ゆめさくセキュリティ

トラック 2

Web アプリケーション

穴を手元で再現し、直し、同じ穴が戻らないように試験で固定できるようにします。

前提
HTTP、HTML、SQL の基礎
レッスン
8 本

レッスン

  1. 2-1 SQL インジェクション プレースホルダの効く範囲 修了の条件 なぜ表や列の名前はプレースホルダで縛れないのかを説明できる 読める
  2. 2-2 クロスサイトスクリプティング XSS、エスケープの場所、CSP 修了の条件 エスケープの場所を間違えると対策が効かなくなる例を挙げられる 読める
  3. 2-3 クロスサイトリクエストフォージェリ CSRF、SameSite、トークン 修了の条件 XSS と CSRF の被害の出方の違いを説明できる 読める
  4. 2-4 認可の設計 IDOR、テナントの分離、権限の粒度 修了の条件 すべての操作に認可が要る理由を、例を挙げて説明できる 読める
  5. 2-5 サーバーを踏み台にした内部への到達 SSRF、メタデータ、許可リスト 修了の条件 IP の許可リストだけでは防げない理由を説明できる 読める
  6. 2-6 ファイルの受け取りとパス パストラバーサル、保存と配信の分離 修了の条件 確かめた時と使う時のずれが問題になる例を挙げられる 読める
  7. 2-7 危ないデシリアライズ pickle、署名付きデータ 修了の条件 なぜ署名だけでは足りないのかを説明できる 準備中
  8. 2-8 安全のためのヘッダーと CSP CSP、HSTS、付かない経路 修了の条件 ミドルウェアで付けたヘッダーが、静的な配信で抜ける理由を説明できる 準備中

このトラックで扱う攻撃

このトラックにつながる事例

次のトラック トラック 3 攻撃と検証