Posted inセキュリティ
Node.jsにおけるプロトタイプ汚染の防止：脆弱性分析と実践的な防御策
プロトタイプ汚染は、共有されたJavaScriptプロトタイプチェーンに任意のプロパティを注入し、Node.jsサービスを侵害する脆弱性です。その仕組みや実際の攻撃ペイロードを検証し、本番環境で信頼できる4つの防御策を実装する方法を解説します。
Posted inセキュリティ
CSRF攻撃を防ぐ：Anti-CSRFトークンとSameSite Cookieによる実践的な悪用手法と防御策
認証済みユーザーが外部サイトを訪問した際、攻撃者はユーザーに代わって不正な状態変更を引き起こす可能性があります。本記事では、Node.js環境でHMACベースのAnti-CSRFトークンとSameSite Cookieポリシーを設定し、リクエスト偽造攻撃を確実にブロックする方法を解説します。
Posted inセキュリティ
NginxへのModSecurityとOWASP CRSの導入：オープンソースWAF構築ガイド
NginxにModSecurity v3とOWASP CRS v4を導入し、ゼロデイ攻撃の予兆やOWASP Top 10の脆弱性悪用を遮断します。動的モジュールのビルドからアノマリースコアリングの設定、実際の動作検証までを解説します。
Posted inセキュリティ
Content Security Policy（CSP）とHTTPセキュリティヘッダーによるNginxの堅牢化
認証不要のインジェクション攻撃による深夜2時の緊急事態が発生した際、HTTPヘッダーの欠如により顧客のブラウザが無防備な状態に晒されていました。本記事では、XSSやクリックジャッキングを防止するために、NginxでContent Security Policy（CSP）、X-Frame-Options、HSTSを直接構成する実践的な手順を解説します。
Posted inセキュリティ
ファイアウォールの先へ：モダンAPIにおけるMass AssignmentとIDORの防御
APIセキュリティは暗号化だけではありません。オブジェクトレベルのアクセス制御（OLAC）と厳格なデータバリデーションを使用して、Mass AssignmentやIDOR攻撃を防ぐ方法を学びましょう。
Posted inセキュリティ
HTTP Request Smuggling：プロキシとバックエンド間の連鎖を断ち切る
HTTP Request Smugglingがプロキシとバックエンド間の解釈の不一致をどのように悪用するかを解説します。CL.TEやTE.CLの脆弱性を特定する方法や、HTTP/2の導入、要塞化されたプロキシ設定によるスタックの保護手法を学びましょう。
Posted inセキュリティ
XXEとSSTIを根絶する：Webアプリを堅牢化するための実践ガイド
XXEとSSTIの脆弱性対策に関する技術的な深掘り解説です。実際のインシデント対応シナリオから、XMLパーサーやテンプレートエンジンを安全に運用する方法を学びます。
Posted inセキュリティ
実践Webセキュリティ：Burp Suite CommunityでXSS、SQLi、IDORをハンティングする
Burp Suite Community Editionを使用してWebアプリのセキュリティを強化する方法を学びましょう。プロキシの設定から、XSS、SQLインジェクション、IDORの手動テスト手法までを網羅した実践ガイドです。
Posted inセキュリティ
STRIDEによる脅威モデリング：コードを1行も書く前にセキュリティリスクを分析する
STRIDEによる脅威モデリングは、WebアプリやAPIのセキュリティリスクをコードを書く前に特定する手法です。認証の欠陥、権限昇格、データ漏洩を設計段階で発見できます。OWASP Threat DragonとpytmをREST APIアーキテクチャの実例とともに解説します。
Posted inセキュリティ
手動Webフォレンジック：CLIログからSQLiとWebシェルを追跡する
grepやawkなどのLinux CLIツールを使いこなし、サーバーログからSQLインジェクションや隠れたWebシェルを検出する手動Webフォレンジック技術を習得しましょう。