proxy にHTTP(S)通信を転送した。 その時、自宅NWとラズパイの間は有線LAN(eth0)で接続し、WiFi APはラズパイ内蔵の無線LAN(wlan0) を使っ…

Flutter 製アプリを HTTP Proxy に対応させるには

こんにちは、SSTでWeb脆弱性診断用のツール(スキャンツール)開発をしている坂本(Twitter, GitHub)です。 先日 Flutter 製のiOSアプリについて、「WiFi で Proxy 設定しても Burp でHTTP(S) 通信が見れないんですが・・・」と相談を受けました。 少し調べたと…

Raspberry Pi 4 を使ったスマホ向け透過型Proxy環境の構築

こんにちは、SSTでWeb脆弱性診断用のツール(スキャンツール)開発をしている坂本(Twitter, GitHub)です。 前回の記事では Raspberry Pi 4 Model B Starter Kit (以下「ラズパイ」) をセットアップしました。 本記事では WiFi AP 化した上で、HTTP(S) アクセス…

Raspberry Pi 4 Model B Starter Kit のセットアップ記録

こんにちは、SSTでWeb脆弱性診断用のツール(スキャンツール)開発をしている坂本(Twitter, GitHub)です。 先日、お仕事で Raspberry Pi 4(以下「ラズパイ4」) を触る機会がありました。 WiFi接続設定, SSH/VNCの有効化, 有線LANの静的IP設定などを行いました…

Burp の Invisible(透過型) Proxy の仕組みと使い方

こんにちは、SSTでWeb脆弱性診断用のツール(スキャンツール)開発をしている坂本(Twitter, GitHub)です。 先日、Proxy によりHTTPリクエストがどのように変わるかの解説記事を書きました。 また iOS のHTTP通信ライブラリの Proxy 対応状況についても調べてい…

iOSのHTTP通信ライブラリとWiFiのHTTP Proxyサポート状況の調査メモ

こんにちは、SSTでWeb脆弱性診断用のツール(スキャンツール)開発をしている坂本(Twitter, GitHub)です。 最近はiOSアプリによるHTTP通信を診断することが増えてきました。 診断のために iOS のWiFi設定から Burp 向けにHTTP Proxy を設定しますが、一回の設…

「HTTP(S) Proxyを設定する」とはどういうことか、パケットレベルで解説

こんにちは、SSTでWeb脆弱性診断用のツール(スキャンツール)開発をしている坂本(Twitter, GitHub)です。 社内で診断ツールやプロキシを開発していることもあり、通信関連のトラブル相談を受けることがあります。 その中で「そもそも HTTP(S) Proxyを設定する…

Burp の TLS Pass Through 設定の使い所と仕組み

こんにちは、SSTでWeb脆弱性診断用のツール(スキャンツール)開発をしている坂本(Twitter, GitHub)です。 iOSやAndroidで Burp のProxy設定をすると、いくつかのアプリで通信エラーになってしまうことがあります。 例として以下のような操作があります。 アプ…

iOSにおけるBurpのHTTP Proxy設定(2021版)

こんにちは、SSTでWeb脆弱性診断用のツール(スキャンツール)開発をしている坂本(Twitter, GitHub)です。 先日 iOS にBurpのHTTP Proxy設定をする機会がありました。 久しぶりなので改めて調べ直してみたところ、Burpの開発元である PortSwigger 社のサポート…

Burp Suite Certified Practitioner紹介

はじめに ゼルダの伝説 スカイウォードソード HD楽しすぎて仕事する気がおきない岩間です。マダス...マダス... 先日、Burpを開発している会社Port Swigger社が新しい資格「Burp Suite Certified Practitioner」をリリースしました。 portswigger.net portswi…

DOM Invader触ってみた

はじめに ゼルダの伝説 スカイウォードソード HDやりたくて仕事する気が起きない岩間です。女神転生Vも待ち遠し…。 今回は、先日リリースされたBurpの新機能であるDOM Invaderの紹介です! DOM Invaderは、Burp ProfessionalおよびCommunityの2021.7のバージ…

認可リクエストとアクセストークンリクエストのredirect_uri検証によって防げる脅威

はじめに こんにちは、脆弱性診断員の秋本です。 今回のブログもまたOAuthの話です。 先日、OAuth2.0の各必須パラメータについてまとめていたところ、アクセストークンリクエストでredirect_uriを検証する必要とは?について頭を抱えていました。 RFC6749に…

