Web開発者と情報セキュリティの入門者が必ず知っておくべきWebハッキング＆セキュアコーディング
crehacktive
情報セキュリティ入門者とWeb開発者のためのWebハッキング入門講義！今回の講義をはじめ、Webハッキングを楽しく始めましょう！
初級
Penetration Testing, Injection
他では聞くことのできない内容を
講義に込めました！
今日、ウェブハッキングを学べるさまざまなルートがあります。Inflearnのようなオンライン講義プラットフォーム、オフライン講義を受講できる学院、そして検索エンジンなど、私たちがよく目にするルートでは、そのほとんどが一般的な内容を中心に扱われがちです。しかし、本講義は違います。'どこでも聞くことができない内容'であると自負しています！
ファイルアップロード脆弱性攻撃 Part 2-1
学習内容を確認してみましょう！
安全だと知られているアップロード検証ロジック、果たして安全でしょうか？
以下のソースコードは、ファイルアップロードの脆弱性に対して安全であると言われているソースコードです。では、本当に安全なコードなのでしょうか？
...
String path = request.getRealPath("/upload");
MultipartRequest multi = new MultipartRequest(request, path, 1024*10*10, "UTF-8");
Enumeration formNames = multi.getFileNames();
while(formNames.hasMoreElements()) {
String param = (String)formNames.nextElement();
String uploadFile = multi.getFilesystemName(param);
int extOffset = uploadFile.lastIndexOf(".");
String fileExt = uploadFile.substring(extOffset+1).toLowerCase();
if (!fileExt.equals("jpg") && !fileExt.equals("png") && !fileExt.equals("gif")) {
File fp = new File(path, uploadFile);
fp.delete();
out.println(“<script>alert(‘不正な拡張子’);history.back(-1);</script>");
return;
}
}
...いいえ。該当のソースコードは「脆弱なソースコード」です。
このコードが脆弱な理由、およびこれに対する攻撃方法については、Part 2-1の講義で詳しく扱います。
もっと詳しく見てみましょう。📚
ファイルアップロードライブラリ別のケース理解
各ファイルアップロードライブラリについて分析し、発生し得る潜在的なセキュリティ脅威、および多様なケースについて扱います。
ファイルアップロード脆弱性攻撃 Part 2-2
学習内容を確認しましょう！
Webパブリックファイアウォール（WAF）回避手法のケーススタディ
様々なウェブブラウザの回避手法について学び、該当する攻撃手法の実習を行います。
ファイルアップロード脆弱性攻撃 Part 2-3
学習内容を確認してみましょう！
JEUSとWebSphereで発生したディレクトリトラバーサル（パッシング）脆弱性を詳しく扱い、その脆弱性が今日なぜ脅威となるのか、そしてどのように攻撃できるのかという攻撃手法について詳しく見ていきます。(IBM WebSphere CVE-2020-4163)
その他、多様な環境やケースについて詳しく見ていきます。
![[OTセキュリティ-共通] AI時代、製造業のセキュリティ現場事例を中心に理解する講義サムネイル](https://cdn.inflearn.com/public/files/courses/341942/cover/ai/0/a992253a-0431-4396-9212-69d5390e6c2d.png?w=420)