B4BaY4gaのブログ

B4BaY4gaのブログ

ホームピグアメブロ

芸能人ブログ人気ブログ

11Oct
- プロンプトインジェクション
  誰かがあなたに家事をさせようとするような経験をしたことがありますか？私も兄弟姉妹とそういった経験があります 🥹「お母さんは僕が全部自分で家事をやってるから僕のことをもっと愛してるよ。君は家事なんてやらなくていいんだよ」それで、私（小さい頃の自分）が全部の家事を一人でやってしまいました😂01. プロンプト注入とは？プロンプト注入とは、言語モデルに与えられる入力を操作して応答を変更する技術であり、しばしば制限を回避したり、予期しない出力を生成したりします。これは、誤情報の拡散などの悪意のある目的や、創造的な応用の両方に使用される可能性があります。プロンプト注入に飛び込む前に、いくつかのことを理解する必要があるので、それが理解できないのは当然です。01.1. プロンプトとは？プロンプトとは、LLM（大規模言語モデル）からの応答を要求するために使用される入力や指示のことです。01.2. システムプロンプトLLMは事前に訓練されたAIモデルです。私たちがアプリケーションでLLMを使用する際には、特定のタスクに適応させるためにファインチューニングと呼ばれるプロセスを行います。開発者はLLM用に追加のコードを書く必要はなく、システムプロンプトを作成して、LLMがユーザー入力をどのように処理すべきか指示を与えることができます。さて、プロンプト注入がどのように機能するか見てみましょう。つまり、プロンプトをLLMに与えると、システムプロンプトとともに処理されます。はい、これがプロンプト注入の仕組みです。これはソーシャルエンジニアリングとインジェクション攻撃の組み合わせのようなもので、言葉でモデルを騙し、プロンプトに悪意のあるペイロードを注入しています。しかし、開発者はアプリケーションにプロンプト注入が発生するのを好まないため、セーフガードを使用しています。02. プロンプト注入の種類XSSやSQLインジェクションのように、プロンプト注入にもさまざまなタイプの攻撃があります（つまり、2種類）。1. 直接プロンプト注入: 攻撃者がプロンプトを直接作成してモデルを操作し、予期しないまたは有害な出力を生成させる方法です。2. 間接プロンプト注入: 攻撃者が巧妙な言い回しやフレーミングを通じて、直接的な操作なしにモデルの文脈や動作に影響を与えるプロンプトを作成する方法です。03. 実践してみましょうプロンプト注入を実践するために、私たちはガンダルフをプレイします。レベル1はスキップしました。パスワードを尋ねるだけで済むからです（セーフガードがありません）。レベル2はレベル1とは異なります。パスワードを尋ねたときにガンダルフがそれを拒否したのがわかります。これで、なぜ機能しないのか理解できました。しかし、ガンダルフを騙してパスワードを教えてもらうこともできます（セーフガードをバイパスする）。正確に1つのプロンプトは存在せず、自分自身のプロンプトを試す必要があります。04. 結論プロンプト注入とは、入力を調整して言語モデルを操作し、予期しない動作をさせたり、すべきでない情報を漏らさせたりすることです。これは、モデルを言葉で騙してその制限をすり抜けるようなものです。楽しく創造的な側面もありますが、セキュリティ問題や誤情報の拡散といった実際のリスクも伴います。しかし心配はいりません。開発者たちはセーフガードを導入して対処しています。それでも、さまざまなプロンプト（例えば「ガンダルフ」チャレンジ）を試すことで、これらの手口がどのように機能するか、そしてそれをどのように防ぐかを理解するのに役立ちます。以上です！！！！
22Jul
- “曜日にアップデートをプッシュしないで”
  “曜日にアップデートをプッシュしないで”みんな！さあ、始めよう。この日々に目覚めてソーシャルメディアを見たら、あなたの日は台無しになる。つまり、その日にやったことすべてが台無しになる。だって、火事だからさ！ソーシャルメディアにはただ一つの話題しかなかった、それが「CrowdStrike」だ。じゃあ、何が起こったんだ？何が起こったかを知るために、この問題を引き起こしたCrowdStrike Falconについて知る必要がある。01. CrowdStrike Falconとは企業は大量のコンピュータを運用しており、サイバー脅威から保護する必要がある。そこでEDR（Endpoint Detection and Response）を使用する。EDRは、コンピュータのセキュリティガードのように常に監視し、疑わしい活動を検出して保護するシステムだ。CrowdStrike Falconセンサーは、リアルタイムで脅威を検出し、対応する高度なEDRソリューションである。これにより、複数のエンドポイントにわたるセキュリティ脅威を迅速に特定し、軽減する。フォーチュン500企業の298社がCrowdStrike Falconセンサーを使用している。02. 