OWASP ZAP(など)で挑む SECCON

82
+3/, 6,Ȑ /!+* y %" '/3'- 4, 5/ '435.040

Transcript of OWASP ZAP(など)で挑む SECCON

Page 1: OWASP ZAP(など)で挑む SECCON

+3�/,�6�,����Ȑ��/!��+*�

�����������

������y���

� ������%�" ��'/3'-��4,����5/��'435.040�

Page 2: OWASP ZAP(など)で挑む SECCON

�òǼțƾ�

!  �����y���!  ĔødÌÞ­ÚÑehĽÁßa¬\³µ¿ÓƩĜhŞŇ³µ¿ÓhĔød·«×Û¿¢Ċěe�

� ������%�" ��'/3'-��4,����5/��'435.040� �

Page 3: OWASP ZAP(など)で挑む SECCON

�/!��+*�

!  äĄĩâ��0"âå�!  ?KKG��������J<::FE�AG�

!  �0"Ȟijå�Š�ñ�~ÔàÆ�ƏĨ�!  #8E98I<�0@><IJ�&I��

! /!��+*������ČďĨ���œ�! /!��+*������¨àÚ£àŐĖ���œ�! /!��+*������ �̂

� ������%�" ��'/3'-��4,����5/��'435.040� �

Page 4: OWASP ZAP(など)で挑む SECCON

��0"�

!  �8GKLI<�0?<�"C8>�!  Ȉj�ĠõDZú�Ȕ�ȁjñkĈIJ�ík¯aÓ�

!  ¯aÓ",/��!  NJ\^QHx{Czxb�

! Njŧj´ÖàÜdÌÞ­ÚÒà­ZȘǨZĽÁßa¬Z%+(L9VMZƀȊZ!OGCF@K°aÂťĶZʧÝà´¬µZ±aÆŬĝ��e�

� ������%�" ��'/3'-��4,����5/��'435.040� ��

Page 5: OWASP ZAP(など)で挑む SECCON

��0"�ƪƙƿƅ�

!  ¬£¶�!  êŅv�~ıŅ�ŝq�

!  ǜƝĨ�!  ò¼aÓ�±aÆ�ƝǤx��ZǞ¼aÓ�±aÆ�ǜlj�

!  '@E>�F=�?@CC�!  ƳŅ±aÆé��ǜƝ�

�� ������%�" ��'/3'-��4,����5/��'435.040� ��

Page 6: OWASP ZAP(など)で挑む SECCON

�t��Ɖy^�

!  f:K=�;<=:FEg�ƀȊŖȖ�

� ������%�" ��'/3'-��4,����5/��'435.040� �

Page 7: OWASP ZAP(など)で挑む SECCON

�t��Ɖy^�

� ������%�" ��'/3'-��4,����5/��'435.040� ��

Page 8: OWASP ZAP(など)で挑む SECCON

�t��Ɖy^�

!  ?KKG��������J<::FE�AG�9CF>�8JJ<KJ7:���������;FNECF8;%EC@E< @I<:K���������� ����?KDC�

� ������%�" ��'/3'-��4,����5/��'435.040� ��

Page 9: OWASP ZAP(など)で挑む SECCON

�Ȃǡ�DŽ��tn�ĔǪ�

!  ?KKGJ���:K=K@D<�FI>�

� ������%�" ��'/3'-��4,����5/��'435.040� ��

Page 10: OWASP ZAP(など)で挑む SECCON

�/!��+*������

!  ¨àÚ£àŐĖ���œhŐĖƖ��!  ĀáZżď¼aÓ�f !"��+*��0"������Čďg�êöĻoøģhņň�ijȋoǠxǙ|��

� ������%�" ��'/3'-��4,����5/��'435.040� ��

Page 11: OWASP ZAP(など)で挑む SECCON

�/!��+*������

� ������%�" ��'/3'-��4,����5/��'435.040� ��

Page 12: OWASP ZAP(など)で挑む SECCON

�/!��+*������

� ������%�" ��'/3'-��4,����5/��'435.040� �

Page 13: OWASP ZAP(など)で挑む SECCON

��! !��

!  ¯aÓ°à¿à¾įť\ƙƱ\ȴĵ�Ċz�©àÊ Ýàµd����ãn�^e�

!  ����ã��/!��+*�ŐĖ�ƃǪ·½³ÙàoĔǪ�

�� ������%�" ��'/3'-��4,����5/��'435.040� �

Page 14: OWASP ZAP(など)で挑む SECCON

��! !�������

!  ĥľ°Éa�¼aÁ�Ɲr��[·«×Û¿¢�ȢȪ�¯aÓìň�íĢoƋĮf/!��+*�O��! !���$�((!*#!g�ĔåƅȆǦ�ÝÐaÁ�!  ?KKG���NNN��>8D<I�E<K�>8D<J�����#��������������������

!  ·«×Û¿¢aƙƱǏƭŊ�zo����ţ���SĐȡŽ©aüƸV�!  ?KKG���NNN�=8D@KJL�:FD�E<NJ�����������������?KDC�

