前回：やられアプリ BadTodo - 12 メールヘッダ・インジェクション - demandosigno 該当する機能がマウス操作のみで使用可能な場合、細工された外部サイトを閲覧し操作することにより、利用者が誤操作し、意図しない機能を実行させられる可能性があります。 …

前回：やられアプリ BadTodo - 11 HTTP ヘッダ・インジェクション - demandosigno ウェブアプリケーションの中には、利用者が入力した商品申し込みやアンケート等の内容を、特定のメールアドレスに送信する機能を持つものがあります。一般に、このメールアド…

前回：やられアプリ BadTodo - 10.7 XSSによるCSRF対策の突破 - demandosigno ウェブアプリケーションの中には、リクエストに対して出力する HTTP レスポンスヘッダのフィールド値を、外部から渡されるパラメータの値等を利用して動的に生成するものがありま…

前回：やられアプリ BadTodo - 9 Server Side Code Injection - PHP Code Injection - demandosigno ログイン機能を設けているウェブサイトにおいて、利用者が外部サイトを経由した悪意のあるリクエストを実行させられてしまう場合、CSRFの脆弱性があること…

前回：やられアプリ BadTodo - 8.2 OS コマンド・インジェクション（内部でシェルを呼び出す関数） - demandosigno ZAPで検出されたリスク（高）の最後の一つ「Server Side Code Injection - PHP Code Injection」を確認します。 ZAPのリクエスト例。 https:…

前回：やられアプリ BadTodo - 8.1 OS コマンド・インジェクション（リモートコード実行。CVE-2012-1823） - demandosignoで紹介したように、PHPの exec(), system() などの関数はOSコマンドを呼び出すことができます。多くはシェル経由でコマンドを起動して…

前回：やられアプリ BadTodo - 7 リモート・ファイルインクルード（RFI） - demandosigno 古いPHPにはリモートからスクリプト実行を許す脆弱性があります。(CVE-2012-1823) OSコマンドがウェブサーバ上で実行され、その結果がウェブブラウザに返されます。 Z…

前回：やられアプリ BadTodo - 6 ディレクトリトラバーサル - demandosigno ZAPの例のアドレスを入力してみます。 https://todo.example.jp/resize.php?path=http%3A%2F%2Fwww.google.com%2Fsearch%3Fq%3DOWASP%2520ZAP&basename=elephant.png&size=64 外部…

前回：やられアプリ BadTodo - 5 オープンリダイレクト - demandosigno https://todo.example.jp/resize.phpにディレクトリトラバーサルがあるようです。 場所としてはログイン後のマイページにあるアイコン画像のURLとなります。 ZAPの例通りアドレスを入力…

前回：やられアプリ BadTodo - 4.8 XSS URL属性値に対して - demandosigno 今回はOWASP ZAPで検出されている他の脆弱性を見ていきます。 意図しないリダイレクト（Open redirect） 「ウェブ健康診断」p.15 クエリストリング等に URL を保持している場合に、U…

前回：BadTodo - 3.10 ブラインドSQLインジェクション (Boolean-Based) 練習 - demandosigno 今回はXSSを試してみます。 Bad Todoの検索窓に「test」と入力し、検索ボタンをクリックしてみます。 リクエストはGET /todolist.php?rnd=64b73aa18a681&key=test…

前回：やられアプリ BadTodo - 3.1 SQLインジェクション 認証の回避 - demandosigno Todo検索画面でのSQLインジェクション ログイン前の検索画面 補足：画像では検索窓が左寄せとなっていますが、最新のBadTodoでは右寄せになっています。 文字列testで検索…

前回。OWASP ZAPにてざっと自動検査を行いました。 やられアプリ BadTodo - 2 ZAPでのスキャン - demandosigno 今回から、検出された脆弱性が本当に存在するかを手動でチェックしていきます。 ・SQLインジェクションの一例 www.youtube.com 最初の例として徳…

初回。BadTodoのインストールとBurpSuiteなどの初期設定について。 やられアプリ BadTodo - 1 準備 - demandosigno 今回は、手動診断の目安にするため OWASP ZAP を使って BadTodoを一通りスキャンするところまで行います。 事前準備 Dockerコンテナの起動 B…

各記事へのリンク一覧 ： やられアプリBadTodo 脆弱性のまとめ - demandosigno こんな見た目のTodoアプリです。 GitHub - ockeghem/badtodo Windows、Mac（Intel, Apple Silicone）、Linux環境で動作可能です。 GitHub README内の「インストール方法」や次の…

Language を「日本語」に変えても Terminal が立ち上がるようになった。

検査用にごく一時的にUbuntuを使う必要があり、久しぶりにVirtualBoxを使った。 VirtualBoxの機能に自動インストール（Unattended Iinstall）ができたようで、これを利用してUbuntuをインストールした。 インストール完了後の最初のアップデートで管理者パス…