記事一覧
OWASP Top 10 攻撃シナリオまとめ
OWASP Top 10:2021 A01 アクセス制御の不備 シナリオ #1 : アプリケーションが、アカウント情報にアクセスするSQL呼出しに未検証のデータを使用しています。 pstmt.setS…
OWASP Top 10 攻撃シナリオまとめ
OWASP Top 10:2021
A01 アクセス制御の不備
シナリオ #1 : アプリケーションが、アカウント情報にアクセスするSQL呼出しに未検証のデータを使用しています。
pstmt.setString(1, request.getParameter("acct")); ResultSet results = pstmt.executeQuery( );
攻撃者は、単にブラウザでパ
バグバウンティで使えそうな手法（武器庫）
パラメータ・タンパリング
URLのパラメータとして露出している数値を改ざんすることでリクエストを書き換える攻撃。
ディレクトリリスティング
ディレクトリを指定したアクセス要求があると、そのディレクトリに含まれるファイルやサブディレクトリの一覧を送信する。
セキュリティ用語備忘録
クロスサイトリクエストフォージェリ（CSRF）
サーバー・アプリケーション側の設定ミス。
対象のサービスのセッションを持っているときに、ユーザーが悪意のあるURLにアクセスすると意図しないリクエストを特定のWebサービスに送られてしまう脆弱性。
パラメータ・タンパリング
URLのパラメータとして露出している数値を改ざんすることでリクエストを書き換える攻撃。
セキュリティ勉強メモ
目標2025年までにOSCP・CEH・CISSP取得。HTB guruかな
ついでに英語も。
セキュリティ座学編知識補給の順番
OWASP Top 10
CWE（共通脆弱性タイプ）
CVEの高スコア（共通脆弱性識別子）
OWASP Top 10で大枠を把握し、CWEで体系立てて理解、その後CVEで重大なリスクのある個別の脆弱性を把握する手法が一番良さそう。
セキュリティ実技編Webハッ