ペネトレーションテスト手法

破壊の万能鍵：安全でないデシリアライズ（Insecure Deserialization）との戦い現場でインシデント対応をしていると、「なぜこんな単純な入り口を放置したのか」と頭を抱えることがよくある。その筆頭が「安全でないデシリアライズ」...

インフラエンジニアの盲点：SSRFでクラウドメタデータを「乗っ取る」という悪夢「うちは外からアクセスできない内部ネットワークにあるから大丈夫」ペネトレーションテストの現場で、開発者やインフラエンジニアから最も多く聞く、そして最も危険なセリフ...

CSRFは「終わった脆弱性」か？――現場で直面する防御の限界と真の対策「CSRF対策？ SameSite=Lax を設定しておけば終わりでしょ？」もし君がそう思っているなら、残念だがレッドチームの標的としては格好のカモだ。教科書的なセキュリ...

CSPは「魔法の杖」ではない：現場で叩き込まれるバイパスの現実「Content-Security-Policy (CSP) を入れたから、うちのアプリはXSSに対して無敵だ」。もし君のチームでそんな楽観的な声が聞こえてきたら、即座に目を覚ま...

XSSの「教科書的な理解」を捨てろ：現場が知るべきDOMベース攻撃の真実「XSSなんて今さら対策済みだよ」——そう言って油断している開発者が、一番最初に標的になる。こんにちは。セキュリティチーフとして数々のインシデント現場を見てきたが、悲し...

認可サーバーの「地図」を公開するな：OIDCメタデータエンドポイントが招く悪夢と防御策こんにちは。セキュリティチームのチーフエンジニアだ。今日は、多くの開発者が「公開して当然」と思っている、あるいは単に設定を忘れて放置している「あるエンドポ...

その「Remember Me」は玄関の鍵を全開にしているのと同じだ：セッション管理の盲点を突く現場でコードをレビューしていると、いまだに「利便性」という名の免罪符で、脆弱な Remember Me 実装を放置しているケースに出くわす。開発者...

OAuth 2.0の「Redirect URI」はただの文字列ではない：トークン強奪を阻止する設計の要諦現場でOAuthの実装を見ていると、開発者が最も軽視しがちなのが redirect_uri のバリデーションだ。「正規表現でなんとなく弾...

JWTの「kid」パラメータ注入：認証の「鍵穴」をすり替える手口と防衛術JWT（JSON Web Token）を扱う際、多くの開発者が「署名検証をしているから安全だ」と過信しています。しかし、その「検証」のプロセスに、攻撃者が入り込む巨大な...

パスワードリセットの「0.1ミリ秒」を盗む：タイミング攻撃の真実と防御の極意現場でコードを叩いていると、「ログイン処理なんてライブラリを使えばいい」「パスワードリセットのトークン比較なんて==で十分だ」という声が聞こえてくる。だが、セキュリ...