owaspnight_12th.md

6/11 OWASP Night

memo

• x-security project

  • iPhoneアプリ脆弱性の自動検知 (XcodeのPlugin)

DeNA杉山さん @harupuxa

DeNA社内のセキュリティ人材教育

• セキュリティ、外注は高いらしい(開発費超える)

• ゲームだとカバーする範囲広い

  • アイテム増殖できたらいやー。1を入力して何も起きなくても、その１が２になってたらアウト

• これらの対応も必要

  • ngCore

  • Unity

  • Cocos2d

徳丸浩

Rails SQL Injection Examples

• Rails SQL Injection

• yohgaki's blog

• Ruby賞を受賞

• 普通の使い方ならRailsでSQLi脆弱性は出ない

• 少しこると気をつけないといけない

• プレースホルダ使え〜

• order by

• order byの後に式名が書ける

• セパレータ(あるとわかってるデータを挟んで調べる)

  • ユーザ名調べる -> パスワードを辞書攻撃する

  • SUBSTR(passwd, 1, 1)='a' -> パスワードの一文字目がaのユーザがセパレータの上にくる

  • ユーザ登録をすることでセパレータを増やす

    • それぞれの間に挟むことで効率化

  • ORDER BYの後にUNIONは使えない。UNIONの後にORDER BYしなきゃいけない

• 対策

  • 値はプレースホルダ

  • 列名が許可されたものか検査する(ホワイトリスト)

  • 列を数字で指定して、内部で列名に変換する

• Keyword: ActiveRecord