本当にあった怖い脆弱性の話

PHPerkaigi 2022 Day2 Track B

[Crone]

市役所の方が低期間低コストで作りました、ってのを聞くたび応援しつつもセキュリティインシデントはすごく心配してる。良かれと思ったのに怒られて、組織が逆に保守的になって改善から遠ざかってしまうから。

[jaguarsan]

ここで紹介されてんの、どれも仕様の脆弱性なのでツールだと見つけらんないんだよな。CSRFならギリギリ。ツール流すしかしない業者だと見つけらんないよ

[hatest]

逆に怖くない脆弱性ってあるの？

[ozomatli]

外部公開するサービスは絶対第三者機関による脆弱性チェックを受けるべき

[pandafire]

こういうの悪いけど聞く分にはむっちゃ楽しい。私も暴露したいすごい脆弱性の話いろいろある。

[oldriver]

「平文NG」というと「暗号化すればOKやな」となるので間違い。本当に言うべきは「可逆暗号」「不可逆暗号」かと。

[Rishatang]

GitHubのissueとかに画像貼るとプライベートリポジトリでもパブリックなURLで生成されるけど、あれ誰も何も言わないなとは思ってる

[kamezo]

半分も理解できたか自信がないが「これぐらいのwebサービス、ちゃちゃっと作れるよね」みたいなことを言い出す人に見せるのにいいかもしれない。怒られるかな。

[homarara]

パスワードを平文保存しなくたって、悪意の管理者がDBにアクセスできる時点でどうにもならんけどね。

[kazuau]

自分なら、たとえこのクライアントがいいよと許諾しても自分の名前を出して公開できないなこれは

[nilab]

「PHPerkaigi 2022 Day2 Track B」

[ockeghem]

仮パスワードのみ初回ログインまで平文保存すると書いてありますが、仮パスワードを発送したら後はハッシュ値のみでいけますよ

[maruiboushi]

アップロードされた画像のURLが十分に推測されにくく漏洩もしないなら原理的には安全なはずだが、まさにその特性を持つのがセッションIDなのでそこに抱き合わせてしまうのが良いのはそう。

[indication]

無意識にやってしまっていないか、そこを注意したい。

[a96neko]

見てる

[versatile]

色々あるよね。みんな時間がない中、限られた自分の知識を総動員して頑張って作ってるが、それでも考慮もれは出る。人間だもの

[NOV1975]

「証券会社というセンシティブ」ここ、多分間違ってる。経験上、銀行以外はそこまでセンシティブじゃなかった。証券会社なんてスピード重視だよ。

[yuzuk45]

勉強になります

[fashi]

最近DBのパスワードはハッシュ化されてるのにデバッグログに平文載ってるシステムを見た

[Finding]

いや怖いのは分かったけど…エンジニアって大変すぎない？ これ全部分かってちゃんと作れる人は、ちゃんと稼げてる？

[programmablekinoko]

もうログインとかURLルーティングを面倒見てくれるWeb用のDSLを作ったほうが良いと思うんだよな。フレームワークは絶対に抜け穴がある

[nkym_san]

こんなことあるんだ・・・

[sisicom]

入らないように

[fut573]

守秘義務がなければこの手の３つくらい書きたい。

[door-s-dev]

パスワードの平文保存はユーザー側がこうゆうサービスを使わないとかにならないと無くならんやろね

[knok]

github issueの画像も誰でも見られるんだよね…と書こうと思ったら既に同じコメントがあった

[sds-page]

個人情報扱うWebシステム触りたくない。金勘定扱うのはもっとやりたくない

[hubtoyo]

こ、これはあれだよね。個別の例はそれぞれ別のシステムで実際にあった案件で、それらを寄せ集めて証券会社のシステムというストーリーに仕立てたんだよね？ね？ね？

[daruyanagi]

ヤバすぎんだろ……背筋寒くなったわ

[hihi01]

素人の私でも怖さが伝わります。

[sisya]

しかもこれ、自社開発でコーダーがまずいことを指摘しても設計側が「コストがない」という理由で握りつぶすような話も多々耳にするので、資金不足でユーザにリスク背負わせる設計者には滅んでほしいと思う。

[tivrsky]

勉強になります。。

[tianbale-battle]

ホラー

[napsucks]

セッション管理周りはほんと危ないよね。逆に固めすぎると戻るボタンでエラーになるという悪罵したくなるようなUIデザインになるけど。

[at_yasu]

せめて owasp の資料を読んでから開発しようって言いたくなる…本当に…

[zyzy]

PHPはともかくWordPressはよほど本体に詳しくないと金のやりとりが絡む奴には使いたくないな……

[rrringress]

あわわわ

[slash_01]

怪談話するには季節がちょっと早いかなぁ。