狠狠撸
Submit Search
インストールマニアックスて?翱厂厂の脆弱性をたくさん见つけたよ
?
Download as PPTX, PDF
?
2 likes
?
1,665 views
Yuji Kazan
Follow
去年のインストールマニアックス打ち上げで発表したプレゼン资料を见つけたのでアップしてみる
Read less
Read more
1 of 24
Download now
Download to read offline
More Related Content
インストールマニアックスて?翱厂厂の脆弱性をたくさん见つけたよ
2.
インストールマニアックス お疲れ様でした!
3.
自己绍介
4.
インストールマニアッ クスの中の人
5.
インストール マニアックス 終了
6.
别の仕事
7.
資格試験の 問題作成
8.
資格試験 終了
9.
仕事がない! 仕事ください
10.
ぼくのインストールマニアックス たくさんインストールしても 最後には 順位から除外されるのが ぼくのインストールマニアッ クス
11.
なぜ? 関係者だからあたりまえ…
12.
つまんない… でもそこそこ数は入れます。 お仕事ですから。
13.
それはともかく インストールしたOSSって つい使ってみたくなるよね
14.
使ってみると脆弱性が! 脆弱性発見 マニアックスを (勝手に)開催
15.
どんな脆弱性が見つかった? ?XSS ?SQLインジェクション ?セッション固定 ?不正なファイルのアップロード
16.
XSS 何ができる? ?好きなタグが埋められる ?セッションハイジャック ?偽サイトに誘導 ?偽ポップアップの表示 反射型(Type1) http://192.168.5.5/conc/index.php/tools/blocks/image/crop_image?bID=70&width=“ ><script>alert(document.cookie)</script>&height=212&fID=2 埋込み型(Type2) Dom-Base 反射型はIEとChrome/Safariならほとんど防がれるよ
17.
SQLインジェクション なにができる? ?データベースの書き換え ?データベースの読み出し ?データの削除 ?ファイルの書き込み http://example.jp/?user=‘ or 1=1— みたいなURLで勝手ににログインすることができることも
18.
セッション固定 ?ログインセッションを任意の値に強制的に設定する ?http://maniax.jp/?phpsessid=1 みたいなURLでアクセスさせることで強制的にセッションIDを1にする。 ?別のユーザーが同じセッションIDをセットすることでハイジャック
19.
不正なファイルのアップロード ?シェルのアップロード ?脆弱性のあるファイルのアップロード ?誰でもphpファイルをアップロードできると、WebからOSコマンド実行も可能に
20.
どのOSSに脆弱性があった? (修正が確認されたものに限定) BigAce CMS XSSとセッション固定 BabyGekko SQLインジェクションとXSS Concrete5
反射型XSS Imgboard 反射型XSS SmallPict 埋め込みXSS Web Patio 埋め込みXSS YY-Board 埋め込みXSS ZenPhoto 埋め込みXSS Smarty 反射型XSS
21.
他にも脆弱性未修正のOSSもあります Flo□CMS Wor□Press EC-□ube Sh□tter Tiki□iki Cil□x Ph□nuke cy□pe
22.
まとめ ?OSSには思った以上に脆弱性があるよ ?メンテされていないOSSは脆弱性が残ったまま放置されているものがあるから 調べてから使ったほうがいいよ ?まめに修正されているので最新を使おう ?報告はIPAが楽だよ ?報告しても一円にもならないよ
23.
みんなで脆弱性を見つけて 安全なOSSにしていきましょう
24.
おわり ご清聴ありがとうございました。
Download