OWASP Top 10 超初級編
- 1. OWASP Top 10 超初級編 akimalu
- 2. 自己紹介 akimalu Twitter:@aki_malu_sec(セキュリティ専門アカウント) 愛知県生まれ タイ育ち 最近の参加場所 :サイバーセキュリティシンポジウム道後 2019 情報処理学会 第81回全国大会 発表(学生奨励賞) など 開発興味：目覚まし + スマホ, 自動UIブラウザ，など
- 3. OWASP Top 10 ? OWASP(The Open Web Application Security Project)が 4年毎のペースで公開されているドキュメント ? 悪用のしやすさ，検知のしやすさ，影響の3つの指標から算出 されたスコアが高い順に順位付けされたもの → Webアプリケーションにおいて、特に気を付けなければ ならないリスクTop 10のようなもの https://www.owasp.org/images/2/23/OWASP_Top_10-2017%28ja%29.pdf
- 4. OWASP Top 10 - 2013 OWASP Top 10 - 2017 A1. インジェクション A1. インジェクション A2. 認証の不備とセッション管理 A2. 認証の不備 A3. XSS A3. 機微な情報の露出 A4. 安全でないオブジェクトへの直接参照 A4. XXE A5. 不適切なセキュリティ設定 A5. アクセス制御の不備 A6. 機微な情報の露出 A6. 不適切なセキュリティ設定 A7. 機能レベルのアクセス制御の不足 A7. XSS A8. CSRF A8. 安全でないデシリアライゼーション A9. 既知の脆弱性のあるコンポーネントの使用 A9. 既知の脆弱性のあるコンポーネントの使用 A10. 未検証のリダイレクトと転送 A10. 不十分なロギングとモニタリング
- 5. A1. インジェクション
- 7. 何が起きているのか ping 11 & ls (ping 11と同時にlsをする) 対策後(簡単なエスケープ処理後) ‘ping 11 & ls’としてshell_exec関数に渡している
- 8. A2. 認証の不備
- 11. 最悪なパスワードTop100 5. 12345 6. 111111 7. 1234567 8. sunshine 9. qwerty 10.iloveyou 11.princess 12.admin 13.welcome 14.666666 15.abc123 16.football 17.123123 18.monkey 19.654321 20.!@#$%^&* 21.charlie 22.aa123456 23.donald 24.password1 25.qwerty123 26.zxcvbnm 27.121212 28.bailey 29.freedom 30.shadow 31.passw0rd 32.baseball 33.buster 34.daniel 35.hannah 36.thomas https://www.teamsid.com/100-worst-passwords/
- 13. 辞書攻撃 辞書にある語を順に試す
- 14. SP800-63 ? NIST(米国国立標準技術研究所)が発行 ? SP800-63B(電子的認証に関するガイドライン)がニュースの対象 → パスワードが特に注目された
- 15. SP800-63Bにおけるパスワード ? 複雑さ要件(大文字,記号などを複数使用させるなど)を課さない ? 辞書攻撃対策は必須 ? パスワードが危篤化した场合以外は変更の必要なし
- 16. SP800-63Bにおけるパスワード ? 秘密の質問は実施すべきではない ? アカウントリカバリーでE-mailを要素に入れても良い → これはイレギュラー(攻撃者が知らない要素を入れるべき) → 理想的には要素に入れない方が良いが, 現実的に入れるしかない
- 17. A3. 機微な情報の露出 ? 平文送信 → 暗号化をして送信(必要最低限の送信) ? 保存時に平文で保存 → ソルト付与や暗号化をして保存(必要最低限の保存) ? 暗号鍵の不十分な管理 → 暗号鍵の適切な管理
- 20. 悪意あるコードとその対策 ? パスワード情報を取り出そうとする <!ENTITY xxe SYSTEM “file:///etc/passwd”> ? 悪意あるコードを受け入れないために → JSONを使用 → ホワイトリスト方式 → Webアプリケーションファイアウォール など
- 21. A5. アクセス制御の不備
- 24. A6. 不適切なセキュリティ設定 ? 古いバージョンのセキュリティホールをついた攻撃 → 最新のバージョンを使用 ? テストアカウント(デフォルトアカウント)を使用した攻撃 → デフォルトアカウントの削除 ? 脆弱性をついた攻撃を受ける可能性の上昇 → 必要最低限の機能付与
- 25. よくあるミス ① ID，パスワードを適当に入力 ② IDとパスワードが間違っています ③ パスワードクラック試行 ④ パスワードが間違っています
- 26. よくあるミス ① ID，パスワードを適当に入力 ② IDとパスワードが間違っています ③ パスワードクラック試行 ④ パスワードが間違っています IDは合っているのか
- 30. 反射型XSS(Cross Site Scripting) ① 悪意のあるコード ② 機密情報
- 31. データベースへデータを登録 ① データの登録をして！！ ② データを登録 ③ 登録成功 ④ 登録したよ！！
- 32. データベースを使用するとき ① XXXというWebページのHTMLちょうだい！！ ② HTMLを作成するために必要な データを要求 ③ 必要なデータ ④ XXXのHTML
- 35. 格納型XSS ① 悪意のあるデータの登録を要求！！ ② 悪意のあるデータを登録 ③ 登録成功 ④ 登録完了！！ 悪意のある データ
- 37. 格納型XSS ① XXXというWebページのHTMLちょうだい！！ ② HTMLを作成するために必要な データを要求 ③ 必要なデータ (悪意のあるデータも混ざる) ④ (悪意のあるデータで作られた)XXXのHTML 悪意のある データ
- 41. A9. 既知の脆弱性のあるコンポーネントの使用 ? バージョン管理しきれていないことによる脅威 → 必要最低限の機能付与 ? セキュリティパッチが適用されていないことによる脅威 → パッチの適用 ? 古いバージョンの使用による脅威 → 最新のバージョンへの更新
- 42. A10. 不十分なロギングとモニタリング ? ログ不足によりインシデントレスポンスが困難になる → 十分な期間の十分な内容のログを残す ? ログ閲覧の権限に関する不適切な設定による情報漏洩 → ログ閲覧に関する設定は必要最低限で適切な設定にする
- 43. XVWA(https://github.com/s4n7h0/xvwa) Webアプリケーションにおけるセキュリティをハンズオンで 学べるOSS ? SQLインジェクション ? OSコマンドインジェクション ? XSS ? PHPオブジェクトインジェクション ? XPATHインジェクション など