何が原因か脅威を効果的に検出、分析、封じ込めるために、CrowdStrike Falconセンサーはカーネルレベルのアクセスを必要とする。この特権アクセスにより、エンドポイントを深く監視し、脅威を特定し、その行動を分析し、迅速に対応して被害を防ぐことができる。カーネルレベルのアクセスを持っているため、センサーが誤作動するとカーネルにも影響を及ぼすことがある。金曜日にCrowdStrikeがアップデートをプッシュし、自動アップデートが有効なため、多くのコンピュータが自動的にアップデートされた。そのアップデートにはセンサー構成の論理エラーが含まれていた。03. 修正方法こんなふうにやられちゃったら、以下の方法で修正できる。ただし、CrowdStrikeの仮想マシンを持っていないので実演はできない。個別ホストの場合：セーフモードまたはWindows回復環境で起動：これにより、故障したセンサーの読み込みが防止される。 CrowdStrikeディレクトリに移動：%WINDIR%\System32\drivers\CrowdStrikeに移動する。問題のあるファイルを削除：”C-00000291*.sys”に一致するファイルを見つけて削除する。システムを再起動：これにより、センサーが正しく再インストールされる。公共クラウドまたは仮想環境の場合：オペレーティングシステムディスクボリュームをデタッチ：進行前にバックアップを作成する。新しい仮想サーバーにボリュームをアタッチ/マウント：これにより問題が隔離される。問題のあるファイルを削除：個別ホストの場合と同じ手順に従う。修正されたボリュームを影響を受けた仮想サーバーに再アタッチ：変更を復元する。これが役立つことを願う。
20Apr
- ハッカーがPalo Altoのゼロデイ攻撃でPythonバックドアを展開
  脅威アクターは、昨日明るみに出る3週間前の2024年3月26日以来、Palo Alto Networks PAN-OSソフトウェアの新たに開示されたゼロデイ脆弱性を悪用してきました。ネットワークセキュリティ企業のUnit 42部門は、この活動をOperation MidnightEclipseという名前で追跡し、未知の出所の単一の脅威アクターの作業としています。セキュリティの脆弱性であるCVE-2024-3400（CVSSスコア：10.0）は、ファイアウォール上で未認証の攻撃者が任意のコードをルート特権で実行できるようにするコマンドインジェクションの欠陥です。この問題は、GlobalProtectゲートウェイとデバイステレメトリが有効になっているPAN-OS 10.2、PAN-OS 11.0、およびPAN-OS 11.1ファイアウォール構成にのみ適用されることに注意してください。Operation MidnightEclipseは、欠陥を悪用して、外部サーバー（「172.233.228[.]93/policy」または「172.233.228[.]93/patch」）でホストされたコマンドを取得するためのcronジョブを作成し、それらをbashシェルを使用して実行することを含みます。攻撃者は、コマンドアンドコントロール（C2）サーバーのアクセス制御リスト（ACL）を手動で管理して、それがそれと通信するデバイスからのみアクセスできるようにします。コマンドの正確な性質は不明ですが、そのURLがファイアウォール上のPythonベースのバックドアの配信手段として機能していると疑われており、Volexityが2024年4月10日に発見したCVE-2024-3400の野外悪用を追跡しているUPSTYLEとして追跡されており、別のサーバー（「144.172.79[.]92」と「nhdata.s3-us-west-2.amazonaws[.]com」）にホストされています。このPythonファイルは、別のPythonスクリプト（「system.pth」）を書き込みおよび起動するように設計されており、その後、埋め込まれたバックドアコンポーネントをデコードおよび実行する責任がある「sslvpn_ngx_error.log」というファイルで脅威アクターのコマンドを実行します。操作の結果は、「bootstrap.min.css」という別のファイルに書き込まれます。攻撃チェーンの最も興味深い側面は、コマンドを抽出し結果を書き込むために使用される両方のファイルがファイアウォールに関連する合法的なファイルであることです。コマンドがWebサーバーエラーログにどのように書き込まれるかに関しては、脅威アクターは特別に作成されたネットワークリクエストを偽造して特定のパターンを含む存在しないWebページに送信します。その後、バックドアはログファイルを解析し、同じ正規表現（「img（[�−��−�0−9+/=]+）（[a−zA−Z0−9+/=]+）」）に一致する行を検索して、その中に含まれるコマンドをデコードおよび実行します。“スクリプトは、bootstrap.min.cssファイルの元の内容、および元のアクセスおよび変更時間を受け取り、15秒間スリープして元の内容をファイルに書き戻し、アクセスおよび変更時間を元に戻します”、Unit 42は述べています。”復元”関数は、別のスレッドを作成します。”主な目標は、コマンドの出力の痕跡を残さないことであり、ファイルが上書きされる前の15秒以内に結果を外部に持ち出す必要があります。Volexityは、その独自の分析で、脅威アクターがファイアウォールをリモートで悪用してリバースシェルを作成し、追加のツールをダウンロードし、内部ネットワークにピボットし、最終的にデータを持ち出しているのを観察したと述べています。キャンペーンの規模は現時点で不明です。この対抗者は、会社によってUTA0218というニックネームが付けられています。“攻撃者が使用した技術とスピードは、明確
