目次
筆者
- X: morioka12 (@scgajge12)
ブログ一覧
本ドメインのブログ記事
本ドメイン以外も含む全ての記事
こんにちは、morioka12 です。
本稿では、2024年のバグバウンティプラットフォームで報告された脆弱性報告の Top 10 と、HackerOne で最も人気投票が多かった Top 10 について紹介します。
本稿の内容は、セキュリティに関する知見を広く共有する目的で執筆されており、悪用行為を推奨するものではありません。
OWASP (Open Worldwide Application Security Project)は、各分野のセキュリティに関するドキュメントを公開しています。
OWASP Top 10
https://owasp.org/www-project-top-ten/
OWASP Top 10 API Security Risks
https://owasp.org/API-Security/editions/2023/en/0x11-t10/
OWASP Mobile Top 10
https://owasp.org/www-project-mobile-top-10/
OWASP Top 10 for LLM Applications
https://owasp.org/www-project-top-10-for-large-language-model-applications/
ここでは、2024年のバグバウンティプラットフォームにおける脆弱性 Top 10 について紹介します。
https://www.hackerone.com/resources/reporting/8th-hacker-powered-security-reportwww.hackerone.com
統計データなし
ここでは、2024年に HackerOne で開示された脆弱性報告の中で最も人気投票が多かった Top 10 について紹介します。
この報告は、TikTok のエンドポイントで RXSS が可能という脆弱性でした。
この報告は、PS4/PS5 のカーネルコンテキストで DoS や RCE を引き起こす可能性があるという脆弱性でした。
この報告は、GitHub の SAML 署名検証を回避することで、特定の条件付きで任意のユーザーにログイン可能という脆弱性でした。
この報告は、inDrive のアプリで他のユーザーに電話番号を追加することが可能で、OPT を回避できるという脆弱性でした。
この報告は、HackerOne の JSON ファイルのエンドポイントにおいて、プライベートレポートに不正アクセスが可能という脆弱性でした。
この報告は、HackerOne の SAML による新規サインアップ機能で、末尾の制御文字を使用することで Pull Request の組織に不正アクセス可能な脆弱性でした。
この報告は、Reddit が公開している JavaScript のファイルに有効な Paypal のAPI Key がハードコードされていたという脆弱性でした。
この報告は、HackerOne のプライベートレポートの招待メールが保留中の場合に、匿名ユーザーがレポートのタイトルを取得することが可能なという脆弱性でした。
この報告は、TikTok のエンドポイントで Stored XSS が可能という脆弱性でした。
この報告は、HackerOne のレポートの概要を編集機能から、他のユーザーの添付ファイルにアクセス可能という脆弱性でした。
Rank | Vote | Weakness | Bounty | Link |
---|---|---|---|---|
1 | 308 | IDOR | Hidden | link |
2 | 301 | XSS | Hidden | link |
3 | 237 | Improper Access Control | $12,500 | link |
4 | 227 | Hard-coded | Hidden | link |
5 | 212 | Improper Null Termination | Hidden | link |
6 | 209 | IDOR | Hidden | link |
7 | 187 | Business Logic Errors | $2,000 | link |
8 | 182 | Improper Access Control | $25,000 | link |
9 | 174 | Buffer Overflow | $12,500 | link |
10 | 170 | XSS | $5,000 | link |
ちなみに、最も報酬金額が高かった脆弱性報告は、Gitlab からの「$25,000」でした。
2023年
Rank | Vote | Weakness | Bounty | Link |
---|---|---|---|---|
1 | 676 | IDOR | $15,000 | link |
2 | 392 | Improper Access Control | $750 | link |
3 | 360 | Remote File Inclusion | none | link |
4 | 351 | XSS | $5,000 | link |
5 | 346 | SSRF | $25,000 | link |
6 | 344 | Information Disclosure | $7,500 | link |
7 | 292 | SSRF | $6,000 | link |
8 | 284 | XSS | none | link |
9 | 283 | IDOR | none | link |
10 | 259 | IDOR | $13,950 | link |
ちなみに、最も報酬金額が高かった脆弱性報告は、HackerOne からの「$25,000」でした。
2022年
Rank | Vote | Weakness | Bounty | Link |
---|---|---|---|---|
1 | 441 | Improper Access Control | $10,000 | link |
2 | 300 | IDOR | $12,500 | link |
3 | 281 | Path Traversal | $29,000 | link |
4 | 268 | Command Injection | $33,510 | link |
5 | 263 | Command Injection | $33,510 | link |
6 | 260 | Command Injection | none | link |
7 | 255 | Privilege Escalation | $20,000 | link |
8 | 254 | Buffer Overflow | $10,000 | link |
9 | 235 | IDOR | $11,500 | link |
10 | 215 | IDOR | $20,000 | link |
ちなみに、最も報酬金額が高かった脆弱性報告は、Gitlab からの「$33,510」でした。
本稿では、2024年のバグバウンティプラットフォームで報告された脆弱性報告の Top 10 と、 HackerOne で最も人気投票が多かった Top 10 について紹介しました。
バグバウンティ初心者や開発者などは「Top 10 Vulnerability Types」の統計データより、以下のようなタイプの脆弱性がバグバウンティで発見されることが多いため、これらの脆弱性にフォーカスした学習や取り組みをすることで、よりバグバウンティに入門しやすいと思われます。
⭐︎バグバウンティでよく発見されるおすすめの脆弱性
3月15日に IssueHunt が主催する、学生のためのサイバーセキュリティカンファレンス「P3NFEST 2025 Winter」で、『実践的なバグバウンティ入門(2025年版)』というハンズオン講座の講師を担当します!
\#P3NFEST 現地参加者の2次先行について/
— IssueHunt | バグバウンティとASPMを提供しています🦉 (@IssueHunt_jp) March 3, 2025
例年大人気な現地参加枠の、2次先行を行います✨
お申し込みは本日がラストチャンスです🔥
皆様からのご応募をお待ちしております!
⚠️お申し込み期間:3月5日(水)23:59まで
※選考結果はDiscord内にてご案内します。
詳細はこちら:… pic.twitter.com/TsA4nLVfYB
ここまでお読みいただきありがとうございました。
こんにちは、morioka12 です。
本稿では、バグバウンティの脆弱性調査で使われている JavaScript ファイルの監視ツールについて少し紹介します。
本稿の内容は、セキュリティに関する知見を広く共有する目的で執筆されており、悪用行為を推奨するものではありません。
バグバウンティにおいて、対象ドメインで動く JavaScript ファイルはとても重要なものです。
JavaScript Files are a gold mine for bug bounty hunters.