� ������%�" ��'/3'-��4,����5/��'435.040� ��

Page 15: OWASP ZAP(など)で挑む SECCON

�/!��+*������W��! !���$�((!*#!���¯aÓ¬Ú½«à­��¼aÁ¼ÖÝà´�

!  ƪƙȟĮ�!  ƏŃð�¯aÓ�·«×Û¿¢ȇƘ�ìķ�x�j�ƺĂ�

!  Ĕøè¯aÓ�E;IF@;¡ÌÛ��·«×Û¿¢ȇƘ�íjZ·«×Û¿¢ƙƱð�ǒĺ�ȬȅĴ�fŰĹõđgfƻdžĒgfüʼng�ÝÐaÁ�

!  ÝÐaÁ�ôn�Ǯv��ũĖŪ�!  霼aÓo�! !��ÌݸàZƥĽēoĩżdz¼aÓ�ČĂ�

� ������%�" ��'/3'-��4,����5/��'435.040� ��

Page 16: OWASP ZAP(など)で挑む SECCON

�/!��+*������W��! !���$�((!*#!���¯aÓ¬Ú½«à­��¼aÁ¼ÖÝà´�

!  ǚƄîȏ�!  ¯aÓ¦à´à1E@KP��ŝȕ�!  ±aÆ�� F/�

!  ƑȉĬā�!  ��������Ɯ�b����ó��

!  ƳŅÊ £Ü�!  ?KKG����;IM�DJ��+0�6(;�

� ������%�" ��'/3'-��4,����5/��'435.040� �

Page 17: OWASP ZAP(など)で挑む SECCON

�ƳŅ¡ÌÛ��

!  /8E;98>�!  ±àÂƽ­�ȦpZµ°¡�ƪk�

� ������%�" ��'/3'-��4,����5/��'435.040� ��

Page 18: OWASP ZAP(など)で挑む SECCON

�ƳŅ¡ÌÛ��

!  /1*% .��!  Õൺa�ǧxZµ°¡�ƪk�

� ������%�" ��'/3'-��4,����5/��'435.040� ��

Page 19: OWASP ZAP(など)で挑む SECCON

�v�Z�kǜ��k�

!  �E;IF@;¡ÌÛ�ųj~t�o�j�!  ȑǟ�À°àÇ£Ü�p��xjoc�

!  ��il{ƳŅ¡ÌÛ�Ģnx����!  �ÌÝ£ÿ�Úà«à­�Ǖǁx���

! Ďļ�ȧj���nc�! ±aÆ�ğ����nc�

��

� ������%�" ��'/3'-��4,����5/��'435.040� ��

Page 20: OWASP ZAP(など)で挑む SECCON

�ýƞ�

!  Ǟ¼aÓ�¡ÌÛŶ�ŝȕ�ª³ª³���q���kn�Zt���Ďļ�±aÆŶ�ğĽ�Ŏĺă��

!  �! !�ǾȆð�İǍx~ÌݸàęŻ��!  �0"ňȣ�ý`��ī~�Ā�î��Z¯aÓĔøð�Ȝv���ZŠ��jt��Œj�{�

!  ƙƱč��n���j��kxc�

� ������%�" ��'/3'-��4,����5/��'435.040� ��

Page 21: OWASP ZAP(など)で挑む SECCON

��ũĖŪ�

!  ���¼aÓo¦àÁÛ�

!  ��¼aÓoÝÐaÁŦê�

!  �¼aÓoĎƇ�

� ������%�" ��'/3'-��4,����5/��'435.040� ��

Page 22: OWASP ZAP(など)で挑む SECCON

�ŬŤŶoŽx~¼aÁüʼn�

!  ƳŅ¡ÌÛ��/8E;98>�!  �F;<#L8I;dƲǽĚe�

! ?KKGJ���NNN�8JJ<KJKFI<�LE@KP�;�:FD�AG����:FEK<EK������

!  ƳŅ¡ÌÛ��/1*% .��!  �GG=LJ:8KFIdƲǽĚe�

! ?KKG���8GG=LJ:8KFI�:FD�!  Ďļ�ȘǨĚ�!  8GBÊ £Ü�ŕƎŖŠ�

� ������%�" ��'/3'-��4,����5/��'435.040� �

Page 23: OWASP ZAP(など)で挑む SECCON

�¡ÌÛ�ğĽdǞ¼aÓ�øģe�

!  �E;IF@;ǹƤ�!  .FFKĚx~ĘĦ�!  ¦Ò×Ýaº�

! �CL</K8:BJ�! ?KKG���NNN�9CL<JK8:BJ�:FD�

!  ÔÕÛųǗ¾aÜ�!  �?<8K!E>@E<�

! ?KKG���NNN�:?<8K<E>@E<�FI>�

� ������%�" ��'/3'-��4,����5/��'435.040� �

Page 24: OWASP ZAP(など)で挑む SECCON

�ÿáĤĔ�

!  øģęŻ�!  ?KKG��������J<::FE�AG�:<;<: :?8CC<E>< �����?KDC�

!  ¹aµ°aÂ�!  /8E;98>�

! ?KKGJ���>@K?L9�:FD�/!��+* �! !���!  /1*% .��

! ?KKGJ���>@K?L9�:FD�B<EA@8@BF�/1*% .���

� ������%�" ��'/3'-��4,����5/��'435.040� ��

Page 25: OWASP ZAP(など)で挑む SECCON

�æƵÌݸàn�ǓȤ�

