書籍「ポートスキャナ自作ではじめるペネトレーションテスト」が9/20に発売されます

取締役CTOの小竹（aka tkmru）です。

オライリー・ジャパンより拙書「ポートスキャナ自作ではじめるペネトレーションテスト -Linux環境で学ぶ攻撃者の思考（通称: カワウソ本）」が9/20に発売されます。本記事では構成、見どころを紹介します。

表紙はかわいいカワウソ🦦です！

本書の構成

次のように、6章の本編と2章の付録より、構成されています。 ポートスキャンの原理から、ポートスキャンによって見つけたサービスへの攻撃、 攻撃を成功させた後はさらなる被害拡大へと徐々にステップアップして理解できる構成になっています。

• 1章：攻撃者はいかにしてシステムを攻撃するのか
• 2章：Scapyでポートスキャナを自作し動作原理を知ろう
• 3章：デファクトスタンダードのポートスキャナNmap
• 4章：既知脆弱性を発見できるネットワークスキャナNessus
• 5章：攻撃コードを簡単に生成できるMetasploit Framework
• 6章：攻撃者はどのように被害を拡大するか
• 付録A：ペンテスターが安全にキャリアを形成する方法
• 付録B：ペンテスターと良好な関係を築く方法

1章では攻撃者がシステムを攻撃していくプロセスをUnified Kill Chainを題材に解説しています。 2章から6章では、Dockerコンテナの演習環境を用いて具体的なテクニックを学べます。 2章ではScapyを用いてポートスキャナとARPスプーフィングのexploit（攻撃コード）を実装し、ネットワークへの理解を深めます。 3章から5章ではNmap、Nessus、Metasploit Frameworkといったペンテストにおけるデファクトスタンダードのツールの解説をしています。 6章では、Linux環境で攻撃を成功させた後にさらに被害を拡大する、Post-Exploitationに使える技術について解説しています。

付録Aでは、誤解を招く行動を取れば逮捕されることもあるペンテスターが安全にキャリアを形成する方法を、 付録Bでは、ペンテストの依頼者の方やペンテスターの上司の方向けにペンテスターと良好な関係を築く方法をそれぞれ紹介しています。

こだわりポイント

説明の際には、ツールの紹介をするだけではなく、コーディングや脆弱性を攻撃する演習を設けることで、ツールの使い方だけを紹介しているマニュアルのような書籍にならないよう心がけました。 また、ツールの説明をするパートでは、業務でどのようにツールを活用しているのかを説明し、実務に役立つ知識を記載するように心がけました。 ツールは便利であるものの万能ではなく、結局は手を動かして脆弱性を検証する必要があるという脆弱性診断、ペネトレーションテストを行う上での本質に本書を通して触れることができます。 最後に頼りにできるのは、自分の手で行った作業だけです。 「ツールは役にたたない」というメッセージ性が強い書籍になったと思います。

Unified Kill Chainやレジデンシャルプロキシ、細かいPost-Exploitationのテクニックといったあまり日本語文献がないような概念、他の書籍では紹介していないようなマニアックなツールの機能を紹介し、初学者の方だけではなく実務に従事している方が読んでも楽しめるようにしました。 付録Bの「ペンテスターと良好な関係を築く方法」には、実務を行う上で遭遇するトラブルについて記載しており、こちらも実務をやっている方に、楽しんでもらえる内容だと思います。

攻撃者の思考を知ることはセキュリティエンジニアのみならず開発者にとっても大切です。 開発者は日々発見される、OSやライブラリなどの大量の脆弱性の対応を日常的に迫られていますが、 攻撃者の思考を分かっていなければ、何が脅威なのか分からず脆弱性のリスクレベルを評価できません。 開発者の方が読んでも楽しめるよう、攻撃手法だけでなく対策についても記載しています。 また、セキュリティエンジニアが当然のように使うものの、開発者の方には馴染みがない単語は平易な言葉に置き換えるよう心がけました。 例えば、「バイパス（Bypass）」は「突破」「迂回」といった単語に置き換えています。 開発者の方にも読んでほしいです。

表紙のカワウソ🦦が可愛いのでカワウソが好きな方にもおすすめです。

電子版はO'Reilly Japan Ebook Storeより購入できます

おわりに

本書の執筆にあたり、多数の方にご協力いただきました。 オライリー・ジャパンの方々、本書のレビューに協力していただいた皆様には、この場を借りて心からお礼申し上げます。

似た構成の本は世界中を探してもなさそうな、 初学者の方にも実務に従事している方にも面白いと思ってもらえる書籍に仕上がったと思います。 広く多くの方に読んでもらえるとうれしいです。