JavaScript ファイルは、バグバウンティハンターに取って金鉱である。(金が含んでいる鉱脈や鉱山)
一般的なバグバウンティハンターは、インターネット上で動く Web サイトや Web アプリケーションを対象に脆弱性調査を行う際に、偵察として JavaScript ファイルを収集したり解析したりします。
多くの初心者のバグバウンティハンターは、JavaScript ファイルの偵察や解析を疎かにすることがあり、 API のエンドポイントやパラメーターを見逃している可能性があります。
JavaScript ファイルを念入りに調査や解析をすることで、隠れたエンドポイントやパラメーター、DOM などを列挙することができ、隅々まで調査するために役立つことがよくあります。
さらに、優れたバグバウンティハンターは、特に大企業や大規模なプロダクトに対して JavaScript ファイルの監視を行っていることがあります。
JavaScript ファイルを監視することで、以下のようなメリットがあります。
バグバウンティにおいて、一番初めに脆弱性を発見して報告した者のみが報酬金を獲得できるため、早い者勝ちという特徴あります。
そのため、このような JavaScript の監視は、有効的に有利になる場合があります。
ただし、JavaScript ファイルの監視には確認する負担があるため、主に報酬金の高い大企業や大きなプロダクト、お気に入りのバグバウンティプログラムの対象であるドメインに対して、ドメインを設定して Discord や Slack などに随時通知されるようにしているバグバウンティハンターが多い印象です。
JSWatch は、軽量で効率的な JavaScript ファイル監視ツールで、インターネット上の JavaScript ファイルの変更を追跡します。
stdout に書き出される markdown フォーマットで自動的に diff 生成を提供します。
DiffScript は、指定したウェブサイト上の JavaScript ファイルの変更を監視するために設計された Python スクリプトです。
JS ファイルの新旧バージョンを比較し、新しいエンドポイントを特定し、変更があれば Telegram メッセージング経由で警告を発します。
このスクリプトは、Webサイトで使用されている JavaScript の更新や変更を追跡する必要がある Web 開発者やセキュリティ研究者にとって特に便利です。
URL Tracker は、URL を監視・追跡し、変更をログに記録し、様々なウェブリソースの状態と動作に関する詳細な洞察を提供するために設計された、堅牢でスケーラブルなウェブアプリケーションです。
Sails.js の上に構築されたこのアプリケーションは、アップタイム、コンテンツ変更、パフォーマンス監視のために URL を追跡するのに最適です。
このスクリプトを使うことで、監視したいウェブサイトの JavaScript ファイルをいくつも設定できます。
このスクリプトを実行するたびに、これらのファイルがフェッチされ、以前にフェッチされたバージョンと比較されます。
ファイルが変更された場合、スクリプトへのリンク、変更されたファイルサイズ、変更を簡単に検査するための差分ファイルを含むメッセージが Telegram 経由で通知されます。
このツールは、すべての JS URL を自動的に追跡し、メール、Discord、または Slack 経由でレポートを送信します。
24時間365日の JS クロール、自動脅威検知、リアルタイム監視でお客様のドメインを保護します。
高度な保護ソリューションにより、安全性を維持し、脆弱性を検出し、中断のないパフォーマンスを保証します。
🚀Today onwards, you can monitor 1 domain for JS changes for free at https://t.co/10muV7aCT8. It tracks all JS URLs automatically and sends reports via Email, Discord, or Slack.
— encodedguy - jsmon.sh (@3nc0d3dGuY) February 3, 2025
We've removed the 1-week limit on the free plan—you can now monitor 1 domain indefinitely. The free… pic.twitter.com/dIrt1AehhY
創設者による JS file を調査や監視する理由
JS Files are a gold mine for bug bounty hunters if you haven't noticed yet plus they're easy to examine & monitor (if you know how to)
— 0xblackbird (@0xblackbird) March 2, 2024
Here's why should and how
Small thread 👇 pic.twitter.com/yp4kwxkj9R
本稿では、バグバウンティの脆弱性調査で使われている JavaScript ファイルの監視ツールについて少し紹介しました。
ぜひ、外部視点であるバグハンターの一つのアプローチとして参考にしてみてください。
ここまでお読みいただきありがとうございました。
こんにちは、morioka12 です。
本稿では、バグバウンティの脆弱性調査で使われている LLM の活用事例について少し紹介します。
本稿の内容は、セキュリティに関する知見を広く共有する目的で執筆されており、悪用行為を推奨するものではありません。
また、本稿は「2025年1月時点」の内容になります。
バグバウンティにおいて、LLM の活用は少しずつ身近になってきている印象です。
今日のバグハンターは、主に以下のような使い方をしています。
ちなみに、シンプルに ChatGTP や Gemini などの対話型 AI を利用してコマンドライン上で良い感じに活用する場合は、以下の「LLM」というツールを用いることでコマンドライン上からプロンプトを実行したり、出力内容を保存して直接ファイルを書き込むことができます。
そのため、既存の様々な CLI ツールと組み合わせて、より効率的に活用できるようになります。
例えば、katana などのツールでクローリングした結果を分析したり、Eyeballer などのツールでスクリーンショットの画像を取得して分析したり、Google Dorks の結果を効率よく分析したりします。
また、JavaScript ファイルを分析して、エンドポイントを抽出したり、複雑な HTTP リクエストを構築したりすることで、効率的に活用することもできます。
# バグバウンティのヒント: AI を使って JavaScript ファイルから API エンドポイントを抽出し、複雑な HTTP リクエストを構築する。 複雑な JS ファイルを手作業で分析し、GET/POST リクエストを構築する方法がわからない?派手なツールは必要ありません! # 簡単なヒント: Chrome Dev Console から JS ファイルをコピーしてローカルに保存し、ChatGPT にアップロードします。 ## このプロンプトを使用します: 「この JavaScript ファイルを読んで、GET/POST エンドポイントを構築するのを手伝ってもらえますか?」 ## そして、次のような具体的なリクエストをお願いします: 「アップロードされた JavaScript ファイルに基づいて、生の HTTP 例で getUserDetails の API リクエストを構築するのを手伝ってもらえますか?"」 など、JavaScript ソースコード内で調べている機能に基づいて、同様の質問をします。 ## 結果 ChatGPTがAIコードレビューに基づいたパラメータでこれらの複雑なGET/POSTリクエストを構築し、一見不可能に見えることを可能にする結果に驚くことでしょう!🚀 この情報を得たら、IDOR、SQLi、CSRF、特権昇格、XSSなどをテストするために、クッキーを使ってエンドポイントを手動でテストし始めることができます。
Bug Bounty Tips: Extract API Endpoints and Construct Complex HTTP Requests from JavaScript Files Using AI
— Jayesh Madnani (@Jayesh25_) September 14, 2024
Stuck analyzing complex JS files while manually hunting on a target and can't figure out how to construct those GET/POST requests? 🤯 No fancy tools needed!
