ペネトレーションテスト手法

おい、みんな。席についてくれ。最近のペネトレーションテストやインシデント調査で、一番何が怖いかって知ってるか？ 「うちはリレーショナルデータベース（RDB）じゃなくて、今風のMongoDBやRedisを使っているからSQLインジェクションは...

おい、最近のOAuth 2.0 / OIDCの実装、適当にライブラリを組み込んで「動いたからヨシ！」にしていないか？セキュリティチーフの俺がインシデントレスポンスの現場で何度も目にしてきたのは、まさにそういう「仕様書の斜め読み」と「手抜き実...

やあ、お疲れ。最近、いくつかの案件でコードレビューを回していて、相変わらず根絶やしにできていない厄介なヤツを見つけたんだ。それが「Open Redirect（オープンリダイレクト）脆弱性」だ。開発者の中には、「単にユーザーを別のページに飛ば...

おい、最近のWebアプリケーション開発の現場を見ていると、「うちはAPIファーストだからCSRFなんて関係ない」「SameSite Cookieを設定したからAnti-CSRFトークンはもう古い」なんて慢心しているエンジニアが多すぎる。レッ...

お疲れ。席に座れ。最近、とある中堅ECサイトのペネトレーションテスト（模擬ハッキング）をやったんだがね、相変わらず「セッション固定化（Session Fixation）」の不備ですんなり管理者権限を奪取できてしまった。ログイン画面の作り込み...

おい、ちょっと手を止めてこっちを向いてくれ。先日、とあるクライアントのWebアプリケーションのペネトレーションテストを実施したんだがね。ログインフォームに ' OR 1=1 -- をブチ込んだ瞬間、見事にデータベースの全ユーザーテーブルが画...

おい、ちょっと手を止めてくれ。先週、うちのチームが担当している某SaaSプラットフォームの定期ペネトレーションテスト結果が出たんだが……また「あれ」をやらかしていた。そう、パストラバーサル（ディレクトリトラバーサル）だ。「フレームワークがよ...

おい、最近のコードレビューでまだ system() や exec() の臭いがするパッチを見かけたぞ。お前らが平然と書いているその「便利なシェル呼び出し」、レッドチームから見れば「どうぞ社内ネットワークを踏み台にしてください」と言っているよ...

お疲れ。最近、あちこちのログを監視していると相変わらず香ばしいリクエストが飛んできているな。特にPHPの unserialize() やJavaのガジェットチェーンまわり、そしてPythonの pickle を「便利だから」という理由でその...

おい、最近のソースコードレビューやペネトレーションテストで見かけるレガシーな脆弱性について、少し話をしようか。Webアプリケーションのセキュリティにおいて、SQLインジェクションやクロスサイトスクリプティング（XSS）はすっかりお馴染みの顔...