efclのブックマーク - はてなブックマーク

SQL Injection を探せ！文字列テンプレートリテラルと Raw Query によるやらかし探し - ぶるーたるごぶりん
はじめに失敗記事です（SQLI 一個も見つかりませんでした）。前回の記事では GitHub に漏れ出たコードを GitHub Code Search を使って検索しました。 brutalgo blin.hatena blog.jp 今回は少し特殊な SQL Injection を前回同様に GitHub Code Search の力を借りて探そうと思います。特殊な SQLI とは、一般的な文字列結合ではなく、文字列テンプレートリテラルを使った結合による SQLI です（後述）失敗記事ではあるのですが、観点的には結構面白いと思うので、軽くまとめてみます。また、今回は ORM に限定して探しましたが、限定しなければ結構見つかるのかもなーと思ってます。見つけようとしたものご存知の通り、SQL Injection の一番良くあるミスは、文字列結合した SQL を発行し、そのまま In
efcl 2023/05/09
SQL Injectionの検索

SQL

security
リンク
GitHub を狙った Reverse Proxy 型フィッシングサイトの探索と報告 - ぶるーたるごぶりん
GitHub の Reverse Proxy 型フィッシングサイトの発見と報告こんにちは、でじこだにょ今回は GitHub を狙った Reverse Proxy 型のフィッシングサイトを探していこうと思います。（長いので、Reverse Proxy 型のことをプロキシ型と略しちゃいます）結論から書くと、２４件のフィッシングサイトを新規に発見して報告しました。今回はそれらのフィッシングサイトの探し方のほか、フィッシングサイトの検出方法や、セーフブラウジングなどの話をしつつ、今回見つけたフィッシングドメインに対して、簡単ではありますが、調査と考察を行ってみたいと思います。探そうとしたきっかけ数日前、 Twitter を見ていたところ、こちらのツイートが流れてきました。あっぶね GitHubだと思ったら全然違ったわ pic.twitter.com/SRtHUu3XDM— ./
efcl 2022/03/14
Reverse Proxy型のフィッシングサイトの探し方。証明書、タイトル検索、ハッシュベースの検索などについて

Github

security
リンク
セキュリティエンジニアになり、そこから2年間分の勉強内容と参考になった資料とか - ぶるーたるごぶりん
セキュリティエンジニアになり、そこから2年間分の勉強内容と参考になった資料とか自分の振り返りも兼ねて2年分の勉強内容とかをざっくりまとめようと思います。新卒からバックエンド開発を2年程行い、その後セキュリティエンジニアとして横断セキュリティ部門に異動しました。そこから更に2年が経ち、来月からセキュリティサービスの開発とかをすることになったので、もし同じような人が居た際になんとなし参考になればいいかなという意図で書いてます。ちなみにセキュリティ部門に異動するまでのセキュリティの知識レベルは「徳丸本を2回通しで読んでる」程度です。セキュリティ部門に移ってからは脆弱性診断・ログ監視・開発ガイドライン周り・脆弱性管理とかをやってました。本記事では自分自身がユーザ系の企業に属しているので、ベンダーとかそちら寄りの内容ではないです。あとできる限り社内の事情を記載しません。何が問題になる
efcl 2020/02/21
セキュリティエンジニアと資料

security
リンク
1