Nick Security Log

securityを始めとしたNickのブログです

ウィークリーバグバウンティレポート vol.3

f:id:NickShadows:20200111120127j:plain

1/18~1/24のまとめです。

注意事項

ここで記載されている記事は脆弱性診断士としての技術向上を目的として確認した記事です。
ここで得た知識はバグハントや脆弱性診断などの研究や調査のみに使用するものとし、悪用は厳禁とします。

脆弱性情報

CVE-2019-19781 - Vulnerability in Citrix Application Delivery Controller, Citrix Gateway, and Citrix SD-WAN WANOP appliance

CitrixのRCEの脆弱性が解消されたとのこと。
検証する予定。

標的型攻撃で悪用されたInternet Explorerの未修正の脆弱性CVE-2020-0674についてまとめてみた - piyolog

CVE-2020-0674についてのpiyokangoさんのまとめ。
IEのメモリ関連のバグを利用したRCE。

パッチは出ていなく、悪用事例が確認されている。

回避策は「jscript.dll 」へのアクセスを制限するとのことだが、今IEを使用している組織がこんな回避策を取れるとは思えない。

現実的なところ、自組織が悪用の対象にされないことを祈るしかないのではないか。

その他参考
Microsoft Internet Explorer の未修正の脆弱性 (CVE-2020-0674) に関する注意喚起

公開されたレポート

How I discovered an interesting account takeover flaw?

使用されているアルゴリズムを特定したAccount Takeover。
頭を使っている感があって面白い。

Creating malformed URLs via new line character in-between two URLs leads to misrepresented hyperlinks in Tweets/DMs

TwitterのCRLFインジェクション。
DMなど普段使用している箇所で発生したことが驚いた。
信じすぎず、疑いすぎずが大切。

Arbitrary file read via ffmpeg HLS parser

ファイル名のパストラ。
SSRFも可能とのこと。

Subdomain takeover of storybook.lystit.com

Bypass Mobile PIN Verification - Sourav Sahana - Medium

モバイルのPIN保護バイパス。
やられアプリでやったようなことが役に立つ。

Client side validation strikes again: PIN code bypass !

目からウロコの認証バイパス。
レスポンスを改ざんすることで回避可能になる。

リソース

Bug-bounty/bugbounty_checklist.md at master · sehno/Bug-bounty · GitHub

他の方のバグバウンティチェックリスト。
良さげなところは使わせてもらおう。

Beginner Guide | How to start Vulnerability Assessment and Penetration Testing (VAPT), Bug Bounty.

バグバウンティの始め方。
この方は外部勉強用リソースやCTFを活用することを勧めている。

#Beginner Guide | How to get started in CTF - Harshit Sengar - Medium

CTFの始め方。
CTFは詳しくないが、たぶん結構な情報がつまっていると思う。

その他

Threatpost Poll: Are Published PoC Exploits a Good or Bad Idea? | Threatpost

pocを公開すると悪用されてしまうのか?ということについてのアンケート。

個人的には、既に修正されたものなら研究用として良いと思っている。
類似の脆弱性を防げるかもしれないから。

WHAT? HOW? 28 questions about BUG BOUNTY answered!

STÖKによるQA動画。
長くて見れていない。

Announcing the 2020 Metasploit community CTF

Top 10 web hacking techniques of 2019 - PortSwigger

2019年のWebハッキング手法投票。
難しそうな内容ばかりで、この分野はしばらく楽しめることがわかった。

Microsoft、ソフトの動作を理解するコード分析ツールをオープンソースで公開 | マイナビニュース

MSの静的解析ツールがオープンソースで公開された。

これを見て、ソースコード関連のバグバウンティも出来るのではないかと思い始めた。
実際はわからないが、きっかけとしてなら既に役割を果たしている。

Subdomains Enumeration: what is, how to do it, monitoring automation using webhooks and centralizing your findings

サブドメイン列挙の自動化。
作ってしまえばいち早くそのサブドメインを見れるし、takeoverも検証できる。

Burp Suite roadmap for 2020 | Blog - PortSwigger

Burpのロードマップ。
Intruderの強化やUIの強化はありがたい。

Notion – The all-in-one workspace for your notes, tasks, wikis, and databases.

今週から使用し始めたメモアプリ。
ボード形式が使用でき、階層的にテキストを管理できる。
Markdownも使える。今の所サイコー。

CyberTruck Challenge 2019 — Android CTF - InfoSec Write-ups - Medium

androidのCTF。
この記事で存在を初めて知った。