2010年10月、エフセキュアブログの記事にて、Firefoxアドオン「Firesheep」が公開されたことを知りました。「Firesheep」の説明を読んでみると、HTTPセッションハイジャック対象の Web サイトを独自に定義できるようでした。このことが気になったので、自宅…

2010 年 10 月にはいり、JVN(Japan Vulnerability Notes) で DLL Hijacking*1に関する脆弱性情報が相次いで公開されていました。また、これらの発見者である塩月 誠人氏がアドバイザリ を公開して注意喚起を促していました。このアドバイザリにおいて、以下…

この日記では、2010年9月25日の日記を書いたときには確認できていなかった DLL 以外での DLL Hijacking*1 について書いています。DLL 以外での DLL Hijacking の問題とは、ACROS Security が Blog にて指摘しているものです。この ACROS Security Blog が紹…

2010年8月24日、マイクロソフトが DLL Hijacking*1に関するセキュリティ アドバイザリ (2269637)を公開しました。この問題の影響を受けると、攻撃に悪用された場合に任意の DLL を読み込まれてしまいます。この日記では、DLL Hijacking の問題を修正したソフ…

2010年8月、Kaspersky Lab が Android で動作する「Trojan-SMS.AndroidOS.FakePlayer.a」（以後、AndroidMalwareと呼称）を確認したと発表しました。このトロイの木馬を見てみたいと思い探したところ、contagiodump がそのトロイの木馬を提供していました（…

HTTPのTRACEメソッドを悪用する古い攻撃手法に「Cross Site Tracing(XST)」というものがあります。この攻撃手法を悪用すると、第三者が Cross Site Scripting（XSS）の脆弱性が存在するWeb サイトとブラウザの間でやり取りされる HTTP リクエスト・ヘッダを…

Web サイトの改ざん事件を追っていると、「どのサイトが改ざんされた」や「どこどこのサイトに誘導される」、「どういったマルウェアに感染する」といった解説記事をよく見ます。しかし、「どうやって Exploit コードが実行される」とか、「どのブラウザだと…

2010年5月29日に開催された第12回まっちゃ445勉強会に参加してきました。参加した感想とセッション内容のまとめを書きました。なお、セッション内容のまとめについては、基本的には講師の表現をそのまま使用しています。一部意図を変えないように配慮した上…

最近の Web Exploit Kit*1が悪用する脆弱性の主流は、Adobe Reader の脆弱性（CVE-2009-4324 や CVE-2010-0188）や Java 環境関連の脆弱性（CVE-2008-5353 や CVE-2010-1423）のようですが、MDAC の脆弱性（MS06-014 で修正された CVE-2006-0003）もずっと変…

2010年4月初旬、PDF仕様「Launch action」を悪用した PDF（以降、悪意ある PDF）が確認されました。UnderForge of Lack の Gnome さんから Dynamoo's Blog で紹介されていた悪意ある PDF をいただきましたが、自分で探した限りでは見つかりませんでした。Pro…

2010年4月12日の日記で、PDF 仕様「Launch action」について僕の思うことをまとめました。しかし、先の日記でやり残したことがあります。それは、Windows 以外の OS の各 PDF ビューアにおける「Launch action」の挙動です。そこで、今回は Linux の各 PDF …

2010 年 3 月 29 日に Didier Stevens が公開した PDF 仕様 「Launch action」の悪用手法（元記事はこちら）が話題になっていますね。Didier Stevens 氏の PoC(zip) を Adobe Reader 9.3.1 で開いてみると、警告ダイアログが表示され、[OK] をクリックすると…

Gumblar（いわゆるガンブラー）騒ぎで、「Web サイトを閲覧させて攻撃コードを実行させる」手法が広く認知されたのかなーと思う今日この頃です。過去 2005 年頃の SQL インジェクションによるウェブサイト大量改ざんや、2007 年頃に MPack のようなツールキ…

いわゆる Gumblar に .htaccess を悪用して Exploit コードが仕込まれたサイトに誘導される方法が確認されたようですね。ラックが発表した注意喚起の動作概要を引用します。 【動作概要】 この.htaccessファイルが置かれる影響は、主要検索サイトからのアク…

2010年2月27日の日記ではじめてカーネルデバッグしました。分からないことだらけだったけど、調べるのは面白かったです:D。VMware Server で動作する Windows XP をカーネルデバッグするためには、準備が必要だったので、その過程をメモとしてまとめます。 …

いつも脆弱性の話ばっかりしていたので、たまにはビリヤードの話でもしようかと。昔ちっちゃなビリヤード場の店員をしていたこともあり、「ビリヤードやりたい！」という人と一緒に撞きに行くことがあります。これまでの経験から言うと、ビリヤードに馴染み…

2010 年 1 月に Windows カーネルの権限昇格の脆弱性 CVE-2010-0232 が公開されました（セキュリティアドバイザリ 979682を参照）。発見者 Tavis Ormandy 氏が Full-Dsiclosure に投稿したアドバイザリ や 実証コード（Proof of Concept:PoC） を見てみると…

2010 年 2 月の Microsoft 月例パッチの MS10-007 で修正された CVE-2010-0027 の実証コード（Proof of Concept:PoC）が発見者 Lostmon Lords氏のブログで公開されました（こちら）。2010 年 2 月の月例パッチを確認したとき、この脆弱性が悪用される可能性…

Google、McAfee、Adobe を狙った攻撃で発覚した CVE-2010-0249 の脆弱性を悪用する Exploit を生成するツールが確認されたようですね（元ネタ：PANDALABS Blog）。いつものように中国製ツールですが、この手のツールが話題にのぼるのは、なんだが久々な感じ…

2010年1月9日の日記へ id:toby さんからトラックバックをいただきました。そのトラックバック先にて興味深い話題がありました。JRE 1.6.0_u10 から JRE のインストールパスが変更になり、古いバージョンが上書きされる模様です。この変更点を知らなかったの…

ここ 1,2 ヶ月ウェブサイト改ざんにて、Exploit コードへ誘導する script タグが埋め込まれる場合、Java Runtime Environment（JRE）の脆弱性 CVE-2008-5353 が悪用される場合が多いですね。2008年12月23日の日記でこの脆弱性を調べてみて、悪用のしやすく危…

2009年11月28日の日記を書くと同時に公開していた、Gumblar.x Exploit code Exec Checker（gChecker）の公開を終了します。簡易ツールながら利用してくださった方々、ありがとうございました。なんらかのチェックツールがあればいいなーとの思いから、公開し…

2010年あけましておめでとうございます。気がついたら、年が明けていました。2009年8月から本ブログを書き始めて、4ヶ月になります。新年の抱負の意味もこめて、このブログで書いていくことをまとめておきます。 このブログで書いていくこと このブログでは…