今さら聞けないセキュリティ　2020年01月30日

【ウィルス感染】WordPressサイトがマルウェアに感染した場合の救護策

私がお手伝いで作成させていただいているWordPressサイトの方がフィッシング詐欺のサイトに誘導されるように外部のハッカーから中のファイルをハッキングされて書き換えられる事件が起きたので、その対処法を共有したいと思い、記事にしておきます。WordPressを使用している方は、チェックしていただけるといいと思います。

# いつのまにかマルウェアがいる
サイトにGoogle検索経由で来た方がフィッシング詐欺のページに転送されるというお話があり、困っていました。
というのも、Google検索経由で来て一定確率で転送されるので、サイトを管理しているウェブマスターからでは現象の確認がしづらいためです。


FTP経由でWordPressのファイルの中身を確認したところ、いくつかのphpファイルの追記が確認できた

Node.jsでAWS ElasticSearchへのHTTP リクエストの署名

#はじめに
情報保護を難しくなっている現代社会では、セキュリティ対応はますます重要になってきています。
Cloud技術の進化によって、セキュリティ対応しやすくなる部分もあります。

AWSのElasticeSearchサービスへのHTTP リクエストの署名方法を簡単にまとめてみます。

#1. AWS SDKのライブラリを使う
AWSのドキュメントにある通り、署名したリクエストを送信できますが、検索のクエリなどはちょっと手間ですね。

参考URL:　https://docs.aws.amazon.com/ja_jp/elasticsearch-service/latest/developerguide/es-request-signing.html

“`node.js
var credentials = new AWS.EnvironmentCredentials(‘AWS’);
var signer = new AWS.Signers.V4(request, ‘es’);
signer.addAuthorization(credentials, new Date());

セキュリティマネジメントの勉強-暗号化技術と認証

#暗号化技術
##暗号化
平文を暗号文にする
暗号化 <---> 復号

暗号化鍵、復号鍵が存在する

##共通鍵暗号＝秘密鍵暗号方式
暗号化鍵＝復号鍵
鍵が１種なので、秘密にしておく必要あり。

利点は単純で高速。
ただし、経路の数だけ鍵が必要になる。
zipのパスワード的なやつかな。

###DES
Data Encryption Standard
56bit、米国の旧国家暗号規格
今では安全性低い

###RC4
ストリームで徐々に暗号化していく
WEPでつかわれている
高速だが安全性はお察し

###Triple DES
DESを３回やる
でも推奨されない

###AES
Advanced Encryption Standard
DES後継
XORを繰り返し行う。128bit,192bit,256bit色々あり。
XORを行う回数を段数という

###Camelia
NTTと三菱が作った
AESと同等の安全性を保ちつつ、消費電力低めらしい

###Kcipher-2
九州大学とKDDIが作った
ストリーム型128bit
AESより7〜10倍早い

##公開鍵暗号方式
暗号化鍵≠

JavaScriptでgetUserMediaでマイク・カメラ（ビデオ）を使うときの注意点とデバイスへのアクセス権限について

# マイクのみ使用するのにaudioのみの指定では動かないブラウザがある

とあるサンプルがEdgeで動作したがChromeで動作しなかったので調べてみた。

Chromeは`audio`だけでなく`video`も指定しないと音声入力が取得ができない。
https://www.html5rocks.com/ja/tutorials/getusermedia/intro/ より引用：
> 注: Chrome にはバグがあり、「audio」のみを渡しても無効です（crbug.com/112367）。Opera でも

自分でも確認しましたが、
　Chromeのバージョン: 79.0.3945.130（Official Build） （64 ビット）
で再現しました。`audio`指定のみでは動作せず、`video`を`audio`と一緒に指定すると動作する。

# navigator.mediaDevices.getUserMediaが推奨らしい

`navigator.getUserMedia`ではなく`navig

【初学者向け】セキュリティ対策入門[番外編①]〜OSコマンドインジェクション編〜

# 前提

## 確認環境

以下と同様です。
[【初学者向け】セキュリティ対策入門⓪〜環境構築編〜](https://qiita.com/junkimatsuda/items/b29e496132b7fe596397)

## 本シリーズの目的

以下と同様です。
[【初学者向け】セキュリティ対策入門⓪〜環境構築編〜](https://qiita.com/junkimatsuda/items/b29e496132b7fe596397)

## 本記事の目標

**OSコマンドインジェクションの概要、原因、対策について理解すること**です。

## 本記事を読み進める上での必要事項

以下の内容を終えていることです。
[【初学者向け】セキュリティ対策入門⓪〜環境構築編〜](https://qiita.com/junkimatsuda/items/b29e496132b7fe596397)

## どうでもいいお話

あまり主要ではない脆弱性についてはこちらの番外編で扱っていきます。主要ではないというのは被害ケースをあまり耳にしないという意味で、脆弱性をつかれたときの被害が少ないというわ

flaws.cloudに挑戦してみた

#はじめに
　先日、[大和セキュリティ勉強会](https://yamatosecurity.connpass.com/)に参加してきまして、とても勉強になったので備忘録程度に記事を書こうと思います。今回やったのは、[flaws.cloud](http://flaws.cloud)というサイトです。ctf形式でAWSにおけるハッキングトピックを学べるサイトになっています。level1からlevel6までの計6問で構成されています。詳しいwrite upはもっと偉大な方々が書かれているので適度な感じに書いていこうと思います。解き方もそこで教えてもらった解き方で書かせてもらいます。