- ミスパドゥ・トロイの木馬、ヨーロッパを標的に、何千もの認証情報が侵害される
  バンキングトロイの木馬「ミスパドゥ」は、ラテンアメリカ（LATAM）およびスペイン語圏の個人を対象とした攻撃から、イタリア、ポーランド、スウェーデンのユーザーをターゲットに活動の範囲を広げています。Morphisecによると、現在進行中のキャンペーンの対象は、金融、サービス、自動車製造、法律事務所、商業施設など様々な分野の組織です。「地理的な拡大にもかかわらず、メキシコが主要なターゲットである」と、セキュリティ研究者アーノルド・オシポフは先週公表された報告書で述べています。「このキャンペーンは、2023年4月までに数千の認証情報が盗まれた結果となり、脅威の主体はこれらの認証情報を利用して、受取人にとって重大な脅威となる悪意あるフィッシングメールを仕組んでいます。」ミスパドゥは、また「URSA」とも呼ばれ、2019年にブラジルとメキシコの金融機関を狙った認証情報盗難活動を行っているところが観測されました。偽のポップアップウィンドウを表示することでこれを実行しています。このDelphiベースのマルウェアは、スクリーンショットの撮影やキーストロークのキャプチャも可能です。通常、スパムメールを通じて配布されるこのマルウェアは、最近では修正されたWindows SmartScreenのセキュリティバイパスの欠陥（CVE-2023-36025、CVSSスコア：8.8）を利用した攻撃チェーンを経てメキシコのユーザーを侵害しています。Morphisecによって分析された感染シーケンスは、請求書テーマのメールに添付されたPDFを開くことで開始され、受取人が完全な請求書をダウンロードするために罠にかかったリンクをクリックするよう促されます。これにより、ZIPアーカイブが配信されます。このZIPには、MSIインストーラーまたはHTAスクリプトが含まれており、これが遠隔サーバーからVisual Basic Script（VBScript）を取得し、実行する役割を担っています。その後、2番目のVBScriptがダウンロードされ、AutoITスクリプトを使用してMispaduペイロードを起動しますが、ローダーによってメモリに注入および復号化された後に実行されます。「この[2番目の]スクリプトは非常に複雑に難読化されており、DLLで言及された同じ復号化アルゴリズムを使用しています」とオシポフは述べています。「次の段階をダウンロードおよび起動する前に、スクリプトは複数の対VMチェックを行います。これには、コンピュータのモデル、製造者、およびBIOSバージョン
- ゼロデイ警告：パロアルトネットワークス大な脆弱性が積極的
  パロアルトネットワークスは、同社のGlobalProtectゲートウェイで使用されているPAN-OSソフトウェアに影響を与える重大な欠陥が野生で積極的に悪用されていると警告しています。CVE-2024-3400として追跡されているこの問題は、CVSSスコアが10.0で、最大の重大度を示しています。「Palo Alto NetworksのPAN-OSソフトウェアのGlobalProtect機能におけるコマンドインジェクションの脆弱性は、特定のPAN-OSバージョンと特定の機能設定で、認証されていない攻撃者がファイアウォール上でルート権限で任意のコードを実行できる可能性があります」と、同社は今日公表されたアドバイザリーで述べています。この欠陥は以下のPAN-OSバージョンに影響を与え、2024年4月14日に修正がリリースされる予定です –PAN-OS < 11.1.2-h3 PAN-OS < 11.0.4-h1 PAN-OS < 10.2.9-h1 また、この問題はGlobalProtectゲートウェイ（ネットワーク > GlobalProtect > ゲートウェイ）とデバイステレメトリー（デバイス > 設定 > テレメトリー）の両方の設定が有効になっているファイアウォールにのみ適用されると同社は述べています。脅威インテリジェンスおよびインシデント対応企業のVolexityがこのバグの発見および報告に名を連ねています。侵入の性質や背後にいる脅威アクターの身元についての他の技術的詳細はありませんが、パロアルトネットワークスは「この脆弱性の悪用を利用した限定的な数の攻撃を認識している」と認めています。その間、同社は脅威防止サブスクリプションを有している顧客に対し、脅威ID 95187を有効にして脅威から守ることを推奨しています。この開発は、中国の脅威アクターがバラクーダネットワークス、フォーティネット、イヴァンティ、およびVMwareに影響を与えるゼロデイの欠陥をますます頼りにして、関心のあるターゲットを侵害し、持続的なアクセスのための秘密裏のバックドアを展開していることが背景にあります。