👉 Quick tip:…
CewlAI とは、Google の Gemini AI を利用して、シードドメインに基づいてドメインのバリエーション候補を作成するドメイン名の生成ツールです。
このツールは、ドメイン名のパターン認識と生成に焦点を当てて、サブドメインを推測し隠されたドメインを発見します。
Subwiz とは、超軽量な nanoGPT を利用して、潜在的なサブドメインを推測した上で有効なサブドメインを検知するツールです。
このツールは、ビームサーチのアルゴリズムを使用して、最も可能性の高い N 個のシーケンスを予測します。
ffufai とは、OpenAI の ChatGTP や Anthropic の Claude AI model を利用して、ターゲットの URL や HTTP ヘッダーに基づいて、ファジングのためのファイルの拡張子を自動で提案するツールです。
Crawl4AI とは、LLM に対応した Web クローリングのツールです。
このツールは、LLM を使用して構造化データや関連コンテンツを Web ページから抽出することができます。
Athena とは、Internet Archive の膨大なデータを OpenAI のモデルを用いて分析と探索をするツールです。
このツールは、LLM によって Wayback Machine から Web ページのテキストを抽出したり、内容を要約したり、Web ページの変更履歴を分析したりなど、あらゆる高度な分析を実施することができます。
https://gist.github.com/haruki25/80881c64437de3e9c866ed75f5cad7f6
WARC-GPT とは、OpenAI API と Ollama が利用できて、それらを用いて Web Archives を実験的に検索や探索をすることができるツールです。
Nuclei AI Extension とは、Nuclei のテンプレートを迅速に生成するブラウザの拡張機能です。
Shift とは、プロキシ内の機能や中身に対して、命令文を入力するだけで自動的に操作する Caido のプラグインです。
例えば、Intercept の内容を自動で編集したり、一致置換ルールを作成したり、リクエストとレスポンスからワードリストを生成させたり、レスポンスのボディ内容からリクエストのパラメーターの型を生成したり、API エンドポイントに含む JavaScript の分析させたりなど、様々なことを自動的に操作することができます。
🎉 Announcing ⇧Shift - The Cursor of Hacking @Rhynorater and I have been cooking up an awesome AI hacking tool and releasing it to beta testers starting today.
— Joseph Thacker (@rez0__) December 5, 2024
⇧ Shift is a Caido plugin that makes hacking faster and easier so you can make more money in less time.
Read on 👇 pic.twitter.com/uBuSyBJEgZ
🎉 I pushed an INSANE update to ↑Shift last night
— Joseph Thacker (@rez0__) January 28, 2025
- 2m tokens instead of 1m
- Editing works in intercept and automate now
- AND one weak point was editing large requests. It was slow. Now it's quicker and smarter...
if you're a hacker/pentester/bug hunter, check this out: pic.twitter.com/GheFmdS5qH
Caido403Bypasser とは、カスタムテンプレートを利用して、HTTP リクエストを変換させることで403 ステータスのリクエストを回避するスキャンを実行する Caido のプラグインです。
このツールは、組み込み AI を利用して、カスタムテンプレートを効率よく生成させることができます。
🚀 New Plugin Alert!
— Caido (@CaidoIO) September 19, 2024
"403Bypasser" by @bebiksior is now available in the Plugin Store!
Bypass 403 status codes by transforming HTTP requests with custom templates.https://t.co/LK7CwvNHIx pic.twitter.com/VxxqpA1Gld
BurpGPT とは、従来のスキャナーが見逃す可能性があった脆弱性を AI の利用して検出する Burp Suite の拡張機能です。
このリリースでは、Montoya API に AI サポートが導入され、よりスマートな AI 搭載の拡張機能を構築できるようになりました。
また、Bambda を保存および再利用するための Bambda ライブラリと、拡張機能の開発を効率化するためのすぐに使用できる拡張機能スターター プロジェクトも追加されました。Montoya API に組み込みの AI サポートを追加しました。
拡張機能は、PortSwigger の専用 AI プラットフォームを介して大規模言語モデル (LLM) と安全にやり取りできるようになり、複雑なセットアップや外部 API キーを必要とせずに高度な自動化機能やデータ分析機能を構築できるようになりました。
Welcome to the next evolution of Burp Suite… 🚀 #BurpAI pic.twitter.com/6ZjhrjS3U0
— Burp Suite (@Burp_Suite) February 13, 2025
- リピーターから学習します。Hackvertor はリピーター リクエストからエンコーディングを学習し、Python カスタム タグを自動的に生成します。 - カスタム コード タグを要約します。カスタム タグが作成されると、Hackvertor は AI を使用してその内容を要約します。 - AI カスタム タグ。カスタム タグでプロンプトを使用できるようになりました。 - AI を使用してコードを生成します。Hackvertor は、入力/出力と指示を与えるとカスタム タグを生成します。
※2025年2月13日にリリースされたため追記しました。(詳細は、後日検証した後に記載します。)
本講演は、バグバウンティやペンテストのワークフローを補強するために設計された AI エージェントの研究開発プロセスについて、掘り下げて話します。
私たちの AI エージェントは、単なる論理的な概念ではなく、セキュリティ研究者の効率性と有効性を高めることを目的とした実用的なツールです。
現在、AI に関する話題が盛り上がっています。
