かわろぐ

技術、ボルダリング、セキュリティ、その他もろもろ

MENU

Security

情報収集可視化ツール Maltego を使ってドメインの情報を収集してみた

環境 Kali Linux 2 Maltego Kali Linux Edition 4.0.11 Maltego とは? Patervaが開発、販売している情報収集可視化ツールです。 Kali Linuxにインストールされているバージョンはフリー版とほぼ同等の物です。ですので、paterva のアカウントをつくってログ…

Nikto を使ってWebサイトの脆弱性をチェックしてみる

環境 Nikto2 2.1.5 Kali linux Bad Store Nikto とは Nikto とはオープンソースの Web サーバと Web アプリを対象とした脆弱性診断ツールの一つです。WebアプリにあるXSSやSQLインジェクションなどの脆弱性はもちろんのこと、Webサーバを始めとしたミドルウ…

theHarvester を使ってドメインから情報を収集してみる

theHarvester とは? python で作られた、ドメイン名からメールアドレスやサブドメイン、PGP鍵、仮想ホストやオープンポート、はたまたGoogleなどの検索エンジンから従業員の名前などを発見するためのシンプルなツールです。 ドメイン名から情報収集してみる…

書評:サイバーセキュリティプログラミングを読んだ

サイバーセキュリティプログラミング ―Pythonで学ぶハッカーの思考作者: Justin Seitz,青木一史,新井悠,一瀬小夜,岩村誠,川古谷裕平,星澤裕二出版社/メーカー: オライリージャパン発売日: 2015/10/24メディア: 単行本(ソフトカバー)この商品を含むブログ (…

CeWL でカスタムワードリストを作ってみた

環境 kali linux 2 CeWL 5.3 注意:自分の管理している環境に対してのみ実行するようにしてください。 CeWL とは CeWLとは、ターゲットとなるWebサイトからワードリストを作成するRubyのプログラムです。クロールの深さ等が設定でき、パスワードクラッカーの…

WPScan を使って OWASP BWA をスキャンしてみる

環境 kali linux 2 WPScan 2.9.2 OWASP Broken Web Application WPScan とは WPScan とは Wordpress 用の脆弱性スキャナーです。オープンソースなので誰でも自由に使用することが出来ます。 ※ このツールは自分の管理下、もしくは書面で許可を取った対象にの…

kali linuxで Metasploit がインストールされているディレクトリ

環境 kali linux 2.0 Metasploit のインストールディレクトリ Metasploit は Rapid7 が提供している侵入テスト用のツール群です。 kali linux にはデフォルトでインストールされています。 スタンドアロンのペイロードを作るときにテンプレートとなる exe な…

RuCTFE 2016 に挑戦した!

2016年11月12日 19:00 ~ 13日 04:00 で開催されたロシアのCTF、 RuCTFE 2016 に大学院の有志メンバーにて参加しました。このCTFはオンラインの attack&defense 形式です。今年から少しJeopady (クイズ)形式の問題も追加されていました。 2014 年にも一度挑戦…

AVTOKYO 2016 に参加した

AVTOKYOって? 公式サイトにもありますが、コンピュータセキュリティに関する発表と、気楽に情報交換をするカンファレンスイベントです。 渋谷周辺のクラブを貸し切って開催することが多く、ここ数年はT2 SHIBUYAで開催されています。 no drink, no hack. と…

CDIR Collectorで保全したデータのタイムラインを取得してみた

環境 Windows 10 CDIR Collector v1.1 log2timeline (plaso) CDIR Collector で保全したデータを解析する 前回の データ保全ツール CDIR Collector を使ってみた で CDIR Collector を使ってデータの保全をしました。 イベントログはそのまま Windows 標準の…

データ保全ツール CDIR Collector を使ってみた

環境 Windows 10 CDIR Collector v1.1 CDIR Collector とは? サイバーディフェンス研究所が開発した、オープンソースのデータ保全ツールです。 インシデント対応の初動に、専門知識がなくても簡単にデータ保全ができるように作られています。 現在の対象は …

書評 : DeNAのサイバーセキュリティ Mobage を守った男の戦いの記録を読んだ

DeNAのサイバーセキュリティ Mobageを守った男の戦いの記録作者: 茂岩祐樹出版社/メーカー: 日経BP社発売日: 2016/09/22メディア: 単行本この商品を含むブログ (1件) を見る 記録と熱い思い 技術的な細かい話よりも、セキュリティ部の立ち上げや CSIRT の立…