Google Chrome Developer Tools入門

はじめに こんにちは。この春からSSTに入社しました小野里です。これが2本目の記事になります。まだまだ書きなれないですが、何事も経験かなと考えチャレンジしていきたいと思います。 さて、今回はGoogle Chromeの開発者向け機能である「Google Chrome Deve…

Burp Suite Community Editionのインストール~Interceptまで

はじめに こんにちは。この春からSSTに入社致しました、小野里と申します。今回は新人研修の一環+古い記事のアップデートとして、Burp Suite Community Edition最新版(2021/06/02時点)のインストール~簡単な使い方について書きます。Ver1.6時代の記事はこ…

YouTube「SSTさくうぇぶチャンネル」 ~カフェ気分で1分Webセキュリティ動画~

はじめに こんにちは。技術開発部&研究開発部所属のかをるです。この春から入社5年目になりました。月日が経つのは早いなぁと感じています。 今回は、YouTube「SSTさくうぇぶチャンネル」より「サクッと1分Webセキュリティ」を紹介します。 「カフェのメニュ…

Wordpressのxdebug環境設定メモ

はじめに 最近、メトロイドヴァニア系のゲームにハマったのをきっかけにスーパーメトロイド(SFC)にも手を出して仕事する気が起きない岩間です。 一応クリアしましたが難し・・・。 今回は、Wordpressのデバッグ環境を整える機会があったのでブログにしてみま…

セキュリティ・キャンプの協賛企業になりました!

こんにちは。 人狼系ゲームで悪いことをしていないのに疑われがちなエンジニアのshigaです。 1月よりセキュアスカイ・テクノロジー(以下よりSST)はセキュリティ・キャンプの協賛企業になりました! セキュリティ・キャンプとは? 学生を対象としたセキュリ…

脆弱性診断用のアカウントが複数必要な理由

はじめに こんにちは。脆弱性診断員のYOSHIIです。 ログイン機能があるWebシステムを診断する際に、診断用のアカウントを複数ご提供いただけるようにお願いすることがあります。 「なぜアカウントが1つではダメなのか。複数アカウントで何をするのか。」 こ…

OAuth2.0におけるCSRFとは

はじめに こんにちは、診断員の秋本です! 最近、ダイワスカーレットのドヤ顔を見るためだけにウマ娘をプレイしてます。ゲームシステム全然わからん…。 皆さんは、RFC6749で定義されているOAuth2.0をご存じでしょうか。 OAuth2.0には実装不備によって生じて…

書籍「Webブラウザセキュリティ」発刊記念 著者&レビュアー対談(後編)

こんにちは!CTOのはせがわです。 今年1月に発売された書籍「Webブラウザセキュリティ」の著者の米内貴志(つばめ)さん、レビュアーにしむねあさん、キヌガワマサトさん、私の4名でわいわいと本を振り返る対談記事、後編です(前編はこちらからどうぞ)。 docu…

書籍「Webブラウザセキュリティ」発刊記念 著者&レビュアー対談(前編)

こんにちは!CTOのはせがわです。 今年1月に、ラムダノートさんから「Webブラウザセキュリティ」という本が出版されました。 Webブラウザセキュリティ ― Webアプリケーションの安全性を支える仕組みを整理する 米内貴志 著 224ページ A5判 ISBN:978-4-90868…

2020年のWebスキミング被害を振り返ってみる

こんにちは!ようやく一人前の脆弱性診断士になりつつある西尾です。 今回はタイトルの通り、2020年に公表されたWebスキミング被害を振り返ってみたいと思います。 Webスキミングとは、ECサイト(ネットショップ)の決済画面等を改ざんして不正なコードを仕…

ScutumAPIリリース記念 第三弾 CloudFrontログとScutumの防御ログを結合してみた。

はじめに こんにちは、研究開発の宇田川です。 過去2回と防御ログ(リスト)と防御ログ(詳細)についてAWSを使用した自動取得の方法をご紹介しました。 techblog.securesky-tech.com techblog.securesky-tech.com 今回は、CloudFrontのログとScutumの防御ログの…