Jason Haddix (@jhaddix) が、すべての BS を一蹴して、AI を使って今すぐ賞金稼ぎを強化する 5 つの実用的な方法を紹介します。
Jason は、偵察、JavaScript 分析、脆弱性検出、ペイロード生成、レポート作成のための AI について説明します。
@DanielMiessler が発表した 27 分間のディスカッションでは、人工知能、特に GPT モデルがサイバー セキュリティの状況に革命を起こす方法について掘り下げます。
講演者が AI とサイバー セキュリティの交差点を考察する中で、倫理的ハッキング、バグ報奨金プログラム、情報セキュリティの将来について貴重な洞察を得ることができます。
GPT ベースの AI がセキュリティ プラクティスにますます統合されるにつれて生じる課題と機会について学び、この技術的進歩がレッド チーム オペレーションと Web アプリケーション セキュリティをどのように変える可能性があるかを理解します。
このセッションでは、バグバウンティハンティングの実際の例を使用して、攻撃的なセキュリティと倫理的なハッキングの世界について垣間見ることができます。
企業のインフラストラクチャを脅かしたり、顧客の個人情報を利用して企業を攻撃したりする、最新の Web アプリケーションの重大な脆弱性について検討します。
さらに、AI がハッキング プロセスで貴重なコンパニオンとして機能し、セキュリティ上の欠陥を効果的に特定して対処するためのアイデアやソリューションを生み出すのに役立つ方法について説明します。
本稿では、バグバウンティの脆弱性調査で使われている LLM の活用事例について少し紹介しました。
今回はあくまでバグバウンティ業界で使われている無料ツールをメインに取り上げましたが、AI/ML によるペンテストツールや有料サービスなどは既に多数存在しています。
今後も多くのアイディアのもとにツールや活用事例が増えていくと思われるため、ぜひウォッチしたり自作してみてください。
ここまでお読みいただきありがとうございました。
こんにちは、morioka12 です。
本稿では、ポッドキャスト「Bug Bounty JP Podcast」の2024年振り返りをまとめて紹介します。
「Bug Bounty JP Podcast」とは、バグバウンティなどを対象にバグハントすることを趣味とするメンバーによる、セキュリティ雑談のポッドキャストです。
バグバウンティ(Bug Bounty)とは、企業が自社のシステムやサービスの脆弱性を発見した人に報奨金を支払う制度のことです。
・脆弱性:サイバーセキュリティ上の欠陥のこと
・バグハンター:脆弱性を探す人のこと
BBJP_Podcast は、2024年2月から始動して、日本人バグハンターの3人があえてニッチ寄りな内容で、約1時間のトークを月1で収録と公開をしています。
また、トークで取り上げる主なテーマは、以下になります。
身近でバグバウンティやっている人と一緒に雑談する「Bug Bounty JP Podcast」というポッドキャストを始めます!
— morioka12 (@scgajge12) February 13, 2024
Bug Bounty JP Podcast #BBJP_Podcasthttps://t.co/FBAQhYLwNi
現在は、4つのプラットフォームで配信しています。
bugbountyjppodcast.notion.site
#BBJP_Podcast のリスナーからのご要望もあり、「Bug Bounty JP Podcast」のコミュニティサーバー(Discord)を用意しました!
— morioka12 (@scgajge12) August 22, 2024
リスナー向け(バグバウンティに興味ある・取り組んでいる人)の交流の場としてご活用ください。
→入りたい方は @scgajge12 宛に Reply or DM or メールをください。🙏
2024年は、2月から始動して合計「11話」を公開しました。
特にバグバウンティに興味を持ち始めた方には、第3回や第7回がおすすめの回でした。
Date | Title |
---|---|
2024-12-31 | BBJP_Podcast #11 |
2024-11-30 | BBJP_Podcast #10 |
2024-10-31 | BBJP_Podcast #9 |
2024-09-30 | BBJP_Podcast #8 |
2024-08-29 | BBJP_Podcast #7 |
2024-07-31 | BBJP_Podcast #6 |
2024-06-30 | BBJP_Podcast #5 |
2024-05-28 | BBJP_Podcast #4 |
2024-04-30 | BBJP_Podcast #3 |
2024-03-26 | BBJP_Podcast #2 |
2024-02-22 | BBJP_Podcast #1 |
メインで配信している Spotify のフォロワー数は、ついに「500人」を超え、現時点で「 503人」になりました。
特に、トップファンで聞いてくださっているリスナーは、12月頭の時点で「217人」もいるそうです。
BBJP_Podcast は、一般ウケする内容というよりはあえて少しニッチ寄りで、バグハンターのスピーカー同士が盛り上がれる話題を取り上げてそれぞれの視点で話したり雑談をしているため、当初の想定以上にリスナーがいる印象で嬉しい限りです。
「Bug Bounty JP Podcast」の Spotify のフォロワーが500人を超えました! #BBJP_Podcast pic.twitter.com/ADQ7YDDDGe
— Bug Bounty JP Podcast (@bbjppodcast) December 28, 2024
BBJP_Podcast は、日本語コンテンツとして配信しているため、リスナーの95%は日本の方が聞いてくださっていますが、残りの5%は海外の方が聞いてくださっているようです。(Spotify の分析データより)
最近では、海外のバグハンターの方が日本語のリスニングの勉強として聞いてくださっている方が複数人いることを知り、とても驚きました。
日本語が話せる人にあんまりフォローされていないかも知らないけどいる人はやっぱりいるから下記のすごいポッドキャストについて何かをツイートしようと思った。
— Justin Gardner (@Rhynorater) February 26, 2024
将来のエピソードを楽しみー:https://t.co/soy7A9Dlci
No thanks buddy i am eager to hear you guys as well .🙌🏻 I am working on that code using python i will try my best
— KausTubh PaTil (@iamrealkaustubh) May 1, 2024
Miraa+ Podcast,日本語練習₍˄·͈༝·͈˄*₎◞ ̑̑ pic.twitter.com/HS52hqxVze
— 暗羽喵𝓭𝓪𝓻𝓴𝔀𝓲𝓷𝓰_𝓷𝔂𝓪 (@darkwing_nya) September 24, 2024
「Bug Bounty JP Podcast」の #Spotifyまとめ が公開されました!
