
Node.js+NestJSのディレクトリ説明
node_modules npmなどのパッケージマネージャが、依存パッケージを実際に展開して配置するフォルダです。node_modulesディレクトリ内のモジュールは、Node.jsのrequire()/import解決 […]
続きを読む Node.js+NestJSのディレクトリ説明node_modules npmなどのパッケージマネージャが、依存パッケージを実際に展開して配置するフォルダです。node_modulesディレクトリ内のモジュールは、Node.jsのrequire()/import解決 […]
続きを読む Node.js+NestJSのディレクトリ説明前提 内容 Nest CLIのインストール 新規プロジェクトの作成(下記のいずれかを実行) CLI が src/ ディレクトリと主要な 5 ファイル(app.controller.ts, app.service.ts, […]
続きを読む Node.js+TypeScriptで開発するときのセットアップ1) 競合する NodeSource パッケージを削除 2) NodeSource リポジトリを無効化(事故防止) 3) DNF キャッシュをクリア 4) モジュールを再度選択してインストール 5) 動作確認
続きを読む Node.jsバージョンアップ備忘録パストラバーサルを実行するときに覚えておきたい事項として、ブラウザを利用してパストラバーサルを行うのは面倒くさいということです。パスの正規化がRFC上、MUSTだった記憶があるため、../../とつけていると、それらは削 […]
続きを読む PortSwigger-PathTraversalあるCTFの問題の解法で、X-Forwarded-Hostを使うものがありました。いろいろ調べていると、X-Forwarded-Forの派生ヘッダのようでした。 改めてXFFに関するMDNのドキュメントを読むと、以下の記 […]
続きを読む X-Forwarded-***は古いのか知識がないと解けない問題でした。自分は考えても答えがわからなかったです。 これに書いていますが、制御できる入力によって動的にURLを生成される場合に脆弱性が生まれます。https://portswigger.net/we […]
続きを読む PortSwigger-Password reset poisoning via middlewareまず、与えられたアカウント情報でログインをします。すると、以下のCookieが払いだされていることがわかります。 「d2llbmVyOjUxZGMzMGRkYzQ3M2Q0M2E2MDExZTllYmJhNmNhNzcw […]
続きを読む PortSwigger-Brute-forcing a stay-logged-in cookie単純なやり方ではクリアできない問題でした。まず、以下の仕様が問題になりました。 このやり方がわかりませんでしたので、存在する解法を参考にやりました。 BurpSuite BurpSuiteの機能を使って自動化します。ht […]
続きを読む PortSwigger-2FA bypass using a brute-force attackまず、WritesUpを進める前に、BurpSuiteのIntruderの攻撃タイプとして、以下があります。 BurpSuiteのAttack Typeはいくつかあります。 ・Sniper attackPayloadに値 […]
続きを読む PortSwigger-Broken brute-force protection, IP block(BurpSuite WritesUp)PortSwiggerのWeb Security Academ>Authentication Vulnerabilities>Password-basedのUsername enumeration via differe […]
続きを読む PortSwigger-Username enumeration via different responses(OWASP ZAP WritesUp)環境前提 検証環境は下記を想定します。 事前にやっておくこと 検証のために下記は事前に決めておいてください。 ※本記事ではCAのFQDNを [ ca.example ] 、CommonName/SANは [ exampl […]
続きを読む HSTS(HTTP Strict-Transport-Security)の検証環境セットアップ前回はHSTSについて取り上げました。今回はHSTS有効化時に必要になる検証事項などを取り上げています。私の知見をベースにしているため、環境に応じて検証事項を変更してください。次回はHSTSを検証する一連の設定方法を紹介 […]
続きを読む HSTS有効化時に確認するべきことエンジニアです。技術力向上のため、安全確保支援士試験をたまに解いています。 出典:令和5年度 秋期 情報処理安全確保支援士試験 午後問題 問1 問題を読んでいきます。 Webアプリケーションプログラムについての問題が来ま […]
続きを読む 令和5年秋季 情報処理安全確保支援士試験 午後1 問1 現役セキュリティエンジニアが解いてみた(解説もあるよ!)Windows環境でのHTTP/HTTPSリクエスト送信には通常ブラウザやPostmanが用いられますが、制限がある場合にはコマンドラインからの送信が便利です。ここでは、PowerShellを使用したリクエスト送信方法を紹介します。
続きを読む Windows環境でコマンドラインからHTTP/HTTPS通信をする(2)Windows環境でのHTTP/HTTPSリクエスト送信には通常ブラウザやPostmanが用いられますが、制限がある場合にはコマンドラインからの送信が便利です。ここでは、curlを使用したリクエスト送信方法を紹介します。
続きを読む Windows環境でコマンドラインからHTTP/HTTPS通信をする(1)