家studyをつづって

IT技術やセキュリティで勉強したことをつづっています。

vsftpd2.3.4のバックドアを試してみた

概要 vsftpdはLinuxで使われるFTPサーバです。2011年7月に、ダウンロードサイト上にあるvsftpd2.3.4が侵害され、リモートから任意のコードの実行を可能にするバックドアが仕込まれていることが確認されました。 // ※現在、上記問題は修正されており、ダウン…

hpingを使ったDoS攻撃

概要 hpingはオープンソースのパケットジェネレーターです。 hpingを使うことで、任意のTCP/IPパケットを送信することができます。 今回はhpingを使ってSYN Floodを実行してみました。 // 環境 以前構築したKali Linuxの検証環境で、 Kali Linux上でhpingを…

OpenSSLの脆弱性「HeartBleed」を試してみた

概要 今更な感じはありますがHeartBleedの脆弱性を試す機会があったので、脆弱性の内容についてまとめてみます。 // 「Heartbleed」とは、暗号化通信に使われる「OpenSSL」の脆弱性です。HeartBleedはSSL/TLSのハートビート実装の脆弱性で、攻撃されると脆弱…

digコマンドの使い方

digとは digコマンドとはdomain information groperの略で、DNSのネームサーバに対して問い合わせを行い結果を表示するコマンドです。 // digコマンドの使い方 digコマンドは以下のような形式で使用します。 digコマンド形式 dig @serverの名前orIP 調査対象…

hashcatの使い方

hashcatの概要 hashcatはパスワードクラックのツールです。hashcatで行うパスワードクラックは稼働しているシステムに対してアカウントがロックされるまでログイン試行を行うようなものではなく、パスワードのハッシュ値から元のパスワードを割り出すもので…

各国の個人情報保護の取り組みと情報流通に関する動向(2020年11月調べ)

概要 クラウドの普及と利用の促進により、国内、海外問わず、様々なサービスを利用する機会が増えています。しかし、サービスを利用する場合、特に組織においては預託するデータの保護に関する取り組みについて考える必要があります。今回は個人情報に関する…

Webアプリの脆弱性の概要 ~「安全なウェブサイトの作り方」を読んで~

概要 「安全なウェブサイトの作り方」をよみ、Webアプリの脆弱性について調べたことをまとめました。 SQLインジェクション 概要 ウェブアプリケーションの多くはデータベースと連携しており、ユーザの入力情報からSQL文作成します。SQL文の組み立てに問題が…

2020年11月のIT・セキュリティトピック

2020年11月に気になったニュースをまとめます。 // 記事の投稿日 概要 2020/11/01 GMOクリックで不正アクセス、149万円流出/FX各社「トルコリラ相場への注意喚起」ほか 10 ... 2020/11/01 コロナ禍の米国で医療機関へのランサムウェア攻撃が急増、さらなる…

HTTPのメソッドをnetcatで実行する

概要 HTTPにはいくつかのメソッドがあります。この記事ではHTTPのメソッドについてまとめ、また、netcatを使って実際の実行結果を見てみます。 netcatとは netcatとは、TCPもしくはUDP接続などを利用して、コマンドラインからデータを送受信するためのツール…

nmapを使ったポートスキャン

概要 nmapとはNetwork Mapperの略で、オープンソースで開発されているポートスキャナです。nmapには多くのオプションが用意されており、対象ホストのOS情報や稼働しているサービスの情報を調査することができます。 // nmapの実行例 nmapは単純に対象のホス…