06Apr
- ゼロインタラクションの大量アカウントパスワードリセット脆弱性
  ゼロインタラクションの大量アカウントパスワードリセット脆弱性こんにちはみなさん、お元気ですか。😊 この記事では、どのようにしてゼロインタラクションのパスワードリセットが可能な脆弱性を見つけたかを説明します。説明：対象のウェブサイト（例えば、xxx.comとしましょう、実際はサブドメインのxxxx.xxx.comでした）でテストを行っている間に、任意のユーザーのゼロインタラクションのパスワードリセットが可能な脆弱性を発見しました。🔍 通常のシナリオは何ですか？通常のパスワードリセットプロセスでは、リセットリンクがユーザーのメールアドレスに送信されます。しかし、私は「hidden」と呼ばれる「pass_sent」というパラメーターを見つけました。この「pass_sent」をfalseからtrueに変更すると、サーバーが自動的に新しいパスワードを生成し、指定されたメールアドレスに送信されます。🔒これが脆弱性である理由は？次のシナリオを考えてみてください：私のメールはabc@gmail.comで、パスワードはAbc@123です。攻撃者が私のメールをパスワードリセットに入力し、「pass_sent」をfalseからtrueに変更すると、サーバーが新しいパスワードを生成します。今、私の古いパスワードAbc@123は無効になり、サーバーが自動的に生成した新しいパスワードは有効です。⚠️ 再現手順： https://xxxx.xxx.com/xx?id=xx_forgot_password に移動します。被害者のメールアドレスを入力します。 Burp Suiteなどのプロキシツールを使用して、リクエストをインターセプトします。 POSTリクエスト本文で「pass_sent」パラメーターをfalseからtrueに変更します。{ "emailEmpty": true, "pass_sent": false, "customer_email": "{victim's email}", "action": "changePassword", "sessionRotationTrigger": true}リクエストをサーバーに転送してください。影響：この操作により、被害者のパスワードが彼らの関与や認識なしに成功裏に変更され、古い資格情報が無効になります。🚫 この脆弱性により、攻撃者がユーザーの同意なしにパスワードを変更することが可能ですが、サーバーが生成した新しいパスワードが被害者のメールアドレスに送信されるため、これは低影響と見なされます。したがって、被害者はアカウントへのアクセスを維持します。ただし、脆弱性は被害者の古い資格情報が無効になるために依然として存在します。⚠️報酬💰：報告書を送った後、2か月間返事がありませんでした。突然、バウンティに関する直接の返答がありました。彼らは報道機関に問題の修正方法を伝えないことを決定したと述べました。彼らは脆弱性を修正し、私に€€の報酬を与えました。💰💰B4baY4ga
01Apr
- ペイロード ❤ SQL
  Yo homies、。それでは始めようセカンドオーダーSQLインジェクションについて説明する前に、SQLインジェクションとは何かについて話さなければなりませんSQLインジェクションとは何ですかSQLインジェクションは、悪意のあるSQLクエリをアプリケーションに注入する攻撃ですSELECT * FROM `users` WHERE `name`='Isuk4' AND `pass`='Isuk4';しかし、もし攻撃者がこれにSQLクエリを挿入したらどうなるかSELECT * FROM `users` WHERE `name`=' ' OR '1' AND `pass`=' ' OR '1';だから、もうわかっていると思います。wwwでは、セカンドオーダーSQLインジェクションに深く入ってみましょうセカンドオーダー攻撃とは何ですか第1オーダー攻撃（つまり、どの第1オーダー攻撃でも）では、ペイロードは直ちに実行されますが、セカンドオーダー攻撃では異なります。セカンドオーダー攻撃では、ペイロードは格納され、その後に実行されます。🤢🤢えーと、これをはっきり言わせてください。セカンドオーダー攻撃では、ペイロードが注入され、その後にアプリケーション内の他のページや他の機能で実行されます。わかったと思います 😎では、セカンドオーダーSQLインジェクションの例のページをダウンロードしました以下はリンクです —https://github.com/riyazwalikar/sql-injection-training-appOK、それをセットアップし、phpMyAdminに行ってみると、adminというユーザーがいることがわかりました。