はじめに こんにちは、研究開発部の宇田川です。 今月末に開かれるセミナーで脆弱性体験アプリケーションのServerlessGoatを題材にチームメンバーが登壇するのですが、その準備で行ったLocalStack上にServerlessGoatを構築した内容を紹介します。 背景 クラ…

LocalStackにServerlessGoatを構築した話

はじめに ゼルダの伝説 スカイウォードソード HDやりたくて仕事する気が起きない岩間です。女神転生Vも待ち遠し…。 今回は、先日リリースされたBurpの新機能であるDOM Invaderの紹介です！ DOM Invaderは、Burp ProfessionalおよびCommunityの2021.7のバージ…

DOM Invader触ってみた

はじめに こんにちは。脆弱性診断員のYOSHIIです。 ログイン機能があるWebシステムを診断する際に、診断用のアカウントを複数ご提供いただけるようにお願いすることがあります。 「なぜアカウントが1つではダメなのか。複数アカウントで何をするのか。」 こ…

脆弱性診断用のアカウントが複数必要な理由

福岡ラボのくろきです。今回は、SSTのWebサイトの脆弱性診断（以下、脆弱性診断）の際に重要となる、診断対象の単位についてお伝えしたいと思います。 はじめに この記事は、初めて脆弱性診断をご検討される方向けのものです。 そもそも脆弱性診断はどのよう…

脆弱性診断の前に知っておきたい！～リクエストとは～

はじめに こんにちは。脆弱性診断の業務に携わっています、かをるです。 今回はタイトルの通り、脆弱性診断における「ロール」と「データ」を考慮した準備について記事を書きました。 読んでいただけると、以下について知ることができます。 脆弱性診断依頼…

脆弱性診断における「ロール」を考慮したアカウントや「データ」の準備について

こんにちは、SSTでWeb脆弱性診断用のツール(スキャンツール)開発をしている坂本(Twitter, GitHub)です。 普段は診断向けのスキャンツールを開発していますが、今年(2019年)の3月～8月にかけて、SST内部で使用する独自ローカルHTTPプロキシ「spindle-localpro…

spindle-localproxy というローカルHTTPプロキシを開発しました【Part1】

認証と認可の違い はじめに こんにちは。マイペースを極めつつある診断員の百田です。 最近、認証と認可の違いについて考えさせられることがありましたので、今回はそれについてのんべんぐらりと書きつづります。 なお、ここでいう「認証」と「認可」はWebア…

認証と認可の違い

はじめに はじめまして、Webアプリケーションの脆弱性診断をしている大二郎です。 私は2017年から先述の診断員として働き始めました。それまでは、診断サービスに関するスケジュールなどの案件調整を主な業務として担当しており、SST社内で非エンジニアから…

非エンジニアから脆弱性診断員になった人の話

はじめまして！ 百田と申します。普段は脆弱性診断を業務としています。 突然ですが、皆さんは普段 ローカルプロキシ 何を使っていますか？ 私は Burp Suite を使っています。お恥ずかしながら、その他のローカルプロキシツールはほとんど使ったことがありま…

FiddlerScript ちょっと使ってみた

こんにちは、診断業務全般を担当しているイデです。 脆弱性診断ライフ楽しんでいますか？ 気づけばもう2018年も既に10月下旬、今年ももうすぐ終わりますね＾＾ まだだ、まだ今年は終わらんよ！！！、俺たちの2018年度はこれからやで！という声も後ろのほうか…

2018年度前半のプラットフォーム診断結果を振り返ってみました