#事前準備
今回はawsに関する問題なのでawscliを使用します。そのため[こちら](https://docs.aws.amazon.com/ja_jp/cli/latest/userguide/cli-chap-install.html)でawscliのインストールと初期設定をしてください。
※regionはすべてのクレデンシャルで’us-west-2’で設定してください。

#level1
　flaw

MusicFM解析

# はじめに

QiitaでMusicFMのパケットをキャプチャして解析してる人をみて面白そうだなと思い、自分もやってみることにしました。

同じ海賊サービスでも漫画村は閉鎖できたのに、なんでmusicFMはずっと残っているのかが不思議でした。

自分が解析することによって少しでもその謎が解ければいいなと思ったのがきっかけです。

# とりあえずパケットキャプチャ

“`
% instruments -s devices
“`

の出力結果から自分のiPhoneのUUIDをコピペして

“`
% rvictl -s [自分のUUID]
% tcpdump -i rvi0 -w [保存するファイル名]
“`

ここでmusicFMを開き操作します。

“`
% rvictl -x [自分のUUID]
“`

でキャプチャ終了します。

今回、musicFMでアーティストを検索してその中から楽曲を流すところまでをキャプチャしました。

# Wiresharkで解析

実際に音楽ファイルやパッケージ写真がやりとりされているのは下の画像の黒い部分のようです。

【Paloalto】PAN-OSのバージョンアップ

##バージョンアップ前の心構え
Paloaltoのバージョンアップはとにかく時間がかかります。古い機種、下位の機種になるほど時間はかかります。

##バージョンアップ前に知っておくと良い事
###①PAN-OSの表示と名称の決まり
PAN-OS8.1.0を例に取ると、一番左端の数字の8を**メジャーバージョン**と言います。左から2つ目の1の数字を**マイナーバージョン**と言います。左から3つ目の数字の0を**メンテナンスバージョン**と言います。左から3つめの数字が0になっているものを**ベースイメージ**とか**ベースOS**とか言います。ただし、OSにバグが見つかった場合は0じゃない数字が**ベースOS**になる場合があります。
【初学者向け】セキュリティ対策入門②〜SQLインジェクション編〜

# 前提

## 確認環境

以下と同様です。
[【初学者向け】セキュリティ対策入門⓪〜環境構築編〜](https://qiita.com/junkimatsuda/items/b29e496132b7fe596397)

## 本シリーズの目的

以下と同様です。
[【初学者向け】セキュリティ対策入門⓪〜環境構築編〜](https://qiita.com/junkimatsuda/items/b29e496132b7fe596397)

## 本記事の目標

**SQLインジェクションの概要、原因、対策について理解すること**です。

## 本記事を読み進める上での必要事項

以下の内容を終えていることです。
[【初学者向け】セキュリティ対策入門⓪〜環境構築編〜](https://qiita.com/junkimatsuda/items/b29e496132b7fe596397)

また、DB及びテーブルの作成ができることと、プログラミング言語を用いてDBにアクセスする処理の流れをおおまかに理解していることです。

# 概要

## SQLインジェクションとは

**不正にSQL文を

午前0時に前日のファイルアクセスログをメールで自動送信する

本稿は[【ファイルサーバのアクセスログをPowerShellで取得する】](https://qiita.com/mindwood/items/da5932845548a64a7946)の続編。
今回はコードのみ。監査ログの設定方法については、先の記事を参照して欲しい。

次のPowerShellスクリプトをWindowsファイルサーバのタスクスケジューラに登録した。
午前0時になると、前日のファイルアクセスログをZIPファイルに固め、速やかにメールで転送する仕掛けだ。

“`powershell:audit_mail.ps1
$endTime = Get-Date -Hour 0 -Minute 0 -Second 0
$startTime = Get-Date $endTime.AddDays(-1)

$baseFile = Join-Path ‘E:\log\audit_’ $startTime.ToString(‘yyyyMMdd’)
$csvFile = $baseFile + ‘.csv’
$zipFile = $baseFile + ‘.zip’
if (Test-Pa

何事にも正しい権限を。あと信じすぎないこと。

# はじめに
私はJenkinsおじさんとまでは言わなくても、Jenkinsお兄さんと呼べるぐらいのビルド職人をしていました。そこで気づいたことを書きます。別にJenkinsに関係なくすべてで起きうることだと思います。

### Jenkinsについて
JenkinsはCICDを自動化するOSSです。Cサーバーにデプロイしたり、スクリプトを変えたらGitにあげたりを自動化します。
なのでCICDを実現するには様々なgitやサーバーのログイン情報が必要です。しかし、パスワードやログイン情報が誰からも見らるのはよくないことです。なので、Jenkinsの開発者がログイン情報を見ないでジョブを作成するプラグインCredentials Pluginというものがあります。

### Credentials Pluginについて
Credentials Pluginをしようするとユーザー名はJenkins画面からわかりますが、パスワードはわかりません。なので、セキュリティ的にはある程度の信頼がおけます。わたしは日々JOB（Jenkinsで自動化する単位の事）をよくわからないプロジェクトをよくわからな

ChromeでDNS over HTTPSを試す方法。

chrome://flags/#dns-over-https

を開いて、Enableに変更