— Bug Bounty JP Podcast (@bbjppodcast) December 5, 2024
今年の2月から月1で始めて、いつもありがとうございます! #BBJP_Podcast #Spotifyまとめ2024 pic.twitter.com/7ZQXJmrZpi
Google Formにて、随時リスナーから質問を募集しています。
また、過去の質問内容は、Web ページの Q&Aに記載しています。
いただいた質問内容は、ポッドキャストのエピソード内で最後の方に取り上げています。
主にいただく質問の概要は、以下になります。
【プチ調査】
— Bug Bounty JP Podcast (@bbjppodcast) October 20, 2024
バグバウンティ(Bug Bounty)について
登録者数「7.73万人」の YouTube チャンネル「直也テック」にて、BBJP_Podcast の紹介をしているショート動画がありました。ありがとうございました!
本稿では、ポッドキャスト「Bug Bounty JP Podcast」の2024年振り返りをまとめて紹介しました。
ぜひ、作業中やバグハント中などに聞いていただけると幸いです。
来年の2年目からは、スピーカーの3人に合わせてゲストスピーカーを招待して、4人でトークする回も設けていく予定です。お楽しみに!
ここまでお読みいただきありがとうございました。
こんにちは、morioka12 です。
今回は、morioka12 の「2024年の振り返り」ということで、今年あったことを簡単に振り返ってまとめて紹介します。
覚えている範囲で、メインに取り組んでいたことを時系列ごとにまとめてみます。
登壇系が少し一段落しましたが、新卒1年目にしては色々と良い経験になった気がします。
— morioka12 (@scgajge12) September 4, 2024
ありがとうございました!
引き続き9月以降もまだある諸々に取り組み、今後は自己研究テーマとバグバウンティをメインにちゃんと再開して励むようにします。 pic.twitter.com/pephAa4wzn
ブログは、合計「15件」の記事を書いていました。
今年は、あまり凝ったブログは書けなかった印象で、来年以降は何か凝ったブログを書ければ良いなと思っています。
特に反響があった記事は、以下になります。
登壇は、主に「6件」のイベントで登壇しました。
最後のセッション!はせがわようすけさん(モデレーター)、森岡さん、松本さん、シークレットゲストさんにご登壇いただき、「学生×サイバーセキュリティ」でお話いただきます#P3NFEST2024 pic.twitter.com/sHiIxT5KDa
— Kazz Yokomizo | IssueHunt (@kazzyokomizo) February 17, 2024
ISC2 Japan Chapter勉強会 2024/07
— morioka12 (@scgajge12) July 10, 2024
「クラウドセキュリティ入門 〜オフェンシブ視点でAWS環境に着目した際の脅威と対策〜」https://t.co/dDuPttYpJQ
クラウドセキュリティ入門〜オフェンシブ視点でAWS環境に着目した際の脅威と対策〜 - Speaker Deck
講義は、主に「2件」のイベントで講師をしました。
GMOサイバーセキュリティ byイエラエ株式会社 森岡 優太氏による、「CVEから学ぶWebアプリケーションのバグハント入門」です。OSSの既知の脆弱性を題材に、Webアプリケーションのバグハントについてハンズオン形式で学んでいます。後半では、CVE取得までの一連の流れについても体験します。 #seccamp pic.twitter.com/IOYxRFRITZ
— セキュリティ・キャンプ (@security_camp) June 22, 2024
P3NFEST 2024 Summer のハンズオン講座『実践的なバグバウンティ入門』の一般公開用スライドを公開しました! (非公開部分あり)#P3NFESThttps://t.co/8QGiyo8yI4
— morioka12 (@scgajge12) August 31, 2024
詳細は、以下をご覧ください。
インタビューは、Webメディアの「レバテックLAB」で日本人バグハンターとしてのインタビューを受けました。
JAWS (AWS User Group – Japan)は、「2件」のイベントに登壇者として参加しました。
また、学生中に「AWS Community Builders (Security & Identity Builder since 2024)」としても選出されました。
この度 AWS Community Builder に選出されました!!
— morioka12 (@scgajge12) March 4, 2024
カテゴリーは Security and Identity です!#AWSCommunity #AWSCommunityBuilders pic.twitter.com/y5psEw9fNe
This is my slide from presentation at JAWS PANKRATION 2024. (No. TT-60)
— morioka12 (@scgajge12) August 24, 2024
Thank you.#jawsug #jawspankration #jawspankration2024 https://t.co/fc4rBCHYdH
Threats and Countermeasures in AWS Environmentsfrom an Attacker’s Perspective - Speaker Deck
今年の2月から日本人バグハンターの3人で、ポッドキャスト「Bug Bounty JP Podcast (BBJP_Podcast)」を始動しました。
「Bug Bounty JP Podcast (@BBJP_Podcast)」とは、バグバウンティなどを対象にバグハントすることを趣味とするメンバーによる、セキュリティ雑談のポッドキャストです。
月1で収録とエピソードの公開をしていて、Spotify のフォロワー数が「503人」までなりました。
身近でバグバウンティやっている人と一緒に雑談する「Bug Bounty JP Podcast」というポッドキャストを始めます!
— morioka12 (@scgajge12) February 13, 2024
Bug Bounty JP Podcast #BBJP_Podcasthttps://t.co/FBAQhYLwNi
「Bug Bounty JP Podcast」の #Spotifyまとめ が公開されました!
— Bug Bounty JP Podcast (@bbjppodcast) December 5, 2024
今年の2月から月1で始めて、いつもありがとうございます! #BBJP_Podcast #Spotifyまとめ2024 pic.twitter.com/7ZQXJmrZpi
詳細は、以下をご覧ください。
今年の10月に「セキュリティ若手の会」というコミュニティを2人で立ち上げました。
「セキュリティ若手の会」とは、将来セキュリティエンジニアになりたい学生やセキュリティ業務に携わる若手エンジニアたちがセキュリティに関する技術や業務内容、進路やキャリアについて、直接話し合える場として交流・情報交換できるコミュニティです。
そして、12月には第1回イベント「第1回 セキュリティ若手の会(LT&交流会)」も主催しました。
x.comこの度、「セキュリティ若手の会」というコミュニティを @4su_para と @scgajge12 で立ち上げました!
— セキュリティ若手の会 (@sec_wakate) October 5, 2024
セキュリティに興味がある学生や若手セキュリティエンジニアの方は、ぜひ X (@sec_wakate)と connpass をフォローしてください〜!
