tomcat CVE-2020-1938 検証

※勉強目的のみ。悪用厳禁。 脆弱性説明 脆弱性バージョン（8.5.50）検証 実行結果 緩和策実行 潜在的なRCE 修正バージョン（8.5.51）検証 実行結果 対策 感想 脆弱性説明 www.ipa.go.jp 脆弱性バージョン（8.5.50）検証 実行結果 pocはググって出たものを使った。 /WEB-INF/web.xmlの内容が表示された。 nmap結果。 AJPの8009ポートが空いている。 緩和策実行 JPCERTの緩和策を実行した。 Apache Tomcat の脆弱性 (CVE-2020-1938) に関する注意喚起 conf/server.xml nmap実行 8009ポート…

RCE レポート＆リソース

※勉強目的のみ。悪用厳禁。 目次 www.nicksecuritylog.com レポート 2017年 2019年 リソース・記事 2020年 関連CVE nginx ImageMagick WebLogic Atlassian Crowd Jira PHP AEM vBulletin Pulse Secure struts spring レポート 2017年 GraphicsMagick https://hackerone.com/reports/212696 2019年 調査方法から発見方法まで https://hackerone.com/reports/502758 リソース・記事 20…

SQLインジェクション レポート＆リソース

※勉強目的のみ。悪用厳禁。 目次 www.nicksecuritylog.com レポート リソース・記事 レポート リソース・記事 portswigger What is SQL Injection? Tutorial & Examples OWASP SQL Injection OWASP 応用ペイロード A technique that a lot of SQL injection beginners don’t know Atmanand Nagpure write-up

XSS レポート＆リソース

※勉強目的のみ。悪用厳禁。 目次 www.nicksecuritylog.com レポート リソース・記事 XSSチャレンジ レポート Reflect Combining DOM and reflected XSS to bypass input sanitation in Checkpoint.com Reflected XSS at Philips.com - Jonathan Bouman - Medium Stored https://hackerone.com/reports/733248 リソース・記事 2020年のXSSについて Actual XSS in 2020 · Xent…

バグバウンティ・セキュリティ・CTF記事目次

※勉強目的のみ。悪用厳禁。 バグバウンティ RCE SQLインジェクション SSRF XSS ファイルアップロード 認証関連 バグバウンティ www.nicksecuritylog.com RCE www.nicksecuritylog.com SQLインジェクション www.nicksecuritylog.com SSRF XSS www.nicksecuritylog.com ファイルアップロード 認証関連

バグバウンティ 記事・リソース

※勉強目的のみ。悪用厳禁。 目次 www.nicksecuritylog.com 初心者向けリソース 初心者向け記事 リソース 情報元 方法論 コミュニティ 初心者向けリソース nahamsecのgithubリポジトリ GitHub - nahamsec/Resources-for-Beginner-Bug-Bounty-Hunters: A list of resources for those interested in getting started in bug bounties 基本的なことから書かれた本 Breaking into Information… by Andy Gill…

公式ドキュメントは便利だった 2020/2/17

※勉強目的のみ。悪用厳禁。 RCE関連の記事をいくつか確認。 ファイルアップロードのドキュメント バグバウンティ RCE関連の記事をいくつか確認。 hackeroneのレポートがとても参考になった。 404ページの扱い、RCEにつながる情報の見つけ方など。 https://hackerone.com/reports/502758 ファイルアップロードのドキュメント OWASPやCWEが引っかかってきたが、すごく細かく書いてあった。 実際のコードや事例などたくさん書いてあって参考になった。 https://owasp.org/www-community/ https://cwe.mitre.or…

やりたいことが多く見つかった

表面をなぞってXSSやらmiss configやらを探すバグバウンティがあまり面白くないと感じた。 技術的な成長が無いから、お金がもらえるか否かしかない。 これからの自分がどう思うかは知らないが、今は表面をなぞるのを辞める。 そこで、RCEなどに興味が出てきた。 pentesterlabでコードインジェクションの章をやったが、だいぶ面白かった。 現実であんなのが起こるのかってのが半信半疑。 しばらくはコードインジェクション、OSコマンドインジェクション、CVEを調べていくと思う。 そして、基礎の勉強。 支援士の勉強をしていたが、少し興味を向けてみるとまぁ面白い。 コンピュータサイエンスというか…

オペミスした人にその仕打ちはどうなの？ 他

メール誤送信でアドレス漏えい、理事長・事務局長・担当職員は懲戒処分 減給3ヶ月（滋賀レイクスターズ） scan.netsecurity.ne.jp メール誤送信で減給。 それはどうなの？ CCとBCCを間違えて誤送信なんて、いつか誰かやるミスなのに減給はひどい。 ミスするべくミスしたとしか言えない。 対策で誤送信を防ぐソフトや研修の実施とあるけどこんなので防げるのか？ この作業自体を自動化しないと無理な気がする。 そして、この事例によりミスを隠そうとする人が出てくると思われる。 ミスしやすい環境で、たまたましたミスの責任を被せられたらたまったもんじゃない。 こういう事例に限らず、根本的な解決が…

2020年は甘い情報に踊らされないように

SNSで地震予告を拡散するだけで…東京五輪を狙うサイバー犯罪手口（菊地 千鶴） 現代ビジネス 講談社（1/5） このような記事があった。 2020年に限ったことではないが、甘い情報に踊らされないようにしなければならない。 サイトや機器にDDos攻撃などもあるだろう。 だけど、それは一般人が気にすることではない。 「そんなわけない」美味しい話に騙される話はいつだってあるように感じている。 1日5分で10万稼げますだか、何もしなくても稼げちゃう！だか。 いつだってあったが、2020年はオリンピックという格好のネタがある。 私は特に興味無いのだが、楽しみにしている人は多いのだろう。 記事にあ…

象印の個人情報流出について

www.zojirushi.co.jp 象印の個人情報流出について。 情報流出のリリースをちゃんと見るのは初めてかもしれない。 初報 2019年12月6日。 12月4日に不審メールが届いているとの通報があり、当日にサービス停止。 2日後にリリース。 被害 クレカ除く個人情報の流出はだいたい28万件。 フィッシングサイトを経由したクレカ情報漏洩はだいたい700件。 不審メール内容 使われているドメインは本物。 メール内に記載されてあるフィッシングサイトのドメインは偽物。 フィッシングル対策 証明書の記載を見るよう案内。 再発防止策 異常を検知する監視機能の強化 (2019年12月25日完了) シ…

フィッシングへの対策は進まないのか

www.chunichi.co.jp 三重県でのフィッシング詐欺への啓発活動の内容。 「正しいメールアドレス、サイト上のリンクは正しいアドレスか」って書いてあるけど、正しいものを把握しているのかね？ 前社内SEやってたころはこういうメールのリンクや添付ファイルはバンバン開いていて、それの事後対応は割とあった。 こちらの想像以上に、ITに関連しない仕事をしている人のセキュリティ意識は低い。 小難しいことは業務に押されて忘れてしまうことが多々あるらしいので、「メールのリンクは開くな」で統一したほうが話が早い。 ソーシャル エンジニアリングで影響度も高いので、さっさと正しい対策を公表してほしいところ…