Portswigger

PortswiggerのWeb Security Academyを。新しいラボとしてGraphQLの問題が増えたので、それを解いてみるんで～。 portswigger.net 課題： このラボのブログ ページには、秘密のパスワードが設定された非表示のブログ投稿が含まれ。ラボを解決するには、非表示のブログ投稿を見つけてパスワードを入力したのよ～。 内容： まずは、GraphQLのエンドポイントを探すそうとするんだがや。 ProxyのHTTP historyを見るとそれっぽいのがあったんで。 ブログの記事のid=3 がどうやら抜けていそうでゲス。 他の記事のページをリピーターになげてゲス。 それを…

デジタルペンテスト部のみやけです。Webアプリケーションの脆弱性診断員となって一余年、セキュリティのプロフェッショナルを名乗るために知見を広げたいと思う今日この頃。知見を広げるとなればやはり情報収集かと考えていたところ、昨年の就活イベントで就活生から「情報収集はどんなことをされていますか？」という質問をいただいたこと思い出しました。私自身も他の人の情報収集については気になりますし、それを今後どう活かしていけばいいのかを聞いてみたい。そこで、セキュリティについて知見を広げたい、これからセキュリティを学びたいと考えているみなさんの参考にもなればと、Webアプリケーションとプラットフォームの脆弱性診…

BurpSuiteの試験(Burp Suite Certified Practitioner)に合格しました。 BSCPの合格ブログなど増えてきていますが、備忘録として残していこうと思います！ BSCPとは ソフトウェア「BurpSuite」の開発元PortSwigger社が認定する資格です。 Webの脆弱性の知識や、BurpSuiteを利用してWebサーバの脆弱性を発見・再現できるスキルがあるかなどを問われる資格です。 注意点：試験を受けるには有償版の「Burp Suite Professional」が必要です。 詳しくは公式サイトを参照ください。 portswigger.net

※本記事は筆者RyotaKが英語で執筆した記事を、弊社セキュリティエンジニアShion1305が日本語に翻訳したものになります。 はじめに こんにちは、Flatt SecurityでセキュリティエンジニアをしているRyotaK(@ryotkak)です。 2023年にPortSwigger社のJames Kettle氏は、同社の記事でSingle-packet attackという新しい攻撃手法を提案しました。これはネットワークのジッター値に関係なくレースコンディションを悪用できるというものです。 Smashing the state machine: the true potential of …

2024年10月23日に、QYResearchは「アプリケーションセキュリティテストソリューション―グローバル市場シェアとランキング、全体の売上と需要予測、2024～2030」の調査資料を発行しました。本報告書は、アプリケーションセキュリティテストソリューションの世界市場を分析し、主要企業の売上、動向、市場規模、市場シェア、ランキングなどを掲載しています。また、地域別、国別、製品タイプ別、用途別に市場を分析しています。2019-2030年の売上に基づいて、アプリケーションセキュリティテストソリューションの市場規模を推計と予測しています。企業が事業成長戦略を策定し、競争環境を評価し、市場ポジショ…

2024年10月23日に、QYResearchは「サイバーセキュリティソフトウェアツール―グローバル市場シェアとランキング、全体の売上と需要予測、2024～2030」の調査資料を発行しました。本報告書は、サイバーセキュリティソフトウェアツールの世界市場を分析し、主要企業の売上、動向、市場規模、市場シェア、ランキングなどを掲載しています。また、地域別、国別、製品タイプ別、用途別に市場を分析しています。2019-2030年の売上に基づいて、サイバーセキュリティソフトウェアツールの市場規模を推計と予測しています。企業が事業成長戦略を策定し、競争環境を評価し、市場ポジションを分析し、サイバーセキュリテ…

はじめに Flatt Security セキュリティエンジニアの Tsubasa、lambdasawa、Osaki です。本ブログでは、2024年8月に開催された Bsides Las Vegas、Black Hat USA 2024、DEF CON 32 に弊社メンバーが参加した際の記録、および、特に興味深かったセッションの詳細についてお伝えします！ なお、本稿の作成にあたっては各セッションの発表内容について可能な限り誤りがないように注意を払って記述しましたが、誤りを含む可能性があります。また、各セッションの内容については、筆者独自の考えや解釈を含む場合があります。本稿を通して気になったセッ…

2024年9月4日に、QYResearchは「ストレージテスター―グローバル市場シェアとランキング、全体の売上と需要予測、2024～2030」の調査資料を発行しました。本報告書は、ストレージテスターの世界市場を分析し、主要企業の総売上高、収益、価格、市場シェア、ランキングなどを掲載しています。また、地域別、国別、製品タイプ別、用途別に市場を分析しています。2019年から2030年までのストレージテスターの市場規模を販売量と売上高に基づいて推計と予測しています。企業が事業成長戦略を策定し、競合状況を評価し、市場ポジションを分析し、ストレージテスターに関連する情報に基づいてビジネス上の意思決定を行…

Hello there, ('ω')ノ セキュリティの知識とスキルを継続的に向上させるためには、信頼できるトレーニングリソースを活用することが重要です。以下に、セキュリティ分野で役立つYouTubeチャンネル、ブログ、オンラインラボを紹介します。 1. YouTubeチャンネル 概要: YouTubeは、無料でアクセスできるセキュリティ関連の知識を学ぶのに最適なプラットフォームです。以下のチャンネルは、セキュリティ専門家がスキルを磨くために役立ちます。 おすすめのチャンネル: HackerSploit: 概要: ペネトレーションテスト、エシカルハッキング、セキュリティツールの使用法に関するチュ…

1. 始めに こんにちは、morioka12 です。 本稿では、2024年8月9日から11日に開催される「DEF CON Bug Bounty Village」の概要についてまとめて紹介します。 1. 始めに 2. Bug Bounty Village とは 3. 内容 Talk Practical Exploitation of DoS in Bug Bounty From Easy Wins to Epic Challenges: Bounty Hunter Edition Reflections on a Decade in Bug Bounties: Experiences and M…

はじめに こんにちは。nakajimeeeeです。 バグバウンティを始めて、はや3カ月が経ちました。私の所属している会社ではプライベートのバグバウンティプログラムを開催しており、主にそのプログラムでバグを探索をしています。バグの詳細は公開できませんが、2024年4月 ～ 2024年7月の3カ月間で以下の通り、11件の脆弱性が認定されました。 クロスサイトスクリプティング（XSS）× 5 Information Disclosure × 2 オープンリダイレクト × 2 レースコンディション × 1 アクセス制御の不備（IDOR）× 1 手を動かしてバグ探索することで、オフェンシブなセキュリティ…

Software Design 2024年07月号を読んで、ちょこっとずつ感想を書いてます。 gihyo.jp 表紙 鮮やかなオレンジと白のハチワレ？顔も愛嬌があっていいですねえ。 第1特集 実運用でどう使う？ GitHub Actions実践講座 CI/CDの理想を実現するために 第1章：GitHub Actionsの基本 技術用語と定義ファイルの書き方 ......佐藤 礼於 公開リポジトリでの利用が無料なのはとても助かってます🙏 結構適当にやっていたので、用語の説明は助かります…。 第2章：CI/CD実現ハンズオン 静的解析からコンテナレジストリへのプッシュまで ......高見 諒 ま…