やさしいサイバーセキュリティ

第4話まではサーバーが返す「応答の違い」を手がかりにする攻撃を見てきました。第5話は少し視点を変えます。サーバーの処理そのものに「チェックしてから書き込もまでの、ほんの一瞬の雕」があると、複数のリクエストを同時に送るだけで、本来あり得ない結果を引き出せてしまいます。この「レースコンディション」という脆弱性クラスを、残高システムを舞台に体験します。

@import url('.aig{font-family:'Noto Sans JP',sans-serif;max-width:860px;margin:0 auto;padding:0 16px;color:#1a1a1a;line-...

第2話では「サーバーにURLを信じせすぎる」問題（SSRF）を体験しました。第3話で扱うSSTI（サーバーサイドテンプレートインジェクション）は、「サーバーにユーザー入力を信じすぎる」問題の、さらに根深いバージョンです。文字列だと思って信じた入力が、実はコードそのものとして実行されてしまう——その恐ろしさを、安全に体験します。

サーバーに「代わりにURLを取得させる」機能は、ブログのリンクプレビーやSNSのOGP表示など、さまざまなサービスで使われています。しかしこの機能、URLの検証が生いと、外部には公開されていないはずの内部ネットワークやクラウドの管理用エンドポイントに、サーバー自身を「踏み台」として到達させてしまう危険があります。第2話では、この「SSRF（サーバーサイドリクエストフォージェリ）」という脆弱性クラスを使って、クラウドの内部メタデータサービスから認証情報を盗み出します。

全10話を完走したあなたへ。ここから始まる「CTF上級編」全10話は、CTFの出題テクニックではなく、実際の侵害事例やCVEで繰り返し登場する「脆弱性クラス」そのものに向き合います。第1話は、実践編で学んだ2つの技術を使って、上級編の受講資格を自分の手で証明するウォームアップです。