Web セキュリティコンテスト攻略：主要な脆弱性タイプと対策
概要
本稿では、特定のネットワークセキュリティ競技会で行われた Web 部門の課題に対して実施した技術的調査と解決策について解説する。ここではファイルアップロード制限の回避、難読化されたスクリプトの解析、テンプレートインジェクションを用いたコマンド実行、およびサーバー設定ファイルの悪用という 4 つの主要な攻撃ベクトルを分析する。
画像処理サービスのア ...
6月28日 22:07 投稿
HTTPセッション管理におけるCookieとSessionの仕組みと違い
HTTPプロトコルのステートレス特性
HTTPプロトコルはステートレスな通信プロトコルであり、各リクエストは独立して処理されます。サーバーはクライアントの以前のリクエスト状態を保持しないため、ユーザーセッションの追跡には追加の仕組みが必要となります。
セッション追跡技術の基本概念
Webアプリケーションでは、ユーザーの一連の操作（商品閲覧、カート追加、購入 ...
6月1日 22:53 投稿
セッション制御に基づくアクセス頻度管理と自動ログイン実装
アクセス頻度制御やセッション有効期限管理を実装する際、Cookieやセッションストレージを活用した軽量なアプローチが有効です。以下に具体的な実装パターンを示します。
/**
* アクセス頻度制御マネージャー
* 指定時間枠内でのリクエスト回数をカウントし、閾値超過時に検証を要求
*
* @param string $endpoint 現在のエンドポイント識別子
* @param int $action ...
5月31日 08:12 投稿
CTF環境におけるWeb脆弱性の連鎖攻撃とWAF回避技法
CVE情報を用いたファイルアップロード脆弱性の検証
セキュリティ競技において、既知の脆弱性情報（CVE）を習得・応用する課題は、初学者が実戦的な攻撃フローを構築する上で効果的です。本検証では、特定バージョンのWebアプリケーションにおけるアップロードフィルタの誤設定を題材としています。攻撃手法は、マルチパートフォームデータを活用した悪意あるスクリプトの混 ...
5月17日 17:30 投稿