私の使命は、adminのパスワードを取得し、adminユーザーを取得することです（たとえば、phpMyAdminを使用してもできます）では、セカンドオーダーの例のページに行きましょうOK、今、このウェブサイトにセカンドオーダーのSQLインジェクションがあるかどうかを調べています（笑、これは例のアプリケーションです）シングルクォートを入力に追加してテストしましたOK、このページには脆弱性がありません。しかし、「パスワードの変更」ページに行ったら、これが表示されましたえーと、脆弱性を見つけました。だから、私の目標を達成する必要がありますだから、そのためにペイロードを注入します' or 1 in (select password from users where username='admin') -- //うん、これで必要なのはMD5でこれを復号化するだけですyeeeah babyこれでおしまいです。しかし、これは簡単な例です。実際のアプリケーションは異なり、脆弱性を見つけるのが難しいことを覚えておいてください：-so Ima offecho "GGS! Ima off"
- ベネテネーションテスト(侵入)テストをして何がカバーできるのか？
  ペネトレーションテストがカバーする可能性のある攻撃の例です： SQLインジェクション攻撃クロスサイトスクリプティング（XSS）攻撃クロスサイトリクエストフォージェリ（CSRF）攻撃パストラバーサル攻撃ファイルインクルージョン攻撃リモートコード実行攻撃 XML外部エンティティ（XXE）攻撃サーバーサイドリクエストフォージェリ（SSRF）攻撃 LDAPインジェクション攻撃コマンドインジェクション攻撃バッファオーバーフロー攻撃サービス拒否（DoS）攻撃分散型サービス拒否（DDoS）攻撃中間者攻撃（MitM）セッション固定攻撃セッションハイジャック攻撃クリックジャッキング攻撃クレデンシャルスタッフィング攻撃ブルートフォース攻撃パスワードスプレー攻撃フィッシング攻撃スピアフィッシング攻撃ウォータリングホール攻撃ソーシャルエンジニアリング攻撃物理的セキュリティ回避攻撃 USBドロップ攻撃ローグアクセスポイント攻撃ワイヤレススニッフィング攻撃 ARPスプーフィング攻撃 DNSスプーフィング攻撃ローグDHCPサーバ攻撃ローグIPv6ルータ広告攻撃 SMBリレー攻撃 SMB署名ダウングレード攻撃ウェブキャッシュポイズニング攻撃 HTTPリクエストスマグリング攻撃サーバーサイドテンプレートインジェクション攻撃ビジネスロジック攻撃インセキュアダイレクトオブジェクトリファレンス（IDOR）攻撃 APIエンドポイント操作攻撃暗号攻撃（例：パディングオラクル攻撃）コンテナ脱出攻撃 IoTデバイス攻撃 OTネットワーク攻撃ファームウェア脆弱性攻撃サプライチェーン攻撃インサイダー脅威攻撃サイドチャネル攻撃ゼロデイエクスプロイト攻撃 TOCTOU攻撃（Time-of-check to time-of-use）
- クラウドオーディションをして何かカバーできるの
  クラウドリソースへの不正アクセスセキュリティグループやファイアウォールルールの誤った設定セキュアではないストレージバケットを通じたデータ漏洩セキュリティリスクのあるAPIによるデータ露出や操作転送中や静置時の不十分な暗号化クラウドインフラストラクチャのインサイダー脅威による犯罪行為 Identity and Access Management (IAM) 権限のエスカレーション不正なアクセスにつながるクレデンシャルの漏洩シェアードリスポンシビリティモデルの誤解による損害不十分なログ記録と監視機能クラウドサービスプロバイダーアカウントのハイジャック仮想マシンインスタンスの侵害クラウドサービスへのDDoS攻撃コンテナオーケストレーションプラットフォームの脆弱性サーバーレス機能のインジェクション攻撃クラウドデータベースでのデータ改ざんまたは操作 APIレート制限の回避攻撃クラウドベースのアプリケーションを標的とするDNSハイジャックメタデータサービスの脆弱性の悪用コンテナからの脱出攻撃クラウドメタデータの脆弱性の悪用コンテナ脱出による権限のエスカレーションサービスアカウントへの与えられた過剰な権限不適切なサーバーレス機能の構成クラウドリソースを標的とするフィッシングやソーシャルエンジニアリング攻撃クラウドベースのWebアプリケーションへのインジェクション攻撃暗号マイニングのためのクラウドリソースの悪用クラウドストレージサービスの不正データ流出クラウドベースのWAF（Web Application Firewall）保護のバイパス攻撃不適切なサーバーレスアプリケーションの権限クラウドベースのプロダクション環境への不正アクセスクラウドオーケストレーションツールの脆弱性の悪用インサイダー脅威によるクラウド権限の悪用クラウドベースのVPNやゲートウェイの脆弱性の悪用クラウドベースのIAMポリシーの不適切な構成相互接続された環境を標的とするクロスクラウド攻撃クラウドベースの認証メカニズムへのクレデンシャルスタッフィング攻撃 