ハッシュタグ:#sec_wakate
バグバウンティは、特に2月に取り組むことができ、初めて四半期ランキングで17位になり、受賞することができました。
また、Critical な脆弱性も複数件報告することができ、良い感じに楽しく取り組めていました。
ですが、4月以降が思ったより外部イベントの依頼などでタスクが膨れ上がり、あまり取り組めなかったのが残念でした...。
I ranked 6th on @intigriti leaderboard for February 2024. #HackWithIntigriti
— morioka12 (@scgajge12) March 1, 2024
- Accepted: 25 reports
I will continue to enjoy Bug Bounty! pic.twitter.com/TbFxYG2srP
In 2024 Q1 Leaderboard I am 17th place on @intigriti .
— morioka12 (@scgajge12) April 4, 2024
Thanks for the voucher.#HackWithIntigriti pic.twitter.com/5vjyTmnMMe
Just scored a reward @intigriti . #HackWithIntigriti
— morioka12 (@scgajge12) February 6, 2024
I'm very happy that the two "Exceptional" vulnerabilities (9.8) I reported were approved. pic.twitter.com/RQQRXyVakY
The results are in!🥇
— HackerOne (@Hacker0x01) July 30, 2024
Congratulations to these 32 teams who will move on to the Group Round of the 2024 #AmbassadorWorldCup! 🙌
The next round kicks off at the end of August! Stay tuned for the latest info, and read more about the AWC here. https://t.co/ZKBzjgwKWv pic.twitter.com/aKFpKxn0FN
CVE は「2件」取得しました。(だいぶ前に報告したものに発行された模様)
プライベート周りは、今年も充実した1年だったと思います。
また、ディズニー好きということもあり、今年はディズニーリゾートに「8回」遊びに行きました。
(詳細は、Facebook の方でつぶやきます。)
過去の振り返りブログは、以下にまとめてあります。
今回は、morioka12 の「2024年の振り返り」ということで、今年あったことを簡単に振り返ってまとめて紹介しました。
今年は社会人1年目ということもあり、本業にもしっかりと取り組みつつ、外部活動では有難いことに色々な機会を得ることができました。
想定より少し多忙でしたが、ありがとうございました。
来年も新しいことにチャレンジしつつ、外部活動は少し引き受ける数を減らして落ち着ければと思っています。
2025年も、どうぞよろしくお願い致します!
ここまでお読みいただきありがとうございました。
こんにちは、morioka12 です。
本稿では、8月31日に開催された「P3NFEST 2024 Summer」でハンズオン講座『実践的なバグバウンティ入門』を実施したため、その開催記を簡単に紹介します。
P3NFEST(ペンフェスト)とは、IssueHunt株式会社が主催する、学生のためのサイバーセキュリティカンファレンスです。
P3NFESTは、日本国内の学生に対してカンファレンスやバグバウンティを通じて「様々なセキュリティキャリア」をより身近なものとするべく、第二回目のカンファレンスを2024年8月31日に開催することを決定いたしました。
豪華登壇者による講演や、脆弱性診断入門等のハンズオン講座をご提供。現地参加学生に交通費を支給!
当日は、午前中に現地参加の学生向けの「ハンズオン講座」が開かれ、午後にオンライン参加者も含めた「講演」が行われました。
講演後は、現地参加者のみを対象に登壇者及びスポンサー企業の担当者の方々などを交えた「懇親会」も開かれました。
現地会場
タイムテーブル
時刻 | 概要 | 参加者 |
---|---|---|
10:00 ~ 12:00 | ハンズオン講座 | 現地参加者のみ |
13:00 ~ 16:30 | 講演 | 現地参加者&オンライン参加者 |
16:30 ~ 17:30 | 懇親会 | 現地参加者&登壇者やスポンサー企業の方々 |
ハンズオン講座
現地参加の学生向けに提供されたハンズオン講座は、以下の4つの講座が用意され、希望アンケートからどれか一つを受講することが可能でした。 (定員あり)
講演
スポンサー企業
また、開催近日は台風の影響で、現地参加を予定していた西日本の方で来れなかった学生には、次回の開催に優先的に招待がされるそうです。
【当日現地参加予定の西日本の方々へのご案内】
— IssueHunt バグバウンティ (@IssueHunt_jp) August 29, 2024
台風の影響により、ご来場が難しい方々が多数いらっしゃることは認識しており、運営一同心を痛めております。
そのため、次回P3NFESTへの優先案内を含め、処置を講じさせていただきます。
詳しくはDiscordの案内をご確認ください。#P3NFEST https://t.co/YCwFFeTz96
ちなみに、第一回目の P3NFEST は、2024年2月17日に「P3NFEST Conf 2024」として開催されました。
その際は、学生バグハンターとしてパネルディスカッション「学生と語る、サイバーセキュリティの未来」に登壇してました。
最後のセッション!はせがわようすけさん(モデレーター)、森岡さん、松本さん、シークレットゲストさんにご登壇いただき、「学生×サイバーセキュリティ」でお話いただきます#P3NFEST2024 pic.twitter.com/sHiIxT5KDa
— Kazz Yokomizo | IssueHunt (@kazzyokomizo) February 17, 2024
参加申し込み枠は、以下のようでした。
また、現地参加の学生枠は「先着順」となっていました。
特に特徴的なのが、現地参加の学生に一定の交通費が支払われる点です。
また、本カンファレンスは、現地参加の学生の皆様へ交通費を支給します。
・南関東在住者(東京都・千葉県・神奈川県・埼玉県)は、上限を5千円とし、実費を支給いたします。
・南関東以外の在住者については、上限を1万5千円とし、実費を支給いたします。
そのため、第一回や第二回の参加者を見ていて、県外や地方の学生も多く来ていた印象でした。
P3NFEST 2024 Summer の申し込みは、7月5日(金)の9時から開始されました。
現地参加の学生枠は、先着順で定員80名でしたが、公開されて約80分で満席になっていました。
イベントとしてはまだ第二回目ということで、比較的に新しいイベントで認知度がまだまだかと思いますが、多くの学生の方に注目されていた印象でした。
現地参加の学生枠のタイムログ
時刻 | 経過 | 現地参加枠(学生) |
---|---|---|
09:00 | 申し込み開始 | 0/80名 |
09:10 | 10分経過 | 40/80名 |
10:24 | 約80分経過 | 80/80名 |
申し込みが開始されました!
