yamaguchi.txt

開発日記。備忘録代わりだよ。

セキュキャン三日目


朝、寝坊しました。
8:40くらいに電話がかかってきて起きました。絶望感が凄かったです。
六時半に目覚ましを止めたことだけは覚えてるんですけど…。

ということで、朝食は逃しました。残念です。


3-A: Webアプリケーションの脆弱性の評価と発見を受講しました。
講師の方は、Kinugawa Masatoさんとサイボウズの伊藤さんでした。
Kinugawaさんは有名すぎて概念的な存在なんじゃないかと思っていましたが、実態を伴った人間で安心しました(割とマジ)
滅多にお目にかかれないらしいのでピカチュウみたいな感じでしょうか。
安定感のある伊藤さんとのコンビ面白いですねー。

事前課題でdocument.cookieをオレオレサーバに送信しようと奮闘するもできず、パケットを書き換えた文字も黄色くならず、おまけに寝坊して正直絶望感が凄かったのですが、とても楽しかったです。
前半20分くらい寝坊していなかったのでXSSの話をだいぶ聞き逃したのが痛かったです。
コメント欄で何かしらの方法でalertが出たりしたら面白かったのですが、そう甘くはないですね。バグハンター本当にプロ。

後半は、前に書いた記事にもある通りXSS脆弱性を評価しようっていう研究インターンをしたばっかりだったので、本当にタイミングが良くてびっくりしました。
結構真剣に考えたトピックだったので得られた知見は大きかったのですが、色々と企業秘密っぽくて書いてはいけないようなので残念です。
Bug Crowdsの脆弱性評価方法って知らなかったのでへぇってなりました。

一つだけ考えたこととして、セキュリティの研究室とセキュリティやっている企業との連携ってもしかしたら余りないのかなぁと思いました。
企業の人は学会に行かないし、研究室の人は実際に運用している企業に頼んでログを分けてもらうみたいなことをしていないんじゃないかと。教授、企業に依頼されてやってる研究はないって言ってたし。
これは本当に驚愕でした…。お互い死ぬほどもったいないんじゃないかな…。
ところでIWSECっていう国際学会が九月に秋葉原であるみたいです。

研究の話とか色々アドバイス頂けて良かったです。っていうか、セキュキャンに来るまで専門家に聞いてみようっていう発想が全くなかった自分に驚きました。もしかしたらセキュキャンで得られた一番大きな知見かもしれません。今後また研究するときは、事前に色々な人に意見を聞くべきです。



オンラインゲームアタックアンドディフェンスを受講しました。
全然Web詳しくないのでこれもかなり不安でしたが結果的に楽しかったです。
最初は運営側で、事前に見つけてあったバグを修正している間にプレイヤー側に圧倒的な差をつけられてぼろ負けかと思いきや、スコアサーバでのバグ、といっても大したものではなく無限にRMTを行ったアカウントをbanし続けるというバグを利用して-14000点くらいまで相手の点数を下げて圧勝しました。
気持ちよかったですねー。

二回目のプレイヤー側をやったときにはすでにほぼ脆弱性が修正されており、本当に暇でした。
高橋名人を使って手動でつまらないゲームを無限にやっていましたがさすがに負けました。

横浜であるらしいSECCON、南米じゃなければ行きたかった…。


晩御飯を食べました。

f:id:yamaguchi_1024:20160812010925j:plain

懐石料理によくある火をつけるやつがあってとても美味しかったです。味付けも濃いめで好きでした。
日本全国から集まっている参加者の味覚の最大公約数を取るのって大変そうですねぇ。今キャンプで食べている食事が日本人の食卓の平均なのでしょうか。


晩御飯を食べた後はみんなでクールなROPガジェットを作ろうぜという岩村さんの講義を受講しました。
事前課題をやった時に、「null文字なんて入力できねーよ!」って言って投げたので全講義の中で一番不安でしたが普通に楽しかったです。
サンプルのエクスプロイトコードとか、事前に見せてほしかったです…。さすがにpackとかいう便利関数あるって思わないでしょ。
サンプルを書き換えただけでしたが初めてエクスプロイトに成功したと言えるんじゃないでしょうか。面白かったです。
これは受講した中で一番の変態講義でしたかねー。時間が短いとは知らなかったので残念でした。


次に、企業プレゼンっていうやつでNRIセキュアさんのプレゼンを聞きに行きました。
私は何がしたいんでしょうかね、分からないです。

グループワークをしました。
アイディアはたくさん出るけどまとまらず、明日は徹夜ですね。
がんばるぞい!


今日は講義がやばいと思って一番懸念していたのですが、結果的には今のところ一番楽しかったです。
明日も楽しいといいなー。
絶対に寝坊しないぞ(フラグ)