S3（Simple Storage Service）バケットの誤設定によるデータ露出クラウドベースのメッセージングサービスの侵害クラウドベースのCI/CDパイプラインの脆弱性の悪用インセキュアなサーバーレス機能の依存関係フィッシングやマルウェア配信のためのクラウドベースのコラボレーションツールの悪用クラウドベースの監視ソリューションの脆弱性の悪用クラウドベースのバックアップとリカバリシステムの脆弱性の悪用クラウドベースのIoT（Internet of Things）デバイスの侵害クラウドベースのCDN（Content Delivery Network）サービスの脆弱性の悪用クラウドベースの通信を標的とする中間者攻撃クラウドサービス間のデータトランジット中のデータ傍受クラウドベースのバックアップとリカバリシステムの脆弱性の悪用クラウドサービスへの不正アクセス
- セキュリティーハデニングを押して何がカバーできるのか
  セキュリティーハーデニングがカバーできる攻撃の例を50個挙げます：1. ゼロデイ攻撃2. ディレクトリトラバーサル攻撃3. SQLインジェクション攻撃4. クロスサイトスクリプティング（XSS）攻撃5. クロスサイトリクエストフォージェリ（CSRF）攻撃6. サーバーサイドリクエストフォージェリ（SSRF）攻撃7. バッファオーバーフロー攻撃8. ディレクトリリスティング攻撃9. XML外部エンティティ（XXE）攻撃10. ファイルインクルージョン攻撃11. データベース構造化クエリ言語（SQL）マルチステートメント攻撃12. OSコマンドインジェクション攻撃13. ディスクリプション攻撃14. クリティカルインフラストラクチャ攻撃15. ウェブサーバー攻撃16. クラウドサービス攻撃17. ネットワークレベルの攻撃18. 暗号解読攻撃19. クラッキング攻撃20. 破壊的なソフトウェア攻撃21. サプライチェーン攻撃22. フィッシング攻撃23. ドップルゲンガー攻撃24. ブルートフォース攻撃25. ディクショナリ攻撃26. マルウェア攻撃27. ランサムウェア攻撃28. キーロギング攻撃29. ソーシャルエンジニアリング攻撃30. インサイダー攻撃31. スヌーピング攻撃32. バンドル攻撃33. 脆弱性スキャン攻撃34. DOS攻撃35. DDOS攻撃36. フォーム操作攻撃37. セッションハイジャック攻撃38. パスワードクラック攻撃39. データ改ざん攻撃40. アカウント乗っ取り攻撃41. 中間者攻撃42. 不正アクセス攻撃43. 不正な情報取得攻撃44. ネットワークスニッフィング攻撃45. ログ監視攻撃46. ファイアウォール攻撃47. 不正データアクセス攻撃48. ポートスキャン攻撃49. クロスサイトフレーミング攻撃50. ソースコード盗用攻撃これらはセキュリティーハーデニングが対処できる攻撃の例です。
29Mar
- OWASP トップ 10 とは
  Webオンラインの活用が以前にも増して注目されている中、様々なWebサービスが増えている昨今、同時に Web サイトや Web アプリケーションを狙ったサイバー攻撃も増加し、ニュースになるケースも多くなってきています。セキュリティに関する重大なリスクを定期的に発表しているものが「OWASP TOP10」と呼ばれるレポートです。この記事では、Webアプリケーション開発者やセキュリティ担当者ならぜひ知っておきたいOWASP TOP10の概要や最新情報、そして有効な活用方法について解説します。目次—OWASP トップ 10 とはOWASP（Open Web Application Security Project）は、2001年に設立されたアメリカのオープン・コミュニティで、ソフトウェアのセキュリティ向上を目的としています。非営利団体であるThe OWASP Foundationが主導し、Webアプリケーションのセキュリティに関する研究や脆弱性診断ツールの開発などを行っています。OWASP TOP10の内容OWASP が定期的に公開している Web アプリケーションのセキュリティに関する重大なリスクについてのレポートです。最も重大なセキュリティリスクをランキング形式でトップ 10 まで順位付けし、それぞれの概要やありがちな例、脆弱性を突く2003年から公開されており、最新版は2021年に更新されました。OWASP TOP10:2021概要OWASP TOP10:2021では、以下の10のセキュリティリスクがランク付けされています。