— morioka12 (@scgajge12) July 5, 2024
現地参加の学生枠は定員80名ですが、開始10分で既に40名も埋まってます…(待ち構えてた人が多い)。
学生のためのサイバーセキュリティカンファレンス「P3NFEST 2024 Summer」 https://t.co/3tpN6qoCFE #P3NFEST
申し込み開始して約80分で、現地参加の学生枠80名が埋まりました...!(凄い)
— morioka12 (@scgajge12) July 5, 2024
学生のためのサイバーセキュリティカンファレンス「P3NFEST 2024 Summer」#P3NFEST pic.twitter.com/ABPeEmaReB
X (Twitter)のハッシュタグは、「#P3NFEST」でした。
また、Togetter でまとめてくださっている方がいたため、こちらで当時のツイート(ポスト)を見ることができます。
今日は P3NFEST 2024 Summer でハンズオン講師します! #P3NFEST pic.twitter.com/PA7H38uZbf
— morioka12 (@scgajge12) August 31, 2024
#P3NFEST ハンズオン講座が始まりました👩💻
— IssueHunt バグバウンティ (@IssueHunt_jp) August 31, 2024
①脆弱性の探求:攻撃者の目線で校内ネットワークを探る, VulnHub - VulnUni
講師:林 憲明氏(トレンドマイクロ株式会社 プリンシパルセキュリティアナリスト)
②実践的なバグバウンティ入門
講師:森岡 優太氏(GMOサイバーセキュリティ… pic.twitter.com/ZGYHe8cwKZ
#P3NFEST 講演が始まりました!
— IssueHunt バグバウンティ (@IssueHunt_jp) August 31, 2024
はじめは、にしむねあさんによる基調講演「脆弱星に導かれて」です🙌 pic.twitter.com/Ry2u6P5LkD
次はソフトバンク小野 彰久さんによる「ソフトバンクのセキュリティエンジニアからセキュリティの重要性」です!#P3NFEST pic.twitter.com/7uHtFuDIWM
— IssueHunt バグバウンティ (@IssueHunt_jp) August 31, 2024
本ハンズオン講座では、120分で学生向けに「座学と実習を含む実践的なバグバウンティ入門講座」を実施しました。
●このハンズオンについて
本講座では、バグバウンティにおける初期調査や脆弱性調査などの方法をハンズオン形式で実施します。
特にバグハンターとしての視点で、実際のバグバウンティの対象に対してどういう情報収集をしたり、どういう観点で脆弱性調査をするかなどのポイントを押さえながら、一緒に体験していただきます。
また、今回は調査対象をドメイン(WebサイトやWebアプリケーション)に限定して、Webセキュリティの要素のみを取り扱います。
●学生さん側で準備するもの
ローカルプロキシツール「Burp Suite」がインストール済みのパソコン
●定員
20名(応募者多数の場合は抽選)
講師プロフィール
学生時代から数社で脆弱性診断等の業務を経験し、2024年にセキュリティエンジニアとして所属企業に新卒入社。
普段は、Webペネトレーションテストやソースコード診断等の業務に従事する。
プライベートでは、バグハンターとしてバグバウンティに取り組み、危険度の高いクリティカルな脆弱性を複数発見し報告している。
また、趣味でポッドキャスト「Bug Bounty JP Podcast」の運営とスピーカーをしている。
外部活動では、サイバーセキュリティに関する登壇や講師、執筆などに取り組み、直近はセキュリティ・ミニキャンプやHack Fes.などのセキュリティイベントでも講師を務める。
本ハンズオン講座では、主に以下のようなコンセプトを持って、スライド等を用意しました。
また、今回は「学生限定バグバウンティイベント」に参加する予定の方も多くいたため、より実践に近い形で「初期調査・脆弱性調査に関するアプローチやポイント、事例」を含めた「バグバウンティの一通りの流れ」を整理し、座学と実習の形式で提供しました。
スライドの構成は、以下のようです。
# タイムテーブル (120分) 1. 10:00 ~ 10:10 (10分) 前置き + 本題説明 2. 10:10 ~ 10:20 (10分) バグバウンティの概要 3. 10:20 ~ 10:30 (10分) 規約・ルールの把握 4. 10:30 ~ 10:50 (20分) 初期調査編 5. 10:50 ~ 11:00 (10分) 休憩 + 自習 6. 11:00 ~ 11:40 (40分) 脆弱性調査編 7. 11:40 ~ 11:45 (5分) レポートの作成方法 8. 11:45 ~ 11:50 (5分) まとめ 9. 11:50 ~ 12:00 (10分) Q&A
ちなみに、前回の「P3NFEST 2024 振り返りレポート」に以下のような回答があり、これらも少し意識して内容構成も考えて資料作成をしました。
・脆弱性診断とバグバウンティは異なりますし、サイバーセキュリティという枠ではなく、バグバウンティに特化した内容を聞いてみたいです。
・実践的なバグハンティングスキル
・現役のバグハンターが脆弱性を探す様子を見てみたい
・バグハントの基本、応用講座
本ハンズオン講座の受講生は、申し込みで先着順を勝ち抜いた約80名から希望するハンズオン講座をアンケートで選んでいただき、その中から抽選で選ばれた約20名の学生に参加していただきました。(選考なし)
その受けていただいた受講生に対して「講座の感想アンケート」を取ったところ、有難いことに以下のような感想を頂きました。 (ブログ記載に許可確認済み)
個人的には想像より入門の内容でしたが、資料がとても凝っていて嬉しかったです。
非公開の内容が多いだけでテンション上がります。
2時間という限られた時間の中で学び多きものにしてくださりありがとうございました。
バグバウンティと脆弱性診断で見つかる脆弱性に差があると知る事ができた。
バグバウンティについての概念は聞いたことはありましたが、具体的なバグハンティプラットフォームやそこでのルールなどは今回の講座で初めて知りました。
今回の講座の中でのルールや注意すべき点のところが今後バグハンティを始めるうえでの初めの一歩につながることになると思うので今回知ることができてとてもありがたかったです。
バグバウンティの全体像をつかめた。
実際にバグバウンティのランキングに載られている方の考える道筋等も確認できて良かった。
まず第一にプレゼンが上手い。
資料自体も去ることながら時間管理そして資料の説明どれをとっても素晴らしかった。
また構成も良かった。
特により実践的な流れを掴みつつ、bugbouty自体のキャッチアップをしていき、体系的に学習を進めるスタイルが非常によかった。
自分のような駆け出しの人間だとwebセキュリティにおける脆弱性の名称及びその影響程度は把握していても実践経験はほぼ皆無なため放任主義的なスタイルだと暇を持て余すことが多くなるため今回のような5分前後の形式で学習した内容を試してっていうのを繰り返すスタイルが非常によかった。
バグバウンティを始める上で必要となるツールやサイト、考え方を学べて非常に為になった。
「実践的」とあるようにバグバウンティの概要からアプローチ方法まで初心者でも理解しやすく、取り組みやすい内容だと感じた。
この講座を期にバグバウンティにチャレンジして見ようと思った。
バグバウンティでどのようなことをどのような流れで行うか、という内容もハンズオンを交えつつ進めることができて大変面白いものでしたし、「何をしたらいけないか」というバグバウンティのルールや倫理面については(特に日本語で)丁寧に示してくれるものが他に多くなく、こちらについても具体例を交えつつ丁寧に話してくださり、大変学びになりました。
見るべき観点や機能別の勘所の紹介が非常に参考になりました!
