ブログをHugo + GitHub Pagesに変えた

ブログをHugo + GitHub Pagesで運用することにしました。 10年以上WordPressでブログを運用していたのだけど、わざわざ専用のサーバを用意したりWordPressの更新を時々見たりするメリットもあまりないなと。

[Read More]

CSP Embedded EnforcementでXSS mitigationをbypassする話

なに

CSP Embedded Enforcementを使って、JavaScriptで書かれたXSS mitigationをbypassできるパターンがあるという話。
以下のような条件が必要なので現実に使える場面は普通はなさそう。
CTFでは便利かもしれない。

  • Webページで同一オリジンのページをiframeで読み込める
  • WebページのヘッダにCSPが設定されていない
  • Webページに指定したHTMLを埋め込める(XSSができる)
  • ただし、WebページにJavaScriptによるXSS防御機構がある

このとき、CSP Embedded Enforcementを使うことで、防御機構を回避して攻撃コードだけを実行することができる。

[Read More]

SECCON 2017 Final International competition – 参 writeup

SECCON 2017国際決勝に参加した。 5種類のKoH形式の問題と、いくつかのJeopardy形式の問題が出題された。 問題参(KoH)の問題文: The Raspberry Pi distributed to each team contains the Bingo-Service program Please log-in your Raspberry Pi ( ssh: 192.168.4.254, user/pass = pi/kenjiinwonderland ) Please set up Bingo-Service on 192.168.4.254 : 80 If you click “Measure” button above, the system will accesses your Bingo-Service in a few minutes later “Measure” button can be clicked once every 7 minutes (Once you click it, you have to wait for 7 minutes) [Read More]