恐怖のHTML5 ApplicationCache Poisoning(kyo_ago)
HTML5で導入されているApplicationCacheのPoisoningの実例についていくつか説明していた。ApplicationCachePoisoningは、例えば公衆WiFiなどで悪意のあるプロキシが通信を書き換えることによって発生する。この攻撃を広告モジュールを対象に実行してみる方法が示されていた。
特にWebViewなどを使っているアプリは、この攻撃を受けるとアプリの再インストールをしない限り、Poisoningを解毒することができないらしい。ただし、URLに乱数を入れていると攻撃を難しくすることができるとのこと。
所感:この機能はどれくらい普及しているのか気になった。サーバサイド、クライアントサイドでどれくらい利用されているのだろうか。
ROP Illmatic: Exploring Universal ROP on glibc x86-64(inaz2)
x86-64アーキテクチャを対象にバッファーオーバーフローとその対策を実際に試してみたという発表。
所感:実際にやってみたというところに意義はあるが、新規性はないのかな。
The 100yen Cyber Analyst Toolkit(Security4all)
セキュリティの分析に使えそうな便利なサイトの紹介。結局、VirusTotalが最強なのかとも感じたけど、機能を絞った使いやすそうなサイトがいくつか紹介されていた。
所感:無料のサイトを使うから100円ツールキットということなのだが、PCとかインターネット回線の費用を考慮しないのだろうか。ネットカフェだと100円で30分くらいしか解析できないのではないか。
VAWTRAK観察日記(ニシダマサタ)
VAWTRAKの検体の長期解析の発表。VAWTRAKは、オンラインバンクで不正な送金をしたり、オークション・ショッピンサイトで不正な操作をするマルウェア。通信を分析しているとかなり犯人に近い情報が手に入るらしい。
所感:不正な収益を使用とすると金銭の受け渡しの時に犯人の情報が分かるというのは、身代金とかと同じだと感じた。Bitcoinとかを使えば足がつかないように不正送金が成立するのだろうか。
そのあとに何が起こるのかの妄想話(み)
企業ネットワークにおいてマルウェアが感染したらどのようなことが起こるのかということについて、妄想してみたという発表。一般的に言われている内容ではあったが、内容がなかなか生々しかった。
所感:これは本当に妄想なのかな。。。
CSPが切り開くWebセキュリティの未来(はせむねあ:にしむねあ＆はせがわようすけ)
HTML5あたりで規定されているCSP(Content Security Policy)に関する発表。CSPは、コンテンツのダウロード元をポリシで規定できるので、XSSとかCSRFに対する強力な武器になりそう。すでに標準化も終わっているようで、利用しているサイトも出てきている模様。ただし、ポリシの規定がなかなか面倒なようなので、自動生成のようなことが必要になりそう。
CSPのなかに不正を検知したときに通知する仕組みあるので、その機能をつかってお遊びをしていた。通知はJSON形式なので、通知の処理を適切に行わないと、不正検知機能が攻撃されるというデモをしていた。
所感:WebRTCを使ってみたかっただけなんじゃないかと。。。
元URL