� ������%�" ��'/3'-��4,����5/��'435.040� ��

Page 26: OWASP ZAP(など)で挑む SECCON

Yėũ�

!  ȇƘŚŵőǐ�

!  ȬȅĴ�ǐŢÝÎÜ�

!  ȇƘŚŵȟĮ�

!  ȇƘŚŵȗǬ�

!  ŖĽ¾aÜ�țƾ�

� ������%�" ��'/3'-��4,����5/��'435.040� �

Page 27: OWASP ZAP(など)で挑む SECCON

YȇƘŚŵőǐ�

!  ƳŅ¡ÌÛ��/8E;98>�!  ĎļĆô�±aÆ�ǿŀ�Ŏâ�ȬȅĴ�

!  ƳŅ¡ÌÛ��/1*% .��!  þāŴ�c�

� ������%�" ��'/3'-��4,����5/��'435.040� ��

Page 28: OWASP ZAP(など)で挑む SECCON

YȬȅĴ�ǐŢÝÎÜ�

Level� ���

3� µ�� i�v]�z�b��\[�¸�

2� ·�� ¬¥�\[�¸�

1� ²�� ��®Y��¶©�i�xmª��

� ������%�" ��'/3'-��4,����5/��'435.040� ��

Page 29: OWASP ZAP(など)で挑む SECCON

YȇƘŚŵȟĮ]¡ÌÛ®a³ÙàȇƘ�

No.�¤®� Level�A1� SQLb�ldfk��[«���� 3�A2�³�w�}�o[¡V`� 3�A3���w�}�o[qdrf���� 2�

� ������%�" ��'/3'-��4,����5/��'435.040� ��

Page 30: OWASP ZAP(など)で挑む SECCON

YȇƘŚŵȟĮ]ĽÁßa¬ȇƘ�

No.�¤®� Level�N1�«��U��X_Apache(2.2.15)� 3�N2�«��U��X_PHP(5.3.3)� 3�N3�HTTP{rpZ^_v�l��­©� 1�N4� �WYTHTTP}nrt[¯�� 1�N5� PHP6Credits[­©� 1�

� ������%�" ��'/3'-��4,����5/��'435.040� ��

Page 31: OWASP ZAP(など)で挑む SECCON

Y����/-(£à´¥¬³Ùà�ȬȅĴ�(M����

!  øùȥĵ�!  ÌÝ£ÿ�µ°¡Ǖǁ�!  ,+/0�?KKG���8G@�J8E;98>�����E<K�J:FI<�I8EB@E>��

!  Īǣ�!  ±aÆoĿļx~µ°¡ŞŇ�ZÀaºÎaµ�Ǖǁz�ŗ�ƒĜ�ĥƐoi��

!  ƻdž�!  ÀaºÎaµĄŮ�ȚȩZŕw�oƓŲ�

� ������%�" ��'/3'-��4,����5/��'435.040� ���

Page 32: OWASP ZAP(など)で挑む SECCON

Y/-(�

!  ÀaºÎaµ�Ȏťz�"!�KZaS�U][9On���ıjñ�|ŋƬ�

!  Ő�ĝİx~/-(°ÑàÂ�rmd;FCfi|GU][9O�x�/-(Ÿ�ō�ċ�ZÀaºÎaµ±aÆ�Ęí�

� ������%�" ��'/3'-��4,����5/��'435.040� ��

Page 33: OWASP ZAP(など)で挑む SECCON

Y/-(�

� ������%�" ��'/3'-��4,����5/��'435.040� ��

Page 34: OWASP ZAP(など)で挑む SECCON

Y/-(£à´¥¬³Ùàǜlj�

!  /-(Ÿ�ō�ċ�ýđ�ıŅoi�ÌÞ­ÚÓ�owG�<ZfiU][9OB�f>?"!�KZaSGkc�

!  ƺĂx�j/-(ŸoĘív�R9OX9MGoqB�udşůǘƯZŞŇȚȩZŕw�Zƽ¬Â¡�¡½ÌÞaÂ��e�

� ������%�" ��'/3'-��4,����5/��'435.040� ���

Page 35: OWASP ZAP(など)で挑む SECCON

Y�

� ������%�" ��'/3'-��4,����5/��'435.040� ���

Page 36: OWASP ZAP(など)で挑む SECCON

Y�

� ������%�" ��'/3'-��4,����5/��'435.040� � �

Page 37: OWASP ZAP(など)で挑む SECCON

Y����/-(£à´¥¬³Ùà�ȬȅĴ�(M����

!  ŖĽ¾aÜ�+3�/,�6�,����«Ö̼Öƽ�

� ������%�" ��'/3'-��4,����5/��'435.040� ���

Page 38: OWASP ZAP(など)で挑む SECCON

Y����/-(£à´¥¬³Ùà�ȬȅĴ�(M����

!  ŖĽ¾aÜJHCD8G���Źşîƽ�!  ŖĽÇÚÔaºƣļþ�±aÆ�ƨĢ��ZY/-(£à´¥¬³Ùà�ŖŠ�! Q�LL@;���8�����88 �<9= ���: ��;� <8���;�<;�8����E8D<���K<JK������������������������GF@EK���������"����#�"��� � �����R�

