自己紹介はせがわようすけ OWASP Kansai チャプターリーダー OWASP Japan アドバイザリボードメンバー株式会社セキュアスカイテクノロジー常勤技術顧問 CODE BLUE Security Conference Review board member セキュリティキャンプ講師

Size: px

Start display at page:

Download "自己紹介はせがわようすけ OWASP Kansai チャプターリーダー OWASP Japan アドバイザリボードメンバー株式会社セキュアスカイテクノロジー常勤技術顧問 CODE BLUE Security Conference Review board member セキュリティキャンプ講師"

えりかいちぞの
5 years ago
Views:

1 タイトル未定 - #ssmpjp ( ハセガワナイト ) - はせがわようすけ

2 自己紹介はせがわようすけ OWASP Kansai チャプターリーダー OWASP Japan アドバイザリボードメンバー株式会社セキュアスカイテクノロジー常勤技術顧問 CODE BLUE Security Conference Review board member セキュリティキャンプ講師 (Web クラス / 高レイヤートラック ) jjencode とか aaencode とか Secure Sky Technology Inc.

3 今日の話

4 その1 - Edgeで電卓起動その2 - Electronで電卓起動その3 - X-Content-Type-Optionsのバイパスその4 - 実践 FiddlerScript Secure Sky Technology Inc.

5 その 1 Edge で電卓起動

6 Secure Sky Technology Inc. Edge で電卓起動 Edge / IE11 on Windows 10 ではデフォルトで calclator: プロトコルハンドラが有効 <a href="calculator:">click here</a>

7 Edge で電卓起動おもしろ URL ハンドラ設定画面の表示 <a href="ms-settings:"> 設定画面 </a> <a href="ms-settings:network-proxy"> プロキシ設定画面 </a> <a href="ms-settings:privacy-microphone"> マイク設定画面 </a> スタートメニュー (Cortana) の表示 <a href="ms-cortana:">cortana</a> Edge で開く (IE11 から ) <a href="microsoft-edge: で開く </a> これ以外にもたくさん Secure Sky Technology Inc.

8 その 2 Electron で電卓起動

9 ページ削除

10 その 3 X-Content-Type-Options のバイパス

11 Secure Sky Technology Inc. X-Content-Type-Options レスポンスヘッダに付与 Content-Type: text/plain; charset=utf-8 X-Content-Type-Options: nosniff これはテキストファイルです <script>alert(1)</script> IE8+ で Content-Type を厳格に扱う text/html 以外を HTML として扱うことがなくなる <script src> で JS,VBS 以外をスクリプトとして扱わなくなる text/css 以外をスタイルシートとして扱わなくなる

12 Secure Sky Technology Inc. X-Content-Type-Options <script src> で JS VBS 以外の Content-Type のものはスクリプトとして扱わなくなる Content-Type: text/html X-Content-Type-Options: nosniff //<script src=#></script> alert(1);

13 Secure Sky Technology Inc. X-Content-Type-Options のバイパス Content-Type ヘッダが存在しない場合や空の場合には X-C-T-O:nosniff が機能しない Content-Type: X-Content-Type-Options: nosniff //<script src=#></script> alert(1); Content-Type ヘッダちゃんとつけよう! 通常つけてるから問題ない

14 その 4 実践 FiddlerScript

そもそも Fiddler って何? Fiddler http://www.telerik.

15 そもそも Fiddler って何? Fiddler デバッグ用ローカルproxyツール元 MicrosoftのEric Lawrence 作スクリプトによる強力なカスタマイズ機能実践 Fiddler ISBN Eric Lawrence 著日本マイクロソフト株式会社エバンジェリスト物江修監訳長尾高弘訳 Secure Sky Technology Inc.

16 FiddlerScript 何それ Fiddler の挙動や UI をカスタマイズできるスクリプト iddlerscript/ JScript.NET (JavaScript でも JScript でもありません ) できることリクエストやレスポンスの書き換え HTTP ヘッダの追加削除表示色の変更メニュー項目の追加その他いろいろ Secure Sky Technology Inc.

17 FiddlerScript のデバッグブレークポイントを置いてステップ実行みたいなのは簡単にはできない ( たぶん ) できなくはない ( かも知れない ) Visual Studio から Fiddler プロセスをアタッチし FiddlerScript 内から System.Diagnostics.Debugger.Break() を呼び出す出来る方法知ってる人がいたら教えて! Secure Sky Technology Inc.

18 FiddlerScript のデバッグ基本的には printf デバッグあるのみ! FiddlerObject.log ログメッセージの記録 FiddlerApplication.Log.LogFormat フォーマット付きログ FiddlerObject.statusText ステータスバーに 1 行表示 FiddlerObject.alert みんな大好き alert Secure Sky Technology Inc.

19 Secure Sky Technology Inc. FiddlerScript のデバッグ FiddlerObject.log( msgtext ) Log ペインに記録される static function OnBeforeRequest(oSession: Session) { FiddlerObject.log( osession.requestmethod + " " + osession.url );... }

20 Secure Sky Technology Inc. FiddlerScript のデバッグ FiddlerApplication.Log.LogFormat ( FormatText, arguments ) Log ペインに記録される static function OnBeforeRequest(oSession: Session) { FiddlerApplication.Log.LogFormat( "p1:{0}, p2:{1}", param1, param2 );... }

21 AutoResponder 機能 AutoResponder - Fiddler の強力な機能のひとつ指定された条件に一致したリクエストのときに URL が指定されたものと一致 URL が正規表現で指定されたものにマッチ指定されたリクエストヘッダを含むなどレスポンスを生成して返す事前に指定されたステータスやファイル他のサーバへリダイレクトレスポンスヘッダの追加スクリプトの実行 Secure Sky Technology Inc.