Cain & Abel で自分の Windows のパスワードをクラックしてみた

環境 Windows 10 Cain&Abel 4.9.56 Cain & Abel って? Cain & Abel とは、Windows の GUI で操作できるパスワードクラッキングツールです。 昔からある定番ツールで、ローカルのアカウント情報から、ネットワークのスニッフィング、中間車攻撃など、クラッ…

peepdf を使って攻撃コードの入ったPDFを解析してみた

環境 kali linux 2 peepdf 0.3 peepdf って? python で作られている PDF 解析ツールです。解析するだけでなく、もし、脆弱性を突くようなコードが埋め込まれていた場合はその脆弱性情報も合わせて表示してくれます。 Cuckoo や Thung などでも使用されてい…

Windows 標準のコマンドでファイルハッシュを取得する方法まとめ

ISO ファイルをダウンロードした時や、マルウエアの疑いがあるときにファイルのハッシュを取得したい事ってありますよね。今まではファイルを右クリックしてプロパティにハッシュを表示してくれる HashTab を入れて使っていました。 でも、環境が変わった時…

Inbox でフィッシングメールのアイコンが釣り針だった

Inbox を使っています Gmail のインターフェイスは通常のUIではなく Inbox を使っています。こちらの方が、生産性というか、メールを処理するスピードが上がった気がします。もっと早く Inbox を使えばよかったなぁと。 詳しい使い方はこの記事では解説しま…

Seccon 2015 online writeup Connect the Server

今年も参加しました Seccon のオンライン予選。チームとしては1000 点で 174位タイだった様子です。一通りすべての問題には目を通しましたが、binary わかんねぇー!というわけで解けた問題の WriteUp 行きましょう。 WriteUp Connect the Server 100 点問題…

AVTOKYO 2015 に参加した

今年も去年に引き続き、AVTOKYO に参加しました。 AVTOKYO は企業スポンサーをつけず、有志で行っているコンピューターセキュリティのカンファレンスイベントです。 当日の発表者はこちら から御覧ください。発表内容についてはちょいちょいオフレコの部分が…

AVTOKYO 2014 に参加した

2014年11月15日に開催された AVTOKYO 2014 に参加してきました。去年から参加しだして2回目の参加です。 No drink, No hack. をテーマにした、お酒を飲みながらセキュリティについて語り合う場所です。今年はハードウエアをいじるスペースがあったり、簡易CT…

江戸前情報セキュリティ勉強会に参加した

2014年07月05日に開催された、江戸前情報セキュリティ勉強会に参加しました。 まずは自己紹介タイム!ということで、まっちゃだいふくさんの関わる別の勉強会に出たことがあるので、全員にマイク回してやるのかと思ったらさすがに100人近い人数がいるので、…

りそな銀行のフィッシングメールっぽいものを調べてみた

注意 壊れても構わない環境で、普段使っている情報の入っていないブラウザからアクセスしています。 何があるかわからないので、普段の環境からのアクセスせず、このようなメールを受け取ってもすみやかに破棄することをおすすめします。 アクセスしてみた …

Defcon CTF 2014 qualsに挑戦した!

5月17日~5月19日に開催されたDefconCTF2014qualsに今年も挑戦しました。今年は東京から少し離れた研修所で合宿形式で合宿場所に行く際に、乗っていた電車が人身事故にあい、1時間以上途中駅で立ち往生しました。迂回するにもその手段がなく…CTFが始まってプ…

CSAW CTF 2013 Qualification Round に挑戦した (with Write Up)

概要 CSAW CTF 2013年9月19日 18:00 〜 9月22日 18:00 (EDT) 入門レベルのCTFの大会 今年で10年目 決勝ラウンドへはUS,Canadaのチームのみ出場可能 CSAW CTFに挑戦して 大学院で結成した有志のチームで引き続き参加しました。入門レベルのCTFだけあって簡単…

Gmailアカウントへの不正アクセスで流れてきたメールのURLにアクセスしてみた

はじめに 昨年末からインターネット上で騒がれているGmailアカウントへの不正アクセス1, 2ですが,これが原因で送信されたであろうメールが自分のところにも来ました.スパムメールに記載されていたURLの先に興味があったので,調査した結果とGmailを乗っ取…

まっちゃ445勉強会に行ってきた!

いつどこで? 2011年10月22日 情報セキュリティ大学院大学 まっちゃ445勉強会ってなによ? 都内で行なっている情報セキュリティ関係の勉強会です.今回は自分の通っている大学院で開催される上,研究と関連ありそうなモバイル系マルウエアのお話もあるという…