! Q�LL@;���8�����88 �<9= ���: ��;� <8���;�<;�8����E8D<���K<JK������������������������GF@EK������������"��� � �VR�

� ������%�" ��'/3'-��4,����5/��'435.040� ���

Page 39: OWASP ZAP(など)で挑む SECCON

Y����/-(£à´¥¬³Ùà�ȬȅĴ�(M����

!  ÀaºÎaµ±aÆ�ĄĆŞŇ�ħŜ�

Database� sandbag�

Table� score�

Column� name,6point,6registed_Gme,6uuid6

� ������%�" ��'/3'-��4,����5/��'435.040� ���

Page 40: OWASP ZAP(など)で挑む SECCON

Y����/-(£à´¥¬³Ùà�ȬȅĴ�(M����

� ������%�" ��'/3'-��4,����5/��'435.040� ���

Page 41: OWASP ZAP(など)で挑む SECCON

Y����/-(£à´¥¬³Ùà�ȬȅĴ�(M����

!  üʼn�!  /-(Ÿ�ťĶz�ŗ�f/-(°ÑàÂg�fńĝðn��ûčǃg���Blt>A:�

!  ĭĞ�ýđ�/-(Ÿ�ťĶz��! ÌÝaµÏÜ»ZÆ£àÂ�

� ������%�" ��'/3'-��4,����5/��'435.040� ���

Page 42: OWASP ZAP(など)で挑む SECCON

Y����/-(£à´¥¬³Ùà�ȬȅĴ�(M����

!  W`9MY_P�!  /-(Ÿ�ƦĶz�f/-(°ÑàÂg�fÇÚÔaºoû�ȥĵg�e=@gy�

!  TIaS�!  fÇÚÔaºoû�ȥĵg�fńĝðn��ûčǃg�pnB�EsD�

!  ǵûv�~f/-(°ÑàÂg�Ęív��j�

� ������%�" ��'/3'-��4,����5/��'435.040� ��

Page 43: OWASP ZAP(など)で挑む SECCON

Y%,���

!  fĭĞ�¤¥Ë±£Á�ť�ýg�

!  fĭĞ�/-(�Ǜ�êxýg���������?KKGJ���NNN�@G8�>F�AG�J<:LI@KP�MLCE�N<9J<:LI@KP�?KDC��� ������%�" ��'/3'-��4,����5/��'435.040� ��

