バグハンター・にしむねあ氏特製“脆弱性たっぷり”Webアプリを半日でどこまで「堅牢化」できるか？ - はてなニュース

2017年7月某日の朝9時、デジタルコンサルティング事業などを手がけるSpeeeのオフィスにエンジニアたちが続々と集まってきた。エンジニアたちに向けて提示されたのは、リクルートテクノロジーズ シニアセキュリティエンジニアの西村宗晃氏（にしむねあ氏）いわく「Ruby on Railsで頑張って書いた、脆弱性てんこもりのソーシャルメディアアプリケーション」。そこから半日かけてそのソースコードを修正し、どれだけ堅牢化できるかに取り組むユニークな勉強会が行われた。 （※この記事は、株式会社リクルートテクノロジーズ提供によるPR記事です） クロスサイトスクリプティング（XSS）やSQLインジェクション、ディレクトリトラバーサルといったWebアプリケーションの脆弱性について、知識としては知っているエンジニアが大半だろう。だがこの勉強会では、にしむねあ氏がGitHubで公開したソースコードを目で見て確認

[leminhvn2015]

https://www.facebook.com/MizukiParksg/posts/286524905165180

[himesamaatsukai]

すげー勉強になった。また読みたい。あとでめちゃ読む

[masatomo-m]

フレームワークのセキュリティ機構があってもそれをスルーする書き方をされると脆弱性仕込めるからなあ。特に脆弱性はある程度知識を得た上で経験も積まないとコードから漂う脆弱性スメルを感じ取るのは難しいよね

[toya]

「にしむねあ氏は、レッドチームによる攻撃を通じ、リスクベースの考え方を持ち込むことで「建設的な議論のための土壌ができるのが大事だと思うんです」と述べた」

[kirifue]

セキュリティ企業も使う「Burp Suite」は欠かせない脆弱性診断ツール。リクエストに対して複数の値を連続して送り、レスポンスを受け取れたりする。参考本はこちら-> http://amzn.to/2w8smgb #開発

[digo]

バグハンターって肩書きカッコイイな。ヒアリもdebugしてほしい。

[Arison]

バグを見つけたあとの修正まで行うのは実用的。バグを見つけて、さてどうしようから始まること多いので。現場で役立ちそう。

[huy-buithohoang]

それはあなたのために必要なのですか？ https://namlonghcm.com/ https://www.facebook.com/namlonghcm2017/ https://www.facebook.com/mizukiparkphianam/

[ClownEngineer]

面白いです！

[Urahito]

バグハンター・にしむねあ氏特製“脆弱性たっぷり”Webアプリを半日でどこまで「堅牢化」できるか？――セキュリティのプロが勉強会を通じて伝えたかったこと

[fumisan]

“脆弱性てんこもり”これは発想がいい！たぶん、作った本人も気づかない脆弱性を見つけたエンジニアがいそう

[Hamukoro]

（中にはチーム「1人」もあった）

[side_tana]

良さそう

[TACOMIC]

＃蛸OL　＃蛸あらん

[shikiarai]

セキュリティ担当を雇うには？　から初めてほしい

[achakeym]

虫取り少年みたい >バグハンター

[colic_ppp]

よいPR記事。

[yuma_sun]

プログラミングをするようになったら

[hiroyuki2015]

脆弱性を無くす

[h5y1m141]

気になってGitHubのサンプル見ながら脆弱性探してみた「curl -H "X-Requested-With: xxx" -X POST -F "user=') OR 1--" -F "pass=') OR 1--"」が通るのを見つけた！（環境構築からだいたい1時間位）画像アップあたり怪しそう。こういうの面白い

[gcyn]

『当たりは付いたけれど、直し方が分からなくて歯がゆかった。知識は手の動かし方とセットになっていないといけない』

[fufufukakaka]

こんな研修受けたかった

[PHILOSOPHIA_SOCIETY]

社会において、プログラム作成やセキュリティーなどの分野で、うまく正しく一般化して、技術の域に普及してほしいと思います。ボランティアで作業するバグハンターさんも大変だと思う。

[okumuraa1]

すげえなあ

[pmint]

“ビールと寿司と、反省の言葉が飛び交った懇親会”…楽しそう

[bananamanhi]

おもしろそう

[vanbraam]

文中にPR記事とあるけどタイトルには入ってないな;攻撃やhardeningは,少し特殊なスキルだと思うので,最新動向を追っている専門家の助けが欲しい.一般開発者は原理原則を押さえる事が重要だと思う

[ebo-c]

「脆弱性たっぷりWebアプリ」超神水みたいな強くなれるけれどスッゴい毒風味

[kyukyunyorituryo]

サーバーサイドは攻撃のリスクがあるからな。

[kana0355]

“あいつはセキュリティの、守りのプロだ、俺たちは開発のプロだ。後ろから鉄砲を撃ってくるのではなく、最前線で一緒に戦う仲間だ。”

[kajyuuen]

“GitHub - nishimunea/bootcampsns”