CTF

初級「はじめてのCTF」、中級「CTF実践編」に続く第3階層。CTF特有の出題テクニックではなく、実際の侵害事例・CVE・ペネトレーションテストで現役のプロが向き合う脆弱性クラスを、自分の手で安全に体験する全10話です。最終的には複数の脆弱性を1本の攻撃チェーンに繋ぎ、レッドチーム演習として通しで完遂します。

ついに最終回。これまでの9話で学んだ技術を総動員し、1つの組織への模擬侵入を最初から最後まで通しで体験します。偵察・初期侵入・権限昇格・横展開・目的達成——レッドチーム演習の5つのフェーズを順にたどり、最後は最高機密の暗号を自分の手で解いてミッションを完了させます。新しい技術は登場しません。これまでの集大成です。

ここまでの8話で、1つひとつの脆弱性クラスを個別に体験してきました。第9話では、その中から第2話のSSRF・第7話のOAuth・第8話のXXEという3つを取り出し、1本の侵入シナリオに繋ぎます。単体では「内部情報がちょっと漏れる」程度の脆弱性が、連鎖すると最終的に最高機密へ到達してしまう——現場の侵害事例で実際に起きている「攻撃チェーン」を、自分の手で組み立てます。

第7話ではOAuthのredirect_uri検証の緩さを突きました。第8話は、もっと素朴に見える機能——「XMLを受け取って処理する」だけの入力欄が、サーバーの内部ファイルを丸ごと読み出す入口に変わってしまう様子を体験します。鍵になるのは、XMLが標準で備える「エンティティ」という古くからの仕組みです。

第6話では権限の「組み合わせ」が昇格を生む構造を見てきました。第7話は認証・認可の入口そのもの——OAuthに焦点を当てます。「○○でログイン」という便利な仕組みの裏側で、redirect_uriの検証が少し緩いだけで、認可コードがまるごと攻撃者に渡ってしまうことがあります。

第5話ではタイミングのズレという「処理の隙」を突く攻撃を見てきました。第6話は少し視点を変えます。クラウド環境の「権限」そのものに注目します。1つひとつは安全に見える許可設定が、組み合わさることで本来あり得ない特権を生み出す——クラウドの侵害事例で繰り返し報告されている、地味だが破壊力のある脆弱性クラスです。

第4話まではサーバーが返す「応答の違い」を手がかりにする攻撃を見てきました。第5話は少し視点を変えます。サーバーの処理そのものに「チェックしてから書き込もまでの、ほんの一瞬の雕」があると、複数のリクエストを同時に送るだけで、本来あり得ない結果を引き出せてしまいます。この「レースコンディション」という脆弱性クラスを、残高システムを舞台に体験します。

@import url('.aig{font-family:'Noto Sans JP',sans-serif;max-width:860px;margin:0 auto;padding:0 16px;color:#1a1a1a;line-...

第2話では「サーバーにURLを信じせすぎる」問題（SSRF）を体験しました。第3話で扱うSSTI（サーバーサイドテンプレートインジェクション）は、「サーバーにユーザー入力を信じすぎる」問題の、さらに根深いバージョンです。文字列だと思って信じた入力が、実はコードそのものとして実行されてしまう——その恐ろしさを、安全に体験します。

サーバーに「代わりにURLを取得させる」機能は、ブログのリンクプレビーやSNSのOGP表示など、さまざまなサービスで使われています。しかしこの機能、URLの検証が生いと、外部には公開されていないはずの内部ネットワークやクラウドの管理用エンドポイントに、サーバー自身を「踏み台」として到達させてしまう危険があります。第2話では、この「SSRF（サーバーサイドリクエストフォージェリ）」という脆弱性クラスを使って、クラウドの内部メタデータサービスから認証情報を盗み出します。