SQL Quine攻撃の仕組みとMySQL 8.0における新機能の活用
SQLにおけるクワイン（Quine）攻撃の概念
SQLインジェクションにおけるQuine（クワイン）は、入力した文字列がそのまま実行結果として返されるようなクエリを構成する手法です。この攻撃は、アプリケーション側がデータベースから取得した値とユーザー入力を厳密に比較して認証を行うロジックを持つ場合に有効です。
例えば、以下のような認証ロジックを想定します。
// ...
8月13日 23:22 投稿
Python Flask における Jinja2 SSTI 脆弱性の機構と攻撃手法
Python Flask における Jinja2 SSTI 脆弱性の機構と攻撃手法
Web セキュリティの競技領域や実務审计において、Python 製の Web アプリケーション、特に Flask フレームワークで Jinja2 テンプレートエンジンを使用する際、サーバーサイドテンプレートインジェクション（SSTI）のリスクが存在します。本稿では、この脆弱性の発生要因から検出方法、悪用手法、そして回避策ま ...
8月2日 03:22 投稿
Go製高速WebファジングツールFFUFの実践ガイド
FFUFは、Go言語で実装された軽量かつ高並列なWebファジングツールであり、ディレクトリ探索、パラメータ列挙、エンドポイント発見などのセキュリティテストに広く活用されています。その設計は単純ながらも拡張性が高く、HTTPリクエストの送信効率と結果のフィルタリング精度を両立させています。
FFUFの主な技術的特徴
並列処理最適化：goroutineによる非同期リクエス ...
7月29日 07:12 投稿
Kali Linux 活用：ネットワーク DoS 攻撃シミュレーションと Web アプリ診断技法
サービス拒否（DoS）攻撃の基礎と分類
インターネット上の公開リソースや社内ネットワークを利用する際、サービス拒否（DoS）攻撃のリスクを評価することは不可欠である。これらの脅威は深刻なダウンタイムや財務的損失を引き起こす可能性があり、防御が困難なケースも少なくない。DoS 攻撃は主に以下のカテゴリーに分類される。
バッファオーバーフロー： 意図しないメモ ...
7月28日 23:58 投稿
Actix Web における HTTP セキュリティヘッダーの実装と設定戦略
Actix Web におけるセキュリティヘッダーの重要性
Rust 用の Web フレームワークである Actix Web は、高いパフォーマンスと実用性を兼ね備えています。しかし、高速なアプリケーションを構築する際、セキュリティ対策を怠ると重大な脆弱性につながる可能性があります。HTTP レスポンスヘッダーの適切な設定は、クロスサイトスクリプティング（XSS）やクリックジャッキング ...
7月7日 21:57 投稿
Webアプリケーションのペネトレーションテスト手順
1. 情報収集フェーズ
1.1 テスト対象の特定
このフェーズでは、対象となるWebアプリケーションやシステムの範囲を明確にし、関連する技術スタック（IPアドレス、ドメイン、OS、Webサーバ、フレームワークなど）を把握する。以下のツールが情報収集に有効である：
ツール名用途
Nmapポートスキャンおよびサービス識別
Whoisドメイン登録者情報の取 ...
6月22日 17:13 投稿
Android向けカスタムChromiumベースWebViewの実装ガイド
環境構築と基本実装
Androidアプリケーションに高度なWebレンダリング機能を組み込むためのChromiumベースWebViewの実装方法を解説します。本ガイドでは、システム標準WebViewとは独立したカスタム実装を構築する手順を説明します。
開発環境のセットアップ
以下のツールを事前にインストールしてください：
Android SDK（バージョン34以降推奨）
NDK（バージョン25以上 ...
6月20日 19:02 投稿
クロスサイトリクエストフォージェリ脆弱性の解析と防御策
概要
以下のリソースを参考にしました：https://www.freebuf.com/articles/web/118352.html
CSRFとは何か
CSRF（Cross-Site Request Forgery）は日本語で「クロスサイトリクエストフォージェリ」と呼ばれ、XSSと混同されやすいですが、重要な違いがあります。CSRFではCookieを盗むのではなく、既存の認証情報を悪用します。つまり、攻撃者が被害者の身分を装い、本人が気 ...
6月13日 17:52 投稿
ペネトレーションテストの核心知識：ゼロから完全マスターまで
主要分野
Webセキュリティ
バイナリセキュリティ（リバースエンジニアリング・エクスプロイト含む）
暗号理論
基礎知識領域
ソフトウェア開発
データベース原理
プログラミング言語
デジタルフォレンジックとステガノグラフィー
ネットワークプロトコルとアルゴリズム
アルゴリズムとデータ構造
オープンソースツールの内部原理理解と独自ツール作 ...
6月3日 19:53 投稿
PHP の $_SERVER 超詳細ガイド：サーバー環境変数の実践的活用法
$_SERVER は、PHP が実行されるサーバー環境やHTTPリクエストに関する豊富なメタ情報を提供するスーパーグローバル配列です。この配列はスクリプト起動時に自動的に生成され、Webアプリケーションのルーティング、セキュリティチェック、デバッグ、URL構築などに不可欠な役割を果たします。
主な環境変数とその用途
キー名
説明
備考
...
5月24日 22:08 投稿