さんぽしのBLOG

さんぽしのBLOG

非理系の大学生が頑張りに頑張り抜いてエリートエンジニアになるシンデレラストーリー(予定)です。

脆弱性を直して学ぶ!Webセキュリティハンズオン by Recruit に参加した話

こんばんは さんぽしです。

本日5/16に脆弱性を直して学ぶ!Webセキュリティハンズオン by Recruitというイベントに参加したので、軽くですが参加記を残しておきたいと思います。

セキュリティを学べるようなイベントは(僕の観測範囲だと)少ない気がするのでとても楽しかったです!!

どんなイベント?

イベントタイトルそのままですが、事前課題となるリポジトリを与えられて、そこに残された脆弱性を修正する、当日に脆弱性一つ一つ解説してもらう、といったイベントでした。

また、僕が一方的に知っている方などの豪華解説陣となっていて、とても貴重な機会だなぁ…と感動していました。

以下が事前課題となっていた、いわゆるやられアプリBadsnsです。

github.com

見ての通りRailsのアプリで、この中に計20個の脆弱性が存在します。

元々Recruitで新卒研修に用いられるものだそうです。

事前課題に関しては僕は締め切り直前に申し込んだということもあり、全く手を付けられず当日イベントに参加しました。割と同じ理由で手をつけてない人が何人かいて安心しました。

誰かがWriteUpをあげる的なことをいっていた気がするので、詳しく知りたい方は誰かが上げてくれるWriteUpをお待ちください…(人任せ)(僕は軽く目を通しただけで自分で一つも解いてないので…)

内容に関して

脆弱性は簡単なSQLiやディレクトリトラバーサルから、SSRFなどの珍しい(気がする)ものまで豊富なバリエーションのものが存在しました。

Railsのopen関数などの仕様を利用したものなどもあり、Railsをにわかなりに扱うこともあるので、アプリの実装側としてもこれは注意しないと自分で脆弱性作っちゃうな…と感じました。

またSSRFに関しては僕は知識としてしか知らず、実際にどのようにSSRFを利用した攻撃が行われるかなどがわかっていなかったため、攻撃例やクラウド環境を交えた悪用のされ方/対策などとても学びが深かったです。

僕は普段からHack the Box、時々CTFといった感じで攻撃側に回ることが多く、

脆弱性があることがわかりゃ後は攻撃するだけ!中身の実装がどうなってて脆弱性が生まれてるかなんて知らん!w」

といった感じだったのですが、実際に実装の際に気をつけるべき点や脆弱性の原因となっている実装など、普段の↑のようなことをしていては学びにくい内容を経験できました。

当日の僕のツイートを載せておきます、

終わりに

イベントに際して、3000円分のUberEatsなどで使えるギフトがもらえたりしたのですが、むしろ3000円払ってでも参加したいくらいの濃い内容でした。

3時間の濃密な解説本当にお疲れ様でした & ありがとうございました!!