Page 44: OWASP ZAP(など)で挑む SECCON

Y����ƣļÇÚÔaº�ŕw��(M����

!  øùȥĵ�!  ÌÝ£ÿ�µ°¡Ǖǁ�!  ,+/0�?KKG���8G@�J8E;98>�����E<K�J:FI<�I8EB@E>��

!  Īǣ�!  µ°¡Ǖǁþ�,+/0ĎļoŁŸ�!  ŕw�¼¥½¬�Ljō�oƔj�

� ������%�" ��'/3'-��4,����5/��'435.040� ���

Page 45: OWASP ZAP(など)で挑む SECCON

Y����ƣļÇÚÔaº�ŕw��(M����

!  ƻdž�!  òô�µ°¡�łŔxx�Ǖǁ�!  Úà«à­Ȍ�xdǝī�ŘĀZµ°¡�Ǖǁe�

!  Źşõǰ�!  ,IFOP¾aÜ���Z±aÆ�ƣļz�ÇÚÔaº�ųpǗl��

� ������%�" ��'/3'-��4,����5/��'435.040� ���

Page 46: OWASP ZAP(など)で挑む SECCON

Y����ƣļÇÚÔaº�ŕw��(M����

!  ŰĹƽ�!  µ°¡�ŕw��

! Q�LL@;���8�����88 �<9= ���: ��;� <8���;�<;�8����E8D<���K<JK�������GF@EK������������R�

!  ǢǕǁ�LL@;�źİ�E8D<��GF@EK�Ǖǁ�! Q�LL@;���8�����88 �<9= ���: ��;� <8���;�<;�8����E8D<��V�������������GF@EK��V�����VR�

� ������%�" ��'/3'-��4,����5/��'435.040� � �

Page 47: OWASP ZAP(など)で挑む SECCON

Y����ƣļÇÚÔaº�ŕw��(M����

!  ŖĽ¾aÜ�+3�/,�6�,����«Ö̼Öƽ�

� ������%�" ��'/3'-��4,����5/��'435.040� ���

Page 48: OWASP ZAP(など)で挑む SECCON

Y����ƣļÇÚÔaº�ŕw��(M����

� ������%�" ��'/3'-��4,����5/��'435.040� ���

Page 49: OWASP ZAP(など)で挑む SECCON

Y����ƣļÇÚÔaº�ŕw��(M����

!  üʼn�!  $00,/�Ďļ�ȘǨĚ�!  ŎĮ�ÇÚÔaº�žǯ�ȘǨĚ�ŕw�Ŗêʼn�Ęǭ�

� ������%�" ��'/3'-��4,����5/��'435.040� ���

Page 50: OWASP ZAP(など)で挑む SECCON

Y����ĿļÇÚÔaº�¼¥½¬ĥƆô�(M����

!  øùȥĵ�!  Úà«à­Àaº�ħŜx¡ÌÛ�ģŨz�Ćô�

!  #!0�?KKG���8G@�J8E;98>�����E<K�J:FI<�I8EB@E>�YYYY�

!  Īǣ�!  ±aÆn�Ŝ~ÇÚÔaº�}���ģŨ�

� ������%�" ��'/3'-��4,����5/��'435.040� ���

Page 51: OWASP ZAP(など)で挑む SECCON

Y����ĿļÇÚÔaº�¼¥½¬ĥƆô�(M����

!  ŖĽ¾aÜ�+3�/,�6�,����ŕw�ƽ�

� ������%�" ��'/3'-��4,����5/��'435.040� ��

Page 52: OWASP ZAP(など)で挑む SECCON

Y����ĿļÇÚÔaº�¼¥½¬ĥƆô�(M����

!  üʼn�!  $00,/�Ďļ�ȘǨĚ�!  ŎĮ�ÇÚÔaº�žǯ�ȘǨĚ�ŕw�Ŗêʼn�Ęǭ�

!  ¡ÌÛŶ�ĿļÇÚÔaº�ŸǂLJ�ȫŀ���Źş�

� ������%�" ��'/3'-��4,����5/��'435.040� �

Page 53: OWASP ZAP(など)で挑む SECCON

YȇƘŚŵȟĮ]ĽÁßa¬ȇƘ�

No.�¤®� Level�N1�«��U��X_Apache(2.2.15)� 3�N2�«��U��X_PHP(5.3.3)� 3�N3�HTTP{rpZ^_v�l��­©� 1�N4� �WYTHTTP}nrt[¯�� 1�N5� PHP6Credits[­©� 1�

� ������%�" ��'/3'-��4,����5/��'435.040� �

Page 54: OWASP ZAP(など)で挑む SECCON

YơƟ]*�Z*��

!  $00,ͽ»�ĄŮ��ƫjÆa´Ùà�ńĝ�njǷ�

!  ·«×Û¿¢Ç½¼ǝĝ\¡½ÌÀaÁŌ���Z��ý�����Z$00,ͽ»�ģŨoƫjÆa´Ùà����öñ�i��!  ȠǑ¹ÊÁ¤¥¡�ȗǬ�Źş�klǝŴ�üƑ��

� ������%�" ��'/3'-��4,����5/��'435.040� ��

Page 55: OWASP ZAP(など)で挑む SECCON

Y*���ȬȅĴoNJƌz��G8:?<��������(M����

!  ĄŮ�!  �G8:?<����������șŠ�ȬȅĴd F/Z4//��eoŒŀNJƌ�

!  üʼn�!  ćxjÆa´Ùà�ǫć�

! �G8:?<����ǔ���������oĩćȍ�

� ������%�" ��'/3'-��4,����5/��'435.040� ��

Page 56: OWASP ZAP(など)で挑む SECCON

Y*���ȬȅĴoNJƌz��G8:?<��������(M����

?KKG���NNN�:M<;<K8@CJ�:FD�MLCE<I89@C@KP C@JK�M<E;FI7@; ���GIF;L:K7@; ���M<IJ@FE7@; �������G8:?< $KKG /<IM<I �������?KDC�

� ������%�" ��'/3'-��4,����5/��'435.040� �

Page 57: OWASP ZAP(など)で挑む SECCON

YȬȅĴ�Ǎž�ǐŢ�

!  �$��!  �FDDFE�2LCE<I89@C@K@<J�8E;�!OGFJLI<J�!  ƃĎȬȅĴǍžą�!  ȬȅĴ��s�~vh�

!  �$"" �!  �FDDFE�2LCE<I89@C@KP�/:FI@E>�/PJK<D�!  ƃĎȬȅĴǐŢ³µ¿Ó�!  }�j�ĂƷă�ǐŢd�b��ĺe�

� ������%�" ��'/3'-��4,����5/��'435.040� ��

Page 58: OWASP ZAP(など)で挑む SECCON

Y*���ȬȅĴoNJƌz��G8:?<��������(M����

!  ƏŪ�!  ?KKG���NNN�:M<;<K8@CJ�:FD�MLCE<I89@C@KP C@JK�

M<E;FI7@; ���GIF;L:K7@; ���M<IJ@FE7@; �������G8:?< $KKG /<IM<I �������?KDC�

!  �2!ƵǨd�2//µ°¡e�! �$�������������! �$����������� ��! �2! ���� ����������! ǞŒŀ�

� ������%�" ��'/3'-��4,����5/��'435.040� ��

Page 59: OWASP ZAP(など)で挑む SECCON

Y*���ȬȅĴoNJƌz�,$,�������(M����

!  ĄŮ�!  ,$,���������șŠ�ȬȅĴdƽʠ¨aÆaÊÞaZ F/Z4//��eoŒŀNJƌ�

!  üʼn�!  ćxjÆa´Ùà�ǫć�

! ���ǔ���������±ÐaÁƂȀd����ã�ó��áe�

! ���Z���Z���ǔ�ưí�� ������%�" ��'/3'-��4,����5/��'435.040� ��

Page 60: OWASP ZAP(など)で挑む SECCON

Y*���ȬȅĴoNJƌz�,$,�������(M����

!  ƏŪ�!  ?KKG���NNN�:M<;<K8@CJ�:FD�MLCE<I89@C@KP

C@JK�G?G�M<E;FI7@;���GIF;L:K7@;����M<IJ@FE7@;�������

!  �2!ƵǨd�2//µ°¡e�! �$��������������! �$��������������! �2! ���� ����������! ǞŒŀ�

� ������%�" ��'/3'-��4,����5/��'435.040� ��

Page 61: OWASP ZAP(など)で挑む SECCON

Y*���$00,ͽ»���Æa´ÙàģŨ�(M����

!  øùȥĵ�!  $00,ݵÐàµÍ½»�

!  Īǣ�!  ±aÆŶ¹ÊÁ¤¥¡�ĸĂĥƐ�

!  ƻdž�!  ńĝ¹ÊÁ¤¥¡Ř�Æa´ÙàƵǨ��ZNJƌz�ȬȅĴ�ƈĂZĥĝİ�ǜlj�Ǹq�

� ������%�" ��'/3'-��4,����5/��'435.040� ���

Page 62: OWASP ZAP(など)で挑む SECCON

Y*���$00,ͽ»���Æa´ÙàģŨ�(M����

!  Źşõǰ�!  ?KKG���8G@�J8E;98>�����E<K�J:FI<�I8EB@E>����#!0��,+/0�ݵÐàµÍ½»�"+26+2���1'),+��� ���+/4�"��&� 07+2+*��8�� � � �����

!  üʼn�!  �G8:?<Z,$,���ĸĂÊ £Ü�ǝŴ�ĸĂ�

� ������%�" ��'/3'-��4,����5/��'435.040� ��

Page 63: OWASP ZAP(など)で挑む SECCON

Y*���$00,ͽ»���Æa´ÙàģŨ�(M����

!  ǖľƽ�!  ?KKG;�:FE=�/<IM<I/@>E8KLI<�+X�/<IM<I0FB<EJ�,IF;L:K+ECP�"  ��/<IM<I���G8:?<���������<EK+/��

!  G?G�@E@�<OGFJ<7G?G�FX�"  4 ,FN<I<; �P��,$,���������

� ������%�" ��'/3'-��4,����5/��'435.040� ��

Page 64: OWASP ZAP(など)で挑む SECCON

�ŖĽ¾aÜ�

Wireshark� wgrse~zq~Rz�sh�au�bj�

nmap� |�sme~u�

nikto� HTTPi�xm[me~u�

OWASP6ZAP�y�cj�az�Si�v[´���¨°R«��£¢�

sqlmap� SQLb�ldfk��[±¢6

� ������%�" ��'/3'-��4,����5/��'435.040� ���

Page 65: OWASP ZAP(など)で挑む SECCON

�3@I<J?8IB�

!  Ɨ��j�Ç®½Á�«Ö̼ÖZDŽ`�ÌÞÁ°Ü�÷ǮqģŨ�

� ������%�" ��'/3'-��4,����5/��'435.040� ���

Page 66: OWASP ZAP(など)で挑む SECCON

�ED8G�

!  Ĕj�j�ÐaÁ�ğ���

!  ńĝ±aȵŘ�Æa´Ùà�ğ���

!  Ȏťƽ�!  ��ED8G�%,¡Âݵ�

! Ĕj�j�ÐaÁƵǨZëDză�±aȵŘ�

!  ��ED8G�UJ2�%,¡Âݵ�! Ĕj�j�ÐaÁƵǨZ±aȵŘ�Æa´Ùà�

� ������%�" ��'/3'-��4,����5/��'435.040� � �

Page 67: OWASP ZAP(など)で挑む SECCON

�ED8G�

GDDI�@6A>�Q��CB6E���6E>H6C976<�� �C:I��-I6GI>C<�(B6E�������=IIE���CB6EDG<���6I��� ������ �����%-.�(B6E�H86C�G:EDGI�;DG�6E>H6C976<�� �C:I��� � �� ������#DHI�>H�JE���� �H�A6I:C8N��G (-�G:8DG9�;DG�� � �� ������� � �� ����?E:6HI8DBEJI:>98;8ADJ98DB�(DI�H=DLC������;>AI:G:9�EDGIH�*),.���-.�.!�-!,0$�!�0!,-$)(����I8E�DE:C��=IIE�����E68=:�=IIE9��� �����:CI)-���P5=IIEB:I=D9H��(D��AADL�DG�*J7A>8�=:69:G�>C�)*.$)(-�G:HEDCH:��HI6IJH�8D9:������P5=IIEI>IA:��->I:�9D:HC�I�=6K:�6�I>IA:��I:MI�=IBA��8=6GH:I�/."���16GC>C<��)--86C�G:HJAIH�B6N�7:�JCG:A>67A:�7:86JH:�L:�8DJA9�CDI�;>C9�6I�A:6HI� �DE:C�6C9� �8ADH:9�EDGI� :K>8:�INE:��<:C:G6A�EJGEDH:�,JCC>C<��&>CJM���2P�2�)-��*!��8E:��D�A>CJM�A>CJM5@:GC:A����8E:��D�A>CJM�A>CJM5@:GC:A���)-�9:I6>AH��&>CJM�������� ��(:ILDG@� >HI6C8:�� ��=DEH�¹§¦º�)-�6C9�-:GK>8:�9:I:8I>DC�E:G;DGB:9�*A:6H:�G:EDGI�6CN�>C8DGG:8I�G:HJAIH�6I�=IIE���CB6EDG<�HJ7B>I���(B6E�9DC:�� �$*�699G:HH�� �=DHI�JE��H86CC:9�>C� ����H:8DC9H�

� ������%�" ��'/3'-��4,����5/��'435.040� ���

Page 68: OWASP ZAP(など)で挑む SECCON

�E@BKF�

!  $00,±aȵ�ȬȅĴŖĽ�

!  ƫj¹ÊÁ¤¥¡�ńĝZĸĂ�ĥƐZĥƋĮ�Ê £Ü�ĤĔ���ğ���

!  Ȏťƽ�!  ��E@BKF�U?�%,¡Âݵ�

! 0�,�����ğ���!  ��E@BKF�U?�%,¡Âݵ�UG�ÐaÁƵǨ�

! ŏĂx~ÐaÁƵǨ�ğ���

� ������%�" ��'/3'-��4,����5/��'435.040� ���

Page 69: OWASP ZAP(など)で挑む SECCON

�E@BKF�

GDDI�@6A>�Q��C>@ID�=�6E>H6C976<�� �C:I��(>@ID�K� ��¹§¦º���-:GK:G���E68=:��� ����:CI)-�����DD@>:�*#*-!--$ �8G:6I:9�L>I=DJI�I=:�=IIEDCAN�;A6<���,:IG>:K:9�MEDL:G:97N�=:69:G��*#*�������.=:�6CI>8A>8@?68@>C<�2"G6B:)EI>DCH�=:69:G�>H�CDI�EG:H:CI����E68=:��� ��6EE:6GH�ID�7:�DJI96I:9��8JGG:CI�>H�6I�A:6HI��E68=:�������E68=:�������;>C6A�G:A:6H:��6C9������6G:�6AHD�8JGG:CI���-:GK:G�A:6@H�>CD9:H�K>6�!.6<H��=:69:G�;DJC9�L>I=�;>A:����>CD9:����������H>O:�����BI>B:��-JC�%JC���� �� ������� ����1:7�-:GK:G�G:IJGCH�6�K6A>9�G:HEDCH:�L>I=�?JC@�#..*�B:I=D9H��I=>H�B6N�86JH:�;6AH:�EDH>I>K:H���)-0 ������#..*�.,��!�B:I=D9�>H�68I>K:��HJ<<:HI>C<�I=:�=DHI�>H�KJAC:G67A:�ID�2-.���/C8DBBDC�=:69:G��JC>DC�6AA�H:A:8I�;>A:ID8AD7���:I8�E6HHL9���H:GK:G����;DJC9��L>I=�8DCI:CIH���=IBA���",)'�HNHJH:GH�1#!,!�JH:GC6B:�/-!,��=IBA�#..*� �������/C8DBBDC�=:69:G��HG8�?6K6H8G>EI��;DJC9��L>I=�8DCI:CIH��6A:GI��0JAC:G67A:����$B<�-G8�4��#..*� �������)-0 � � �������*#*����"������� 9������������ ������*#*�G:K:6AH�EDI:CI>6AAN�H:CH>I>K:�>C;DGB6I>DC�K>6�8:GI6>C�#..*�G:FJ:HIH�I=6I�8DCI6>C�HE:8>;>8�+/!,3�HIG>C<H�¹§¦º�

� ������%�" ��'/3'-��4,����5/��'435.040� ���

Page 70: OWASP ZAP(など)で挑む SECCON

�+3�/,�6�,�

!  ËÚ¤²\¡ÌÛb±aÆ�ĎļĄŮ�«Ö̼Ö�!  $00,ͽ»�ĎļĄŮ�Źş�!  Û¬¦µÁ�ëǹƄ�Zǃ�ųpǗl�±aÆ�ƣļ�

!  ݵÐàµ�ëǹƄ�Zǃ�ųpǗl�ËÚ¤²\¡ÌÛ�ƣļ�

!  òĢŖĽ�!  DŽ`�ŖĽÇºaàŸǂǺ�±aÆ�ƣļxZݵÐàµn�ȬȅĴ�ŷƔ�ŖŠ�� ������%�" ��'/3'-��4,����5/��'435.040� ���

Page 71: OWASP ZAP(など)で挑む SECCON

�+3�/,�6�,�

� ������%�" ��'/3'-��4,����5/��'435.040� ���

Page 72: OWASP ZAP(など)で挑む SECCON

�JHCD8G�

!  /-(£à´¥¬³Ùà�ŖĽ�ƈĚ�

!  ȬȅĴoNJƌz��c�!  ÀaºÎaµŞŇ�ǺƨZȨħ�

!  �)/ZØa²\ĻƠZÀaºÎaµZ¿aËÜZ©ÚÓZÝ°aÂ�

!  ǶńĦŲ�! Ž³×Ěv�~ǵßaÂ�À°aÂ�! ƽ¬Â¡�±aÆ�¡½ÌÞaÂZ/-(°ÑàÂ�+/°ÑàÂ�Ęí�

� ������%�" ��'/3'-��4,����5/��'435.040� ��

Page 73: OWASP ZAP(など)で挑む SECCON

�JHCD8G�

� ������%�" ��'/3'-��4,����5/��'435.040� ��

Page 74: OWASP ZAP(など)で挑む SECCON

�'8C@�(@ELO�

!  ·«×Û¿¢ȇƘ�ƈĚx~(@ELO�!  Œŀ�ŖĽ¾aÜo£àµÁaÜŌ��

!  ?KKGJ���NNN�B8C@�FI>�

� ������%�" ��'/3'-��4,����5/��'435.040� ���

Page 75: OWASP ZAP(など)で挑む SECCON

YǦǩƹƮ])<K8JGCF@K89C<�

!  Ȭȅ�ť�ř���j�ūǥ�!  ƫj¹ÊÁ¤¥¡oŒŀȠǑ�!  »Ô�ĸĂ�!  �p�Džj3<9¡ÌÛ®a³Ùà�

!  Ƨǻś�!  ?KKG���JFLI:<=FI><�E<K�GIFA<:KJ�D<K8JGCF@K89C<�TC<J�)<K8JGCF@K89C<���

!  ȓƺƹƮ�¯µÁ+/Ê £Ü�Ƨǻ�

� ������%�" ��'/3'-��4,����5/��'435.040� ���

Page 76: OWASP ZAP(など)で挑む SECCON

Y+3�/,�)LK@CC@;8<�

� ������%�" ��'/3'-��4,����5/��'435.040� � �

Page 77: OWASP ZAP(など)で挑む SECCON

Y 23��

� ������%�" ��'/3'-��4,����5/��'435.040� ���

Page 78: OWASP ZAP(など)で挑む SECCON

Y%,���GG#F8K�

!  ȬȅĴĕƶġǩ¾aÜ�!  %,�oĔø\ƧǻdáæƬ_e�!  3@E;FNJé�ĘíZËÚ¤²�ġǩ�!  ?KKG���NNN�@G8�>F�AG�J<:LI@KP�MLCE�8GG>F8K��

� ������%�" ��'/3'-��4,����5/��'435.040� ���

Page 79: OWASP ZAP(など)で挑む SECCON

�����

!  ĎļĄŮ�¡ÌÛ�Zǽ��ZųpǗl���ĀŦ��!  ǝŴ�ȘǨĚZ±aÆ�¡ÌÛ�ƚſôƛ�

!  �{�òôƼ��p�ŖĽ��!  ƔǴ¾aÜ�s��÷�s����

!  ńĝ¹ÊÁ¤¥¡�ǝŴ�Æa´ÙࡽÌ�!  ȬȅĴŞŇ�ƁƊZǐŢZǝŴ�ǫć�

� ������%�" ��'/3'-��4,����5/��'435.040� ���

Page 80: OWASP ZAP(など)で挑む SECCON

�����

!  �0"m�x�j�_�!  ȝǎ�Ęǀ�Ȓ�~ūƴ°à¿à¾�!  ç�����Ljî�ŭŚz�ĺ�Œŀ�

! ±aÆ\ĽÁßa¬¦à´Ã¡���!  +3�/,�6�,�ŝs�jıŅ�ƍĉi�s�c�

� ������%�" ��'/3'-��4,����5/��'435.040� ���

Page 81: OWASP ZAP(など)で挑む SECCON

�ȃȄšî�

!  űƅåïÚ½¬�!  /!��+*������ƕƢâå��! !���$�((!*#!oĔǪv��x~_�

!  ?KKG���NNN�C8:�:F�AG�9CF>�:8K<>FIP�J<:LI@KP����������?KDC�

!  űƅåï�áċ³µ¿Ó¶�!  $%/5/�&FLIE8C�2FC����!  ?KKG���NNN�J?@<C;�E<�AG�JJI:�:FEK<EKJ�;F:�$%/5/&FLIE8C2FC����G;=�

� ������%�" ��'/3'-��4,����5/��'435.040� ���

Page 82: OWASP ZAP(など)で挑む SECCON

Y�

��

i�o�kuwj�x~��

�����y���

� ������%�" ��'/3'-��4,����5/��'435.040