1. **A01:2021-アクセス制御不備**2. **A02:2021-暗号化の失敗**3. **A03:2021-インジェクション**4. **A04:2021-安全が確認されない不安な設計**5. **A05:2021-セキュリティの設定ミス**6. **A06:2021-脆弱で古くなったコンポーネント**7. **A07:2021-識別と認証の失敗* *8. **A08:2021-ソフトウェアとデータの整合性の問題**9. **A09:2021-セキュリティログとモニタリングの失敗**10. **A10:2021-サーバーサイド・リクエスト・フォージェリ**OWASP TOP 10:2017 との変更点2017年版と比較すると、主な変更点は以下の通りです。* A01:2017-インジェクションがA01:2021-アクセス制御の不備に変更* A02:2017-認証の不備がA02:2021-暗号化の失敗に変更* A03:2017-機微な情報の露出がA03:2021 -インジェクションに変更* A04:2017-XML外部エンティティの参照(XXE)がA04:2021-安全が確認されない不安な設計に変更* A05:2017-アクセス制御不備がA05:2021-セキュリティの設定ミスに変更* A06:2017-大事なセキュリティ設定がA06:2021-脆弱で古くなった要素に変更* A07:2017-クロスサイト・スクリプティング(XSS)がA07:2021-識別と認証の失敗に変更*A08 :2017-安全でないデシリアライゼーションがA08:2021-ソフトウェアとデータの整合性の問題に変更* A09:2017-既知の脆弱性のあるコンポーネントの使用がA09:2021-セキュリティログとモニタリングの失敗に変更* A10:2017-とりあえずなロギングとモニタリングがA10:2021-サーバーサイド・リクエスト・フォージェリに変更OWASP TOP10の活用方法OWASP TOP10 の情報は、Web アプリケーションの設計者やセキュリティ担当者にとって意識向上を目的とした重要な情報源です。最新のアプリケーションの脆弱性やサイバー攻撃の傾向を把握するためには、このレポートを参照します。具体的な活用方法としては、自社で開発・運用しているWebアプリケーションの脆弱性を把握し、開発方針の見直しやセキュリティ診断を行うことができます。まとめセキュリティ・インシデントを防ぐためには、 OWASP TOP10の情報を基にした対策を実施することが重要です。
- エスキモーに氷を売る能力
  この広大なサイバースペースで、デジタルトランザクションと相互作用が繁栄する中で、パスワードは私たちの仮想的なアイデンティティと資産の守護者として立ち、その重要な役割にもかかわらず、しばしば不正アクセスを求める悪意のある者の標的となります。そこで、氷をエスキモーに売る能力は、ユーザーをだますために用いられる狡猾な戦略と巧妙な戦術に比べると、真に冴え渡るものです。想像してみてください。あなたはサイバー犯罪者として、凍った水ではなく、説得力のある戦術と狡猾な戦略を武器に、パスワード・ファーストとして知られるデジタルセキュリティの要塞に浸透しようとしています。あなたのターゲットは？知らず知らずのうちにオンラインの王国の鍵を握っているインターネットユーザーです。あなたの旅は偵察から始まり、貴重な資産とゆるいセキュリティ対策を持つ個人または組織の潜在的なターゲットをオンラインの広大な景色から探します。この情報を武器に、餌を作ります。注意深く設計されたメールやメッセージを作成して、無知な犠牲者を罠にかけるためです。ここで、あなたの欺瞞の芸術が本当に光り輝く。熟練したセールスマンのように、アプローチをそれぞれのターゲットに合わせ、彼らの信頼を悪用し、彼らの感情を操ります。緊急性、好奇心、恐怖―これらがあなたのツールです。望ましい反応を引き出すために注意深く扱われ、機密情報の公開を促すことです。あなたのメールが届きます。一見無害ですが、行動を促すために戦略的に設計されています。緊急性がその内容に浸透し、受信者を即座に行動に移させます。リンクは、無害に見えますが、実際にはパスワード・ファーストのログインページの複製です。細部まで本物そっくりに作られています。しかし、ここでのポイントは―ページは見かけほどではないことです。その裏には、悪質な被害者の資格情報を収集するために精巧に作られたウェブがあります。彼らのユーザー名とパスワードがあなたの手中にあることを彼らは知らないでしょう。これで、彼らのデジタル領域への不正アクセスの道が開かれました。サイバー犯罪者として、あなたの成功は技術的な能力の強さにかかっていません。代わりに、人間の脆弱性を悪用する能力にかかっています。信頼がデジタル時代の通貨であることを理解し、それをあなたの利益に活用します。これが、エスキモーに氷を売ることが簡単な世界で、デジタルアイデンティティを守ることが最も重要な理由です。しかし、誤解しないでください。あなたの行動にはコストがかかります。各盗まれたパスワードの背後には、アイデンティティ盗難、金融詐欺、データ漏洩の混乱と破壊の轍があります。その結果として、個人や組織が被害に遭い、デジタル領域に潜む危険性を思い知らされます。まとめると、パスワード・フィッシングの芸術は、デジタル時代の欺瞞の力を示しています。マスターのように、サイバー犯罪者は人間の心理を悪用して脆弱性を悪用し、その悪質な目標を達成します。我々のユーザーとして、警戒心を持ち、スケプティカルであることが重要です。私たちのパスワードと個人情報を最も大切に守り、エスキモーに氷を売るのが子供の遊びである世界で、デジタルアイデンティティを守る
