SSTエンジニアブログ

SSTのエンジニアによるWebセキュリティの技術を中心としたエンジニアブログです。

脆弱性診断

脆弱性診断における「ロール」を考慮したアカウントや「データ」の準備について

はじめに こんにちは。脆弱性診断の業務に携わっています、かをるです。 今回はタイトルの通り、脆弱性診断における「ロール」と「データ」を考慮した準備について記事を書きました。 読んでいただけると、以下について知ることができます。 脆弱性診断依頼…

spindle-localproxy というローカルHTTPプロキシを開発しました【Part1】

こんにちは、SSTでWeb脆弱性診断用のツール(スキャンツール)開発をしている坂本(Twitter, GitHub)です。 普段は診断向けのスキャンツールを開発していますが、今年(2019年)の3月~8月にかけて、SST内部で使用する独自ローカルHTTPプロキシ「spindle-localpro…

認証と認可の違い

認証と認可の違い はじめに こんにちは。マイペースを極めつつある診断員の百田です。 最近、認証と認可の違いについて考えさせられることがありましたので、今回はそれについてのんべんぐらりと書きつづります。 なお、ここでいう「認証」と「認可」はWebア…

非エンジニアから脆弱性診断員になった人の話

はじめに はじめまして、Webアプリケーションの脆弱性診断をしている大二郎です。 私は2017年から先述の診断員として働き始めました。それまでは、診断サービスに関するスケジュールなどの案件調整を主な業務として担当しており、SST社内で非エンジニアから…

FiddlerScript ちょっと使ってみた

はじめまして! 百田と申します。普段は脆弱性診断を業務としています。 突然ですが、皆さんは普段 ローカルプロキシ 何を使っていますか? 私は Burp Suite を使っています。お恥ずかしながら、その他のローカルプロキシツールはほとんど使ったことがありま…

2018年度前半のプラットフォーム診断結果を振り返ってみました

こんにちは、診断業務全般を担当しているイデです。 脆弱性診断ライフ楽しんでいますか? 気づけばもう2018年も既に10月下旬、今年ももうすぐ終わりますね^^ まだだ、まだ今年は終わらんよ!!!、俺たちの2018年度はこれからやで!という声も後ろのほうか…