アクセスログ


・・・につて質問があったので説明します。(できるだけ

とりあえずアクセスログのとれるレンタルサーバーと契約しないと
ダメですね(Д

今自分が使ってるのは
http://podboy.jp/

ここです!無料でPHPやCGIなどがアップロードできる
Apacheサーバーです!

でも実際ココだとリアルタイムでアクセスログを見れませんΣ(Д
昨日のログしか見れないっぽい・・・。

こんなのがアクセスログ

d0210354_2144879.jpg


FFFTPってソフトでログインしてみると

こんな感じでログファイルがあります。
d0210354_21443362.jpg


まぁリアルタイムでアクセスログとれる無料のレンタルサーバーがあれば
いいんですけどね・・・。

他にやるとしたら自分で無理やり作るしかないですね(ω
こんな感じで・・・。
ってかメッチャ適当ですけど。

http://rskull.css1.jp/log/index.php

これが確認画面です。

このURLの最後に?log=とつけて、このあとに書き込みたい情報を付け加えると・・・
例えばこんな感じです。

http://rskull.css1.jp/log/index.php?log=123456

これでアクセスすると123456の部分が書き込まれます。
基本、確認するときは最初のURLです。

アップロードしておいたので、123456の部分変えたりしてやってみると
意味分かると思います。

動画で説明にあったhttp://localhost/のURLの部分をさっきのに変えてやります。。。。。

するとセッションIDやらリファラーやら書き込まれるとおもいまーす(ω)

ローカル環境で実験の意味はと言うと・・・
PHPという言語でサイトを作る場合、開発するためのソフトをPCにインストールしなくてな
なりません!このソフトの機能でアクセスログがあるだけです。
別にネット上でのアクセスログではなく、自分でアクセスしたログが記録されているだけです。

う~ん。。わかりにくくてすみません(Д;

とにかくローカル環境でテストは気にしなくていいです。。。

だいぶ説明が下手だったので、またわからないことコメしてください。

説明できるか保障できませんけどねww

では今日はこのへんでーーノシ
[PR]

# by r-skull | 2010-12-18 22:22 | 攻撃・脆弱性

いきづまりぃ~

もう金曜日かぁ~
早いね(-ω-

部屋の暖房つけたつもりが冷房になってた・・・
なんか寒いなぁ~って思ったんだよw

てかブラッディ・マンデイの影響力ってはんぱないね!
なにかとファルコンすきだよねみんな。

まぁ俺はハッキングやら何やらとはさらさら無縁かもね~
サイトの脆弱性は重要だけどね。

それより、相変わらず都市伝説のHPのほうは進んでませんΣ(Д)
作り始めたの10月だべ(´・ω・`)たしか・・・

とりあえずサイトはPHPって言語つかってるんだけど
俺が買った参考書、基本的なのしか乗ってないし。

だいぶ無駄なプログラム多い気もするけど
動けばいいや~(ω

まぁ結局TOPページ何にを表示するか
ずっと迷ってるだけなんだけどね。。。

あぁ~!ぱっぱ作ってぱっぱ載せてぇ~~(´Д`)

d0210354_2251598.jpg


これ!この真ん中のとこ!
はぁ~・・・今から頑張って考えるかぁ~ノシ
[PR]

# by r-skull | 2010-12-17 22:11 | 日常

CSRF2

ちょっと久しぶりの更新!
てかモンハンやらなんやらで更新してなかった(笑
今日なんて授業中何回狩りに行ったことやら(∀)
もちろん友達連れて4人で!

てかふたご座流星群見逃したぁぁ!!
しかも進学先の日本工学院から課題レポート的なやつ届くしさ。

まじだりぃーー!!

まぁちょっとは記事かきますか。

CSRFの続きってコトで、こんなこともできます的な・・・

<img src="http://www.yahoo.co.jp/">

普通は画像のURLなんですけど・・・
上みたいなイメージタグを使って、ソースのところをサイトのURLを設定します。

すると、もちろん画像エラーのマークがでます(Д
d0210354_2212794.jpg


でも実際には画像を取りにいこうとして、一度Yahooにアクセスしたことになってしまいます。
例えばこのURLを自分のブログなんかに変えて、どこか閲覧数の多いページにでも貼れれば
ウェブを見てる人が実際に自分のブログに来てなくても、画像タグを貼ったまったく別のページに入ったとこで
自分のブログにアクセスしたことになり、アクセスカウンターが増えますw

これは脆弱性とか関係なしのセコイ技?的なやつですね(ω
まぁその画像タグ張るサイトが全く人来てなかったら意味無いんですけどね。

他にもいろいろ使い道はありますが
実際に前回はなした「ぼくはまちちゃん事件」でも使われていた手法らしいですよ(∀

今日は簡単でしたが終わりマース(ω)ノシ
[PR]

# by r-skull | 2010-12-16 22:12 | 攻撃・脆弱性

CSRF(クロス・サイト・リクエスト・フォージェリ)

久しぶりです(ω)ノ
最近、ネタを何にしようか迷ってたんですけど
CSRFにしようと思います。
てかMHP3rd今日やり込みすぎて疲れた・・・(Д

まぁ説明いきますよ!
d0210354_0344297.jpg


とくに掲示板などで、書き込む時になんでわざわざ数字なんて入力するんだよ!って
思ってた人もいると思いますが、ちゃんと意味があります。

それは、CSRF(クロス・サイト・リクエスト・フォージェリ)の脆弱性の対策です。

CSRFとは、相手に意図しない動作を無理やりさせることができてしまう脆弱性です。
例えば、仕掛けがしてあるサイトに入っただけで、アクセスした人は
脆弱性のあるターゲットサイトへと知らないうちに書き込みさせられてしまうのです。
この何が問題かと言うと、昔実際にあったらしいんですけど、、、
そのCSRFの脆弱性があった掲示板サイトに殺人予告が書き込まれました。
しかも何回もです。
IPアドレスを調べてみたらみんな違う人だったらしいです。
詳しく調べた結果、CSRFの脆弱性があることが判明!
悪意のユーザーが仕掛けた罠に掛かり、みんな書き込みをさせられたのです。
このようにIPアドレスで問題になるケースもあるのです。