28Mar
- AIによるハッキングの時代 (AIによるハッキングの時代)
  最近、Bugcrowdに行って、「Inside the Mind of a Hacker」というレポート論文を見ました。その新聞を読んでいると、最近の出来事を思い出しました。それでは始めましょう。生成AIのプロセスAIは、トレーニングされたデータに基づいて、入力に対する応答を生成します。うーん。私はAIを使用して、異なることをしました（つまり、ペンテスト目的で）。コード分析脆弱性の確認エクスプロイトの作成そのようなことですが、AIでできることはそれ以上にあります。その論文「Inside the mind of hacker」には、AIの多くのユースケースがあると述べられています。しかし、問題もありますね。AIボットは、ルールを持っているため、直接そうしたものを生成することを許可しないことがあります。しかし、別の方法でこれを行うことができますね。もし私がそのスクリプトがどのように動作する必要があるかを考えることができれば、別のプロンプトで生成することができます。この美しいチャットを見てください。そのように、さまざまなユースケースがあり、時には私たちはGPTをジェイルブレイクする必要さえあります。ジェイルブレイクとは何ですか？ジェイルブレイクとは、スマートフォンやタブレットなどのデバイスにメーカーやオペレーティングシステムによって課せられたソフトウェアの制限を解除するプロセスです。どのようにして行えるのか？ですから、私たちはAiボットに入力を入力し、それが私たちの入力に対する出力を生成します。したがって、ジェイルブレイクのために何かをAIに入力することができます。いくつかのプロンプトを試しましたが、すべて失敗しました。しかし、1つのプロンプトがうまく機能することができました。はい、私はチャットGPTからDOSスクリプトを作成します😎😎しかし、問題がありますチャットGPTは攻撃スクリプトを生成しません。それを実行するためにはジェイルブレイクや何かをしなければなりませんが、それはあまり実用的ではありません。ですから、私はジェイルブレイクせずにこれを行う方法を探していました。その結果、黄金のウェブサイトを見つけました皆さん、ハッカーGPTへようこそハッカーGPTでは、ジェイルブレイクの技術は必要ありません。それはハッキングで行うすべてのことを行うでしょう。これには良い面と悪い面があります。はい、その通りです。#B4baY4gaWith cyber security hedgeNo cyber security hedgeCyber security frameworkCyber security certificationCyber security cloudCyber security JapanCyber security proCyber security serviceCyber security threatJapan's Cyber Security AgencyTo learn cyber securitycyber securitycyber security frameworkcyber security japancyber security agency of japancyber security actCyber security lawCyber security work JapanCyber SolutionsCyber security newsCyber security companyCyber security eventCyber security managementMaster's degree in cyber securityCyber security strategyCyber security consultantCyber security awarenessIndustrial cyber securityLearn cyber securityMeaning of cyber securityCyber security caseCyber security roadmapCyber security auditCyber security risk assessmentArtificial intelligence in cyber securityCyber security awareness trainingCyber security protectionCyber security productsCyber security consulting serviceCyber security assessment2024 cyber security trends