今回はWebアプリケーションの「実装上の不備」に起因する脆弱性である「クロスサイトスクリプティング(以下XSS)」を取り上げます。実装上の不備とは、入力値の検証漏れやエスケープ漏れなどのコーディング段階のミスが原因で作り込まれてしまう問題です。自動的に脆弱性を調査するツールで発見できるケースもありますが、複雑なものになると専門的な知識を持った人間が手動で診断しなければ発見できません。

※今回取り上げる脆弱性の種類(内容)は、第8回, 11,14,第19回(2018.6.26実施)と同様です。過去開催回にご参加いただいた方は、既に学習済みの内容となりますことをご了承ください。

勉強会では、弊社で用意した仮想SNSサイトに無線LAN経由で接続し、Burp Suiteを使ってサイト内に存在する脆弱性の再現方法を演習を通して学んでいきます。

対象

以下のような方を対象とした初歩的な内容を予定しています。

セキュリティ業界への転職を考えている方
セキュリティの勉強を始めたいと考えている方
セキュリティに関して単純に興味を持っている方

初心者の方でも理解していただけるよう、演習に入る前に脆弱性の解説を行いますので、初めての方もお気軽にご参加ください。また当日は講師の他にも講習スタッフがおりますので、不明点はお気軽にご質問いただけます。

みなさまのご参加を心よりお待ちしております。

持ち物・準備ソフトウェア

勉強会参加に際しまして以下の 4点をご用意ください。

持ち物

ノートPC (無線LAN接続できるもの)
- プロキシの設定が変更可能な*ご自身のPC(Windows / MacOS どちらでも可)をお持ちください
- 推奨環境は、Windows 7 以上搭載のノートPCです。
筆記用具
- ペン、鉛筆どちらでも可

準備ソフトウェア

ウェブブラウザ
- 勉強会ではFirefoxを用いて解説いたします。
- 推奨環境は、最新版のFireFoxです。
BurpSuite
- 当日までに無償版をダウンロード・インストールを済ませ、起動できる状態にしてください。

Burp SuiteはHTTP通信の確認や操作、脆弱性のスキャンなどの機能を備えた診断ツールとして、Webアプリケーションの脆弱性診断の現場で広く利用されているソフトウェアです。

※ 推奨環境以外の環境でも講義は受けられますが、講習スタッフによるサポートが受けられない可能性があります。あらかじめご了承ください。

スケジュール

18:30 開場　 19:00 開始

時間	内容
19:00 – 19:20	脆弱性と脆弱性診断
19:20 – 19:30	WebアプリケーションとHTTP、Proxy
19:30 – 19:50	Burpの設定＆使い方
19:50 – 20:10	脆弱性解説
20:10 – 20:20	休憩
20:20 – 21:00	診断実習
21:00 – 22:00	懇親会 (参加自由、無料)

※タイムテーブルは目安です。当日の進行状況によって若干前後する可能性がございます。
※貸し会議室での実施のため、18:30より前にお越しいただいても、会場の準備が整っていない場合がございます。極力、18:30以降にお越しくださいますよう、ご協力よろしくお願いいたします。

※懇親会では弊社の新卒エンジニアへのご相談なども承ります。

場所

DAYS赤阪見附
東京都港区赤坂3丁目9-1 紀陽ビル 4B

東京メトロ赤坂見附駅 10番出口徒歩1分 (銀座線、丸ノ内線、有楽町線[永田町駅経由]、半蔵門線[永田町駅経由]、南北線[永田町駅経由])

会場地図

お願いとお断り

プロキシの設定が変更可能なご自身のPC(Windows / Mac どちらでも可)をお持ちください(講師はWindowsを用いて解説いたしますので、可能であればWindowsをお薦めいたします)。PCの貸出はいたしかねます。
Burp Suiteを起動できる状態にしておいてください(plain JAR file版のBurp Suite の起動にはJavaが必要です)。
WebブラウザはFirefoxのご利用を推奨しております。
推奨環境以外の環境でも講義は受けられますが、講習スタッフによるサポートが受けられない可能性があります。予めご了承ください。
会場では電源をご用意しております。ご自由にお使いください(数に限りがあるため、1人1つを保証できない可能性がございます)。
会場にはインターネットに接続できるWi-Fiのご用意はありません。
会場内は禁煙です。
当日は広報用に会場の写真撮影を行います。参加者個人が特定されるようなものは写り込まないように致しますのであらかじめご了承ください。
過去の開催回では、当日に無断で欠席される方が散見され数個の空席がございました。事前にご参加が難しくなられた場合は、参加のキャンセルをしていただき、キャンセル待ちの方に席をお譲りいただけますと幸いでございます。もしキャンセルをなさらずに当日無断で欠席される方がいらっしゃる場合は、誠に勝手ながら以降のMBSD主催の勉強会へのご参加をお断りする場合がございます。あらかじめご了承ください。

諸注意

禁止事項
以下に該当する行為をされたと見なされる場合、ご退場いただく場合がございます。あらかじめご確認ください。
- 宗教団体、人材会社などによる勧誘行為、宣伝行為、ヘッドハンティング、又はこれに類似する行為。
- 営利を目的とした営業行為、宣伝行為、又はこれに類似する行為。
- 過度な大声、騒音、振動、暴力など、他の参加者の迷惑になる行為。
- 法令に違反する、又はそのおそれのある行為。
- その他、弊社が不適切と判断する行為や目的での参加。
注意事項
会場の設備、備品を汚損、破損、又は紛失された場合、その損害を賠償していただきます。
免責事項
貴重品の管理は各自でお願いいたします。万一盗難や紛失などの事故が発生しましても、弊社では責任を負いかねます。

主催

三井物産セキュアディレクション株式会社
テクニカルサービス事業本部プロフェッショナルサービス事業部
https://www.mbsd.jp/

シェアツイート

コミュニティについて

MBSDセキュリティ勉強会

情報セキュリティに関する勉強会などを開催いたします。

メンバーになる