3~4年前にもmixiでもありました。
別に殺人予告とかではないんですけど、『ぼくはまちちゃん事件』
って呼ばれていると思います。

興味のある方は調べばたくさん出てきますよ(ω//

攻撃方法で簡単な例を言ってみれば・・・
※Wiki参照↓↓
d0210354_0452614.jpg


この、下のclickme.htmlは、実際にアクセスさせるwebページです。
ソースはその枠の中の通りです。

<iframe width="1" height="1" src="attack.html"></iframe>
このインラインフレーム要素で、attack.htmlのwebページを読み込ませているのですが、
縦横の大きさを最小にすることで、ほぼ攻撃ページを見えなくすることができます。

d0210354_115528.jpg


そして、attack.htmの、実際に攻撃ソースが書かれている方は、
攻撃目標ページの書き込みフォームをそのまま抜き取ります。
そしてclickmeのインラインフレームにセットして、送信ボタンはJacaScriptで
読み込まれた時に無理矢理押されるようにしてあります。

d0210354_123327.jpg


ちなみに
<input type="hidden" name="title" value="攻撃者が指定した題名">
このtype="hidden"というのは隠しフィールドと言い、
実際には表示されません、さらに気づかれにくくするための偽装だと思います。
type="hidden"は逆にCSRFの対策で、不正な操作をされないようにと使われることが多いです。

上のようなページが完成したら、攻撃ページに誘導するような書き込みをしとけば
いいってわけです!

まぁ今日はこのくらいにしておきます。。。

では(ω)ノシ
[PR]

# by r-skull | 2010-12-12 01:24 | 攻撃・脆弱性

スクリプト・インジェクション2

こんにちは(-ω-)ノ

前回予告した通り、Decoo編で書きたいと思います!

モバスペへんでは管理人にメールでおくりましたが、
今回は自分のリアルにスクリプトを書き込めてしまいます。
これも攻撃に成功すると、アカウントを乗っとることができます(Д

とりあえずPCで自分のリアルにログインした人(PCでログイン中)にだけ有効の攻撃です!

デクーでのログインは、セッション管理というものをしています。
ログインすると、昨日説明したパラメーターとして ・・・・ ?PHPSESSID=123456789
見ないな感じのが発行されます。 123456789のとこは、実際もっと複雑な文字列ですけど
これが一時的にログインを保つためのカギみたいなものです。

自分のURL+?PHPSESSID=123456789

みたいになり、このカギをもっている間は、ログイン中となります(ω
そしてログアウト、または時間が立ってタイムアウトしたときには無効となり
さいどアクセスしたときにはもぅ、ログアウト中になっています。

ログインしてる時、ページを色々移動して、再度アクセスしても『ログイン中!』と
セッションを保つために、一時的に自分のパソコンにCookieファイルとして
カギが保存されます。

誰かのブログにコメントするとき、2回目からは名前の欄に
前回使用した名前がすでにセットされていた!

みないなのがCookieの一例です。

これは初めてコメントした時に、名前に入力された値をCookieファイルとして
自分のHDDに保存し、2回目からはそのCookieを呼び出し
「あら便利!すでに名前入ってるわぁ~♪」
となる仕組みです。 あ、これCookie(クッキー)と読みます・・・・

このクッキーはどこからでも呼び出せる分けじゃありません!
ちゃんとそのクッキーを保存したサイトじゃないと呼び出せません!
つまり、この名前の値は、コメントしたブログじゃないと呼び出すのは無理ってことです。

じゃぁどーいうことかというと、、、、

そのサイト内ならいくらでも呼び出せるということです!
厳密に言うと、そのドメインじゃないとだめ・・・だった気がします。

まぁとにかくサイト内ならOKってこんですよ
クッキーはJavaScriptで簡単に呼び出せます。

では本題(ω//)

昨日説明したスクリプト・インジェクション
サイト内にスクリプトを埋め込めてしまう・・・というものでした。

デクーでは、PCでリアルを書くとき、HTMLモードと言うものがあります。
このモードでスクリプトを書いて投稿すると、自分のリアルのページで
スクリプトが発動するようになってしまいます。

最初に説明したセッション管理は、ログインしたときクッキーとして
一時的にログイン状態を保つためのカギのようなものが発行されるといいました。

つまりこのカギの書かれたクッキーファイルは
スクリプト・インジェクションにより自分のリアルに埋め込んで
PCでログイン中の人に踏ませることで、カギを盗むことができます!

最後は昨日と同じで、URLのパラメーターにつけてアクセスさせ、
ログファイルに記録させると言う方法をとります。

取得できたらターゲットがログアウト、またはタイムアウトする前に
このカギでアクセスしなければ失敗です。

カギを取得したとこでターゲットがログアウト→カギ無効
となったら意味ないですからね(ω)ノ

ターゲットの管理画面URL?PHPSESSID=取得したカギ
でアクセスすると・・・ログインできてしまいます!

詳しくはまたYouTubeみてください。
前回とBGM一緒ですが気にしないでくださいwww

あ、これギリギリ最大化できるんで大画面でみてねb




またネタ考えなくちゃ・・・
さよなら~(ω)ノシ
[PR]

# by r-skull | 2010-12-04 14:06 | 攻撃・脆弱性