前回：やられアプリ BadTodo - 9 Server Side Code Injection - PHP Code Injection - demandosigno ログイン機能を設けているウェブサイトにおいて、利用者が外部サイトを経由した悪意のあるリクエストを実行させられてしまう場合、CSRFの脆弱性があること…

前回：やられアプリ BadTodo - 8.2 OS コマンド・インジェクション（内部でシェルを呼び出す関数） - demandosigno ZAPで検出されたリスク（高）の最後の一つ「Server Side Code Injection - PHP Code Injection」を確認します。 ZAPのリクエスト例。 https:…

前回：やられアプリ BadTodo - 7 リモート・ファイルインクルード（RFI） - demandosigno 古いPHPにはリモートからスクリプト実行を許す脆弱性があります。(CVE-2012-1823) OSコマンドがウェブサーバ上で実行され、その結果がウェブブラウザに返されます。 Z…

前回：やられアプリ BadTodo - 6 ディレクトリトラバーサル - demandosigno ZAPの例のアドレスを入力してみます。 https://todo.example.jp/resize.php?path=http%3A%2F%2Fwww.google.com%2Fsearch%3Fq%3DOWASP%2520ZAP&basename=elephant.png&size=64 外部…

前回：やられアプリ BadTodo - 5 オープンリダイレクト - demandosigno https://todo.example.jp/resize.phpにディレクトリトラバーサルがあるようです。 場所としてはログイン後のマイページにあるアイコン画像のURLとなります。 ZAPの例通りアドレスを入力…

前回：やられアプリ BadTodo - 4.1 XSS（クロスサイト・スクリプティング） - demandosigno 今回はOWASP ZAPで検出されている他の脆弱性を見ていきます。 意図しないリダイレクト（Open redirect） 「ウェブ健康診断」p.15 クエリストリング等に URL を保持…

前回：やられアプリ BadTodo - 3.3 SQLインジェクション DB情報の取得 - demandosigno 今回はXSSを試してみます。 Bad Todoの検索窓に「test」と入力し、検索ボタンをクリックしてみます。 リクエストはGET /todolist.php?rnd=64b73aa18a681&key=testである…

前回。OWASP ZAPにてざっと自動検査を行った。 やられアプリ BadTodo - 2 ZAPでのスキャン - demandosigno 今回から、検出された脆弱性が本当に存在するかを手動でチェックしていく。 ・SQLインジェクションの一例 www.youtube.com 最初の例として徳丸さんの…

初回。BadTodoのインストールとBurpSuiteなどの初期設定について。 やられアプリ BadTodo - 1 準備 - demandosigno 今回は、手動診断の目安にするため OWASP ZAP を使って BadTodoを一通りスキャンするところまで行う。 事前準備 Dockerコンテナの起動 BurpS…

OWASP ZAP Zed Attack Proxy | OWASP OWASP Japan Local Chapter Meetup | OWASP Foundation オープンソースのウェブアプリケーション脆弱性診断ツール。 WEBアプリケーションのセキュリティに対するガイドやツールを公開している、OWASP（Open Web Applicat…