Nmapの日本語ドキュメントを更新した話&その方法の解説

取締役CTOの小竹（aka tkmru）です。

先日、Nmapというポートスキャナの日本語ドキュメントにコントリビュートしました。 この記事では、日本語ドキュメントの現状とコントリビュート方法の解説を行います。

デファクトスタンダードのポートスキャナNmap

Nmap（Network Mapper）は、セキュリティ業界でデファクトスタンダードのポートスキャナです。 ポートスキャンを行えるだけではなく、Luaスクリプトによって機能を拡張でき、多数の脆弱性を攻撃するためのスクリプトがデフォルトで含まれています。

1997年から存在するツールで、「マトリックス リローデッド」や「ダイ・ハード4.0」などの映画の中のハッキングシーンにもたびたび登場しており、セキュリティエンジニアであれば誰もが知る有名ツールです。 Nmapが登場した映画は次のURLにまとめられているので興味がある方は見てください。

nmap.org

日本語ドキュメントは古く役に立たない...

そんな有名なNmapですが、日本語ドキュメントは長年更新されていませんでした。 Nmapの最新バージョンは7.93ですが、日本語ドキュメントはバージョン4.50¹相当のものになっています。 そのため、コマンドライン引数に実際とは違うものが記載されているオプションが多数あり、それを鵜呑みにしていると、正しく使うことができないという状況です。

というわけで、コントリビュートしました！

以前より、時間を指定するオプションの引数が現在のバージョンではtimeなのに、millisecondsと日本語ドキュメントに記載されているのが気になっていました。例えば、スキャンに時間がかかるホストをスキャンした際に、一定時間経過したらスキャンを停止する--host-timeoutオプションの引数の説明がこれに該当します。timeは、<数値><単位>というフォーマットを意味します。例えば、30分と指定する場合は30m、10秒と指定する場合は10sというふうに記述します。

そこで、このような間違った説明が頻出する「タイミングとパフォーマンス」のページにコントリビュートを行い、引数の表記を正しいものへと修正を行いました。 該当コミットは次のURLです。 github.com

引数の説明が修正されている様子

コントリビュートするには

日本語ドキュメントにどのようにしてコントリビュートを行うのか解説します。 NmapにはNmap Man Page Translation FAQという翻訳に関するガイドラインが存在します。 NmapのドキュメントはXMLで文書を記述できるDocBook XMLというフォーマットで記述されており、そのフォーマットの説明が書かれています。

nmap.org

日本語ドキュメントのファイルはdocs/man-xlate/nmap-man-ja.xmlに、英語ドキュメントのファイルはdocs/refguide.xmlに存在します。 ファイルに変更を加えたら、作者にメールするか、プルリクエストを送ることで反映してもらえます。 上記ガイドラインには、メールするように書かれていますが、実際はプルリクエストでも大丈夫です。

まとめ

Nmapの日本語ドキュメントの問題点とコントリビュート方法を紹介しました。 日本語ドキュメントに問題を感じているものの、コントリビュート方法が分からなかった人も多いのではないかと思います。

今回、私が更新した部分はほんの一部で、まだまだ直さないといけないところが残されています。 世界平和のために、日本語話者のNmapユーザーのみなさんにコントリビュートしていただけるとうれしいです。

---

1. 日本語ドキュメントが準拠しているバージョン情報については以前GitHubのIssueで問い合わせました。https://github.com/nmap/nmap/issues/2243↩

セキュリティ・キャンプ全国大会2023脅威解析クラスで講義を行います

取締役CTOの小竹（aka tkmru）です。

セキュリティ・キャンプ全国大会2023の脅威解析クラスにて「ポートスキャナ自作から始めるペネトレーションテスト入門〜Linux環境で学ぶ攻撃者の思考〜 」という題で講義を行うことになりました。 本記事では、セキュリティ・キャンプ全国大会2023というイベントと、そこで私が行う講義内容の紹介をします。

セキュリティ・キャンプとは

セキュリティ・キャンプは、将来の高度IT人材となり得る優れた人材の発掘と育成を目的としたイベントの総称です。 IT業界で活躍しているエンジニアなど*1が講師になり、学生の皆さんに講義を行います。 講義を聴講できるだけでなく、同世代の同じことに興味がある人たちと交流できるのも良いところです。 参加費は無料で経済産業省が共催しており、主催にIPA（独立行政法人情報処理推進機構）もいるので安心して参加できます。

全国各地で2日間程度で開催される地方大会と都内で5日間程度開催される全国大会があり、私が講義を行うのは全国大会の方です。 2020年から2022年にかけてはコロナ禍の影響でオンライン開催でしたが、今年より以前の合宿形式に戻ります