22 Secure Sky Technology Inc. AutoResponder 機能 AutoResponder 機能を有効にするマッチしないときに上流へそのままパススルーホスト名は DNS 的に解決できる必要がある

23 Secure Sky Technology Inc. AutoResponder でスクリプト実行 public static function foo( osession: Session ){ osession["ui-backcolor"] = "red"; osession.utilcreateresponseandbypassserver(); osession.oresponse.headers.add( "Content-Type", "text/plain" ); osession.responsebody = System.IO.File.ReadAllBytes("C:/tmp/File.txt"); } のときには関数 foo を実行

24 Secure Sky Technology Inc. AutoResponder でスクリプト実行 FiddlerScript 内でリクエストに応じた応答つまり FiddlerScript だけで Web アプリ書けるんじゃね?

25 Web Apps on FiddlerScript DEMO

Secure Sky Technology Inc. FiddlerScript で Web Server public static function webserver( osession: Session ){ var documentroot:string = "c:/tmp/htdocs"; var path = osession.pathandquery.replace( /?

26 Secure Sky Technology Inc. FiddlerScript で Web Server public static function webserver( osession: Session ){ var documentroot:string = "c:/tmp/htdocs"; var path = osession.pathandquery.replace( /?.*/g, "" ); var realpath = documentroot + path; var contenttypes = { "txt" : "text/plain", "html" : "text/html", "js" : "application/javascript", "css" : "text/css" }; osession.utilcreateresponseandbypassserver(); }../ が含まれるときは 500 を応答 if( path.indexof( "../" ) >= 0 path.indexof( ".. " ) >= 0 ){ osession.oresponse.headers.add( "Content-Type", "text/html;charset=utf-8" ); osession.oresponse.headers.httpresponsecode = 500; osession.oresponse.headers.httpresponsestatus = "500 Internal Server Error"; }else if( System.IO.File.Exists( realpath ) ){ ファイルが実際に存在するとき var contenttype = "application/octet-stream"; var ext = ( /.(.+)$/.exec( path ) [] )[ 1 ]; デフォルトのC-Tは if( ext && contenttypes[ ext ] ) contenttype = contenttypes[ ext ]; application/octet-stream osession.oresponse.headers.add( "Content-Type", contenttype ); osession.responsebody = System.IO.File.ReadAllBytes( realpath ); ファイルを読み込んで返す }else{ osession.oresponse.headers.add( "Content-Type", "text/html;charset=utf-8" ); osession.oresponse.headers.httpresponsecode = 404; osession.oresponse.headers.httpresponsestatus = "404 Not Found"; ファイルが存在しないときは404 }

27 FiddlerScript で計算結果を返す public static function calc( osession: Session ){ var buf = new System.Text.StringBuilder(); var q = osession.pathandquery.replace( /[^?]*?/, "" ); var template = System.IO.File.ReadAllText( "C:/tmp/template.html" ); var ans = "invalid"; if( /^[ d ( ) + - / * s]+$/.test( q ) ){ try{ ans = eval( q ); }catch( e ){ } } buf.append( template.replace( /%(exp ans)%/g, function( s, p ){ if( p === "exp" ){ return htmlescape( q ); }else if( p === "ans" ){ return htmlescape( ans ); }else{ return ""; } } ) ); osession["ui-backcolor"] = "yellow"; osession.utilcreateresponseandbypassserver(); osession.oresponse.headers.add( "Content-Type", "text/html;charset=utf-8" ); osession.responsebody = System.Text.Encoding.UTF8.GetBytes( buf ); } Secure Sky Technology Inc. テンプレート読み込み URL クエリが数値と演算子のみなら eval で計算テンプレートの展開 Fiddler の該当行を黄色背景に結果の HTML を応答

28 Secure Sky Technology Inc. Web Apps on FiddlerScript FiddlerScript 内に Web アプリを書くことで Web サーバ不要.NET な機能を使い放題 JavaScript ぽさも使い放題 (?) アプリごとに CustomRules.js を手動で置き換え遅いデバッグしにくい

29 Web Apps on FiddlerScript Web Apps on FiddlerScript のデバッグ Fiddler をもう 1 台 Proxy for debugging Web Apps on FiddlerScript F F Burp を併用 Web Apps on FiddlerScript Proxy for debugging Secure Sky Technology Inc. システムプロキシを変更せず Fiddler を起動する

30 Secure Sky Technology Inc.

自己紹介 XSS のほうから来ました author of jjencode, aaencode

自己紹介 XSS のほうから来ました author of jjencode, aaencode ぼくたちの愛した IE8 はせがわようすけ @hasegawayosuke 自己紹介はせがわようすけ @hasegawayosuke XSS のほうから来ました http://utf-8.jp/ author of jjencode, aaencode さよなら Internet Explorer 8 Internet Explorer 8 タイムライン 2005-06 年 Ajax Web 2.0

自己紹介 はせがわようすけ OWASP Kansai チャプターリーダー OWASP Japan アドバイザリボードメンバー 株式会社セキュアスカイ テクノロジー常勤技術顧問 CODE BLUE Security Conference Review board member セキュリティキャンプ講師

自己紹介はせがわようすけ OWASP Kansai チャプターリーダー OWASP Japan アドバイザリボードメンバー株式会社セキュアスカイテクノロジー常勤技術顧問 CODE BLUE Security Conference Review board member セキュリティキャンプ講師