【技術書感想文】実践 Webペネトレーションテスト

TL;DR

以下の人がおすすめです。(最後のほうの章は個人的に難易度が少し高いと思いました)

• Webペネトレーションテストを学びたい人
• セキュリティに興味があるエンジニア2~3年生(Dockerで環境構築できる、CLI操作、エラー解決を一人で行える人)

感想

1章

• 攻撃環境(webpen-lab)の環境構築でした。dockerを利用したことがあれば問題なく環境構築できるかと思います
• ただ、dockerのバージョンがあがっており、脆弱性チェックによるインストールブロックを無効化する対応が入っているため以下の設定をconfig.jsonに追加する必要があります。

    "config": {
        "optimize-autoloader": true,
        "preferred-install": "dist",
        "sort-packages": true,
        "audit": { ## 追加
            "advisories": {
                "block": false
            }
        },

2章・3章

• おもに攻撃前の情報収集関連でした
• 詳しくは別記事でまとめているので興味ある方はみてみてください
  • 実践Webペネトレーションテスト2章「偵察」を読んで学んだこと
  • 実践Webペネトレーションテスト3章を読んで学んだこと

4章

• この章が個人的には一番面白いです
• 主に、webpen-lab・shop(脆弱性があるECサイト)へ実際に攻撃をしかける、というものです
• SQLインジェクションなどの詳しい観点は触れられていませんが、プロキシツールを用いた、リクエスト改ざん、認証トークンの書き換えなどやりごたえがある内容でとても面白く読めました(作者の方に大感謝)
• ちょっとした脆弱性からシステムの内部まで侵入されリバースプロキシによるバックドア配置までハンズオンで実施できます

5章

• 静的コード解析について学ぶことができます(go言語でパストラバーサルの脆弱性に類するコードがないか確認するって内容です)
• また、vscodeの拡張機能についても触れられており勉強になりました

6章

• クラウドサービスの設定誤りによる脆弱性調査のやり方や、脆弱性について触れられています
• 普段はあんまり意識したことがなかったですが、最小権限の原則が必要な理由について学ぶことができます

7章

• この本で一番難しい内容です
• 認証/認可周り(SAML/OIDC)の実装不備(検証不備)をついて、管理者ユーザになりすましたり、被害者アカウントでログインするといったことをハンズオンで学べます
• JWT解析とかや、認証・認可周りもちょっと手厚めに触れられているので興味がある方はおすすめです！
  • 私は7章の最初のほうはしっかり読み込んだんですが、ギブアップしちゃいました

最後に

• 情報セキュリティ(特に認証認可周り)は難しい
• O'REILLY本にしては読みやすくて面白かったのでおすすめです