BBJPからバグバウンティに興味を持ち入門1ヶ月の初心者で、Reconで得られた大量の情報に溺れることが多々ありました。
今回の講座でどのようにして脆弱性調査を進めていくかの疑問が解消できました。
また、Reconで得られた怪しい箇所の優先度付に対する質問を直接お聞きすることができたため、より効率的に進められそうだと感じています。
バグバウンティ自体聞いたことはあったのですが、実際にどんなことをどのようにやっているかは知らなかったのでとても興味深かったです。
余裕があるときに練習からでもやってみたいと思いました。
バグバウンティへの理解が深まる良い講座だった
個人的には、受講生の感想アンケートを見てみて、タイトルの「実践的なバグバウンティ入門」として良い形で2時間の制約の中、実施できたかなと感じました。
本ハンズオン講座を希望して、受講してくださった学生の方々、大変ありがとうございました!
今回、本ハンズオン講座に使用した「完全版スライド (192ページ)」は、受講した学生のみへの限定共有として、非公開としました。
ですが、多くの方にバグバウンティに興味を持ってもらえたら幸いのため、メインの内容などを削除した「一般公開用スライド (110ページ)」を用意しました。
そのため、少しでも興味のある方は、ぜひこちらをご覧ください。
P3NFEST 2024 Summer のハンズオン講座『実践的なバグバウンティ入門』の一般公開用スライドを公開しました! (非公開部分あり)#P3NFESThttps://t.co/8QGiyo8yI4
— morioka12 (@scgajge12) August 31, 2024
せっかくなので、参加記ブログを書いている方がいれば記事等を記載しておきます。(随時更新)
P3NFEST と同時期に、学生限定バグバウンティイベント「P3NFEST Bug Bounty」が開催されるようです。
最後のセッションは、9月2日から開催する「学生限定バグバウンティイベント」で、バグバウンティプログラムを提供いただく企業各社の担当者の皆様です!
— IssueHunt バグバウンティ (@IssueHunt_jp) August 31, 2024
こちらの記事で各社のプログラムの紹介や担当者からの応援コメントを見れますので、ぜひご覧ください🙌#P3NFEST https://t.co/tXjx2GfPP7
本稿では、8月31日に開催された「P3NFEST 2024 Summer」でハンズオン講座『実践的なバグバウンティ入門』を実施したため、その開催記を簡単に紹介しました。
学生向けイベントということで、懇親会も含めて「バグバウンティについて」や「セキュリティエンジニアのキャリアパス」などの質問や相談をしに話しかけてくれる学生が以前より多くいた印象で、とても良い機会と感じました。
少しでも今後の学生の学習や取り組みに貢献できれば幸いです。ありがとうございました。
そして、また機会があれば、今回のようなバグバウンティに関するハンズオン講座をどこかでも実施できればと思います!
(受講生のレベルを一定見定めた選考ありの講座の場合などは、中級者向けな内容もできればと検討しています。)
日本でも、バグバウンティの導入や社内バグバウンティの実施、そしてバグバウンティに取り組むバグハンターが少しでも増えれば幸いです。
次回も P3NFEST が開催されたら、興味のある方は早めにチェックしてみてください。
ちなみに、参考までに過去の傾向では、以下のような時期で開かれていました。
1. 第一回 P3NFEST Conf 2024 - 開催日:2月17日(土), 告知月:12月 2. 第二回 P3NFEST 2024 Summer - 開催日:8月31日(土), 告知月:6月
また、個人的には以下のような学生に、ぜひ P3NFEST をお勧めしたいと思います。
ここまでお読みいただきありがとうございました。
こんにちは、morioka12 です。
本稿では、バグバウンティの学習に活かせるおすすめの YouTube チャンネルと「Live Bug Bounty Hunting」の動画について、まとめて紹介します。
「Live Bug Bounty Hunting」とは、バグバウンティを対象に脆弱性調査をしているバグハンターが実際のバグハンティングの様子を公開している動画のことを指します。
こういったライブの動画はブログと違って、実際のバグハンティングの様子だったり、ちょっとした Tips やテクニックを解説してたりします。
ただし、実際に発見した脆弱性(ゼロディ)は修正前に公開してはいけないため、基本的に初期調査(Recon)だったり、脆弱性調査の始めのみを取り上げていることが多いです。
YouTube Channels for Hacking and Bug Bounty #infosec #CyberAttack #BugBounty #cybersecurity #Hacked #Hacking pic.twitter.com/73b59z3hXr
— Security Trybe (@SecurityTrybe) January 9, 2023
本稿では、バグバウンティの学習に活かせるおすすめの YouTube チャンネルと「Live Bug Bounty Hunting」の動画について、まとめて紹介しました。
動画では、ブログ等で記載されないレアなテクニックや Tips を紹介している場合もあったり、実際の Live で様子や調査の雰囲気を知れたりすることができます。
プロのバグハンターでも人それぞれアプローチや手順、使うツールに特徴があったりするため、ぜひ自身の好みに合ったやり方を参考にすると良いと思います。
ちなみに、バグバウンティにおける初期調査の「Recon」は、バグハンティングの中でも初めの一部の作業にすぎなく、メインの作業はあくまで脆弱性調査 (Research)というのが私の認識です。
ここまでお読みいただきありがとうございました。