雑記
【セキュリティ】これで君もスタバでドヤ顔。 ~脆弱的Webサイト（OWASP Juice Shop）へのハッキング方法~
John
公開日:2024/02/29
こんにちは。
宅配便にて
連続して三回、注文したものと違うものが届いたことのある john です。
ここまで来ると、正直記録狙いますよね。
はい、前置きはさておき。
今回のテーマは
黒い画面でカタカタ。。。
そんなハッキング（？）方法は以前ご紹介致しましたが、
今回は
前述したテーマにて
セキュリティ的知識の向上 = ハッカーの攻撃方法を理解
について取り組んでみました。
利用技術についてはこんな感じです。
さてさて
本家から参照/翻訳ツールを介した文章そのままですが
英語特有のユーモアな説明がなされています。
※公式サイトはこちら
https://owasp.org/www-project-juice-shop/
OWASP TOP10 と称される、WEBアプリケーションにおけるセキュリティリスクを体験できるWEBアプリケーションです。
OWASP TOP10とは。。
WEBアプリケーションにおけるセキュリティリスクTOP10の通称とのことで、
ざっくりとした説明は次の通りです。
A01:2021-Broken Access Control
アクセス制御の破損_セッション制御など
A02:2021-Cryptographic Failures
暗号化障害_平文で通信など
インジェクション(XSSも含む)_想定されていない挙動を誘発など
セキュアな設計_ログを取得していないなど
A05:2021-Security Misconfiguration
セキュリティ構成ミス_不要なコンポーネントなど
A06:2021-Vulnerable and Outdated Components
脆弱コンポーネント
A07:2021-Identification and Authentication Failures
認証失敗_証明書やCAPTCHAなどの設定不備など
A08:2021-Software and Data Integrity Failures
ソフトウェアとデータの整合性障害_正しいライブラリへのアップデートなど
A09:2021-Security Logging and Monitoring Failures
セキュリティログとモニタリングの失敗_主にはアクセスを管理していないなど
A10:2021-Server-Side Request Forgery
サーバーサイドリクエストフォージェリ_WAF、ファイヤーウォール突破など
そういったこれらの脆弱性をもりもりに盛り込んだWebサイト”juice Shop” ですが、
何をどうしていいかわからない方への一歩目だけ、今回は説明しようかなと思います。
ゲーム性の一貫として “スコアボード” なる機能が実はこのサイトには実装されており、
それを出すところが一歩目のハッキング、といったところと思われます。
ここからは詳細は説明せず、
ヒントとなる情報をざっくりとした内容でつらつらと書いていこうかと思います。
（どれも詳細まで説明してくれてないじゃないかって意見は一旦スルーします。笑）
利用技術で記載していた内容も実はヒントだったりしていて、
Node.js、サーバーサイドでjavascriptを実行環境
Express、Nodeで利用出来るWEBフレームワーク
AngularJS、フロントエンドフレームワーク
といった内容なので構成がほぼ Javascript で組まれていたりします。
※前情報がなくとも、どの技術を利用しているか確認できるツールなどの利用(例としてはWappalizer等)によって確認することが出来たりもします。
Javascriptは
デベロッパーツールを用いてデバッグ（Breakpointを置くなどしてオブジェクト情報の確認）が行えます。
ならば
それっぽいメソッド（this.scoreBoardVisible）などに
それっぽいパラメータ（True：override）を仕込んでみると。。
これであなたも
スタバでドヤれる小ネタが増えたかと思います。
このスコアボードを細かく見ていくと
トロフィー制度のような機能を有していて、
脆弱性のある箇所のヒントが載っていたりするので
気が向いたときにでもぜひ遊んでみてください。
今日のところはここまでです。
今後ともどうぞよしなに。
