- 1. 暗号とセキュリティの常識
- 2. CTF環境づくり
- 3. 【CSRF・XSSとは その対策】
- 4. 【悪用ダメ】XVWAちゃんにサイバー攻撃を仕掛けてみる（OS Command Injection編）
- 5. CVE-2021-41773とCVE-2021-42013をDockerで確認する
- 6. 【総受けサイト】XVWAさんをローカル環境に実装します。
- 7. Quiztime 15th September 2021: Where is the trash can?
- 8. 【セキスペ対策】情報セキュリティ10大脅威 2021[組織編]
- 9. Quiztime 21st September 2021: Where is it?
- 10. Quiztime 26th August 2021: What kind of ebook and what book did you publish next?
- 11. 【Chrome94】#tab-hover-card-imagesの設定値を勝手に書き替えられた
- 12. ネットワーク攻撃とその対策
- 13. 【AWS】アカウント作成後に行うべきセキュリティ対策
- 14. 「セキュリティキャンプ」そんな素敵な
- 15. E(1) + E(2) = E(3)？同型暗号化。暗号化されたまま演算を行う技術
- 16. Windowsの環境でもLinuxのフォレンジックツールを使いたい！
- 17. FAXをなめるな
- 18. Apachセキュリティー対策
- 19. セキュリティ検証をやってみよう！！～指紋認証デバイス製作～
- 20. Wiresharkの使い方メモ【マルウェア解析】
暗号とセキュリティの常識
#暗号の常識４つ
暗号技術におけるすごく基本的なことをまとめてみた。##秘密の暗号アルゴリズムは使わない
自社内で開発して秘密にした暗号アルゴリズムは危険。####暗号アルゴリズムの秘密はいつか必ず暴かれる
秘密にしているアルゴリズムが暴かれると危ない。逆にアルゴリズムが公開されていて使われているものは、暴露も何もないよね、ということ。つまり、強い暗号というのはアルゴリズムがわかっていても解読できないもの。アルゴリズムがわかると終わる暗号は弱い。
####強い暗号アルゴリズムを生み出すことは危険
強いという自信が過信につながる。
強い暗号とは、**暗号の専門家に、アルゴリズム・ソースコード・平文と暗号文を渡していても、新しい暗号文の解読に時間がかかるもの**である。##弱い暗号は暗号化しないよりも危険
暗号化を少しでもやった方がいいだろうと弱い暗号を使うことで、過信につながる。「暗号」という言葉によって安心感が出てしまう。##どんな暗号もいつかは解読できる
どんな暗号アルゴリズムでも、すべての鍵を試せばいつかは解読できる。それが現実的な時間内かどうかはさておき。
CTF環境づくり
# CTF環境作り
今回CTFへ初挑戦ということで、win10にvirtualboxをインストールしてkali-linux
を動かした時に引っかかったところを書き残していく。## virtualboxのインストール
ここは[公式](https://www.virtualbox.org/)からexeファイル落としてきて
基本ポチポチでインストールする。## kali-linuxのisoファイル取得
・[kaliの公式ホームページ](https://www.kali.org/get-kali/)からisoファイルを
インストールする。（ディスクっぽいアイコンのやつ）## kali-linuxのインストール
・ストレージは50GBは欲しいかも
* 初期設定でのパッケージインストールでlarge選んで合計17GB取ってたんで
それ考えると最低30GBは欲しいかも…
・ファイル共有設定を行う
:/tmp –name cve -it –entrypoint sh httpd:2.4.49`
`# cp conf/httpd.conf /tmp/`
# httpd.conf ファイルの編集
“`
AllowOverride none
Require all denied
“`
を“`
AllowOverride none
Require all granted
“`
に修正# Dockerfileを作る
“`
FROM httpd:2.4.49
COPY ./httpd.conf /usr/local/apache2/conf/httpd.conf
“`# ビルドと起動 （ポート18882で待ち受けてるけどどこでもいい）
`$ docker build
【総受けサイト】XVWAさんをローカル環境に実装します。
#初めに
どうも、クソ雑魚のなんちゃてエンジニアです。
今回は日々の生活でストレスを溜めているクソ雑魚のお仲間のために「総受け」してくれる便利なWebサイト環境を紹介しようと思う。
※基本的に攻撃用の環境（例：Kali Linux）に関する記事はよく見るのだが、受けてくれる環境に関する投稿は見ないので、「やらねば！」という意気込みで作成しています。
皆さんもこの総受けサイ
Quiztime 15th September 2021: Where is the trash can?
#概要
皆さん、こんにちは。
ニャンダウです♪OSINTクイズ第4回目です。
今回の問題はなかなか難しいです。
#問題
以下の写真の場所はどこで、時間を推測する問題です。
Welcome to the – oops – very late #TuesdayQuiz!
Where did I take this photo?
It was June 1st. Can you estimate the time??Want help: Retweet!
?Solutions: reply to/DM me!
?Collaborate: reply below!
?Daily 【セキスペ対策】情報セキュリティ10大脅威 2021[組織編]# はじめに
この記事は2021年秋期 情報処理安全確保支援士試験の受験対策として書いた記事です。IPAの元の資料は76スライドとだいぶボリュームがあるのでブラウザでさらっと目で追えるようまとめて行きます
（元資料は以下リンクから見れます。）PDF: [情報セキュリティ10大脅威 2021](https://www.ipa.go.jp/files/000089239.pdf)
掲載ページ: [情報セキュリティ10大脅威 2021 -IPA](https://www.ipa.go.jp/security/vuln/10threats2021.html)# What is 情報セキュリティ10大脅威？
– IPAが2006年から毎年発行している資料
– 前年に発生したセキュリティ事故や攻撃の状況等からIPAが脅威候補を選出
– セキュリティ専門家や企業のシステム担当等から構成される「10大脅威選考会」が投票
– TOP10入りした脅威を「10大脅威」として脅威の概要、被害事例、対策方法等を解説↑資料より引用。
「情報セキュリティ10大脅威」は「個人編」と「組織編」の２種Quiztime 21st September 2021: Where is it?
#概要
皆さん、こんにちは。
ニャンダウです♪OSINTのクイズ第3回目です。
今回の問題は画像の床、もしくは道路？？がどこなのか特定する問題です。
#問題
Where is it?
It‘s @Quiztime ?
? Where is it?
✍️ Reply to me with your answer
? Reply to all for collaboration
? Good luck with the #MondayQuiz pic.twittQuiztime 26th August 2021: What kind of ebook and what book did you publish next?
#概要
Hello, everyone!!
ニャンダウです♪今回はOSINTのQuizitimeの２回目です。
内容は画像のebookに書かれている文字の本を特定して、その本の著者の次に出版した本を答える問題です。
#問題
2021年8月26日、Twitterの#Thursdayquizにて、以下の問題が投稿されました。
Time for another #Thursdayquiz!
1: What's the next book in this series called?
2: What ebook reader is this?? Reply all = collaboration
? Reply in thread = answe【Chrome94】#tab-hover-card-imagesの設定値を勝手に書き替えられた
Chrome バグ セキュリティ
Chrome91から全員[#tab-hover-card-imagesをDisabled](https://qiita.com/rana_kualu/items/c0c1730805387ae1b2be)にしていると思いますが、Chrome94にアップデートしたら勝手に`Enabled small full width show delay`に書き換えられました。
クソが。この調子だと、そのうちセキュリティ設定も勝手に緩めてきそうですね。
ネットワーク攻撃とその対策
###SQLインジェクション
対策：SQLを実行する際にプリペアドステートメントを使用###OSコマンドインジェクション
対策：OSコマンドを実行する関数を使用しない。
(exec、passthru、proc_open、shell_exec、system等)###セッションハイジャック
対策：ログインする毎にセッションIDを更新。
URLにセッションIDを含めない。###セッション固定化攻撃
対策：ログインする毎にセッションIDを更新。###XSS（クロスサイトスクリプティング）
対策：htmlspecialcharsを使って、入力された値をサニタイズ。###CSRF（クロスサイトリクエストフォージェリ）
対策：正しいページからのリクエストか、ワンタイムトークンを使って検証。###クリックジャッキング
対策：header関数でX-FRAME-OPTIONS: DENYを指定。
【AWS】アカウント作成後に行うべきセキュリティ対策
#はじめに
以前、[アカウント作成](https://qiita.com/onishi_820/items/237b8132288cba7ee015)の記事を作成しました。
AWSでは、アカウント作成後にセキュリティ対策設定を行うことが推奨されています。なので、今回は**アカウント作成後に行うべきセキュリティ対策**ということで
記事を作っていこうと思います。絶対に設定しなければいけない訳ではないのですが、
不正アクセスされて勝手にサービス使われても知りませんよ？って感じになります。この前、「数十万の身に覚えのない請求が来た」という記事を見たので、
この記事をご覧になっている方も情報漏洩やセキュリティ侵害には気をつけてください。今回、AWSの公式が無料で公開している内容（以下、ハンズオン）の一部を抜粋しました。
ハンズオンについては[コチラ](https://pages.awscloud.com/event_JAPAN_Ondemand_Hands-on-for-Beginners-Security-1_LP.html?trk=aws_introduction_pag
「セキュリティキャンプ」そんな素敵な
セキュリティキャンプ
https://www.ipa.go.jp/jinzai/camp/index.html
セキュリティキャンプっていう企画がある。中身を知ると「そんな素敵な」って参加したくなる。
セキュリティ・キャンプ全国大会2021 オンライン ホーム
https://www.ipa.go.jp/jinzai/camp/2021/zenkoku2021_index.html
なにが素敵かっていうと、
1. 若い人が参加できる
2. 実用的なことを体験できる。
3. 講師が素敵実際に参加したことはなく、講師、参加者の方から、いろいろな報告をお聞きしただけ。
ひとまず、講師紹介とQiitaの記事紹介から。アセンブラとOSからセキュリティ知ることができるってここだけかも。
# 講師
講師紹介
https://www.ipa.go.jp/jinzai/camp/2021/zenkoku2021_program_profile.html
## 坂井 弘亮
KOZOS
https://kozo
E(1) + E(2) = E(3)？同型暗号化。暗号化されたまま演算を行う技術
最近、興味深い話題を偶然接することがあって、それが完全同型暗号という話題でした。
暗号学や本格的な数学的アプローチに関しては苦手な方ですが、勉強がてらいろいろ資料を参考し、整理した内容となります。もし誤った内容などあれば、ご指摘いただけると幸いです。# 1. 同型暗号とは
## 1) 定義
暗号文に対して、暗号化された状態のまま、特定演算を遂行できる暗号化方法
## 2) 特徴
– 暗号文の状態で特定演算を遂行できるアルゴリズムを提供
– 演算結果は新しい暗号文であり、復号した結果は「平文に対して演算した結果」と同様## 3) 概念
### A) 一般的な暗号化方式においての演算課程
図Aは、一般的な暗号化方式においての演算課程を表しています。
一般的には暗号化されたデータに関して、平文を使った何らかの演算を行いたい場合は、ま
Windowsの環境でもLinuxのフォレンジックツールを使いたい！
この環境は題名の通り、Windowsの環境でもLinuxのフォレンジックツールを使う為の環境を構築します。
今回WSL2を使うことで、WindowsでもLinux環境が使え、かつSIFTとRemnuxをインストールすることで、Linuxのフォレンジックツールを使うことができる一石二鳥な環境です。
そんな環境構築メモになります。
# 目次
– [1. インストール環境](#インストール環境)
– [2. WSL2のセットアップ](#wsl2のセットアップ)
– [1. Linux 用 Windows サブシステムの有効化](#1-linux-用-windows-サブシステムの有効化)
– [2. 仮想マシン プラットフォームの有効化](#2-仮想マシン-プラットフォームの有効化)
– [3. Linux カーネル更新プログラム パッケージのダウンロードとインストール](#3-linux-カーネル更新プログラム-パッケージのダウンロードとインストール)
– [3. Ubuntu 20.04 LTSのインストール](#ubuntu-2004-ltsのインストー
FAXをなめるな
[原作へ](https://marat.to/posts/2021-10-01-dont-trash-the-fax/)
テレワークを阻害するFAXを河野太郎は全廃に進めている中、デジタル化進んでいない各省から反論が殺到している。確かに、FAXは古い技術で不便なんだが、それに相当する技術は他にはない。情報セキュリティ専門家の私の論拠を聞いてほしい。
## アクセス権限
FAXは部屋に置き、鍵をかけ、キーをアクセスが必要な人のみに渡せば終わり。あなたは完璧なセキュリティシステムを完成させたのだ。こうなれば、クレジットカード情報を送っても問題はない。正に最近までVisaとMasterCardが運用しているクレジットカード情報セキュリティ委員会（PCI SSC）は会費の受金をそのように行っていた。
クレジットカード番号を含めた注文書をFAXで受けるとオンライン決済として扱われず、MOTO取引（Mail Order Telephone Order）となる。この取引の秘密性を守るための要件はPCI SAQ-Bという標準に定められている。たった１５件の要件しかないから、実施するのも容易なの
Apachセキュリティー対策
自分のメモとして
###参考サイト
https://qiita.com/bezeklik/items/1c4145652661cf5b2271https://www.rem-system.com/apache-security01/
https://s8a.jp/apache-security#linux%E3%81%AEiptablesfirewalldselinux%E3%81%AE%E5%88%A9%E7%94%A8
セキュリティ検証をやってみよう！！～指紋認証デバイス製作～
#用意するもの
1.Arduino(今回は[Arduino Uno](https://www.amazon.co.jp/Arduino-Rev3-ATmega328-%E3%83%9E%E3%82%A4%E3%82%B3%E3%83%B3%E3%83%9C%E3%83%BC%E3%83%89-A000066/dp/B008GRTSV6)を使用)
2.USBケーブル type-B
3.[ジャンパーケーブル](https://www.amazon.co.jp/%E3%82%B5%E3%83%B3%E3%82%B3%E3%83%BC%E9%9B%BB%E5%95%86-UL1007-%E8%80%90%E7%86%B1%E3%83%93%E3%83%8B%E3%83%AB%E7%B5%B6%E7%B8%81%E9%9B%BB%E7%B7%9A-UL1007-AWG-28/dp/B071Z6HWKM/ref=sr_1_6?dchild=1&keywords=%E9%9B%BB%E7%B7%9A&qid=1625622644&sr=8-6)
4.ブレッドボード
5.[指紋認証センサ(FPM10A
Wiresharkの使い方メモ【マルウェア解析】
# 環境
“`
os:windows10
“`# カラム（表示列）の設定
## デフォルトカラム
– No
– Time
– Source
– Destination
– Protocol
– Length## 追加するカラム
– Source port(unresolved)
– Destination port(unresolved)### カスタムカラム
– HTTP host
– HTTPS server## 追加方法
1. カラム名で右クリック=>「列の設定(Column Preferences)」
2. 設定ウィンド左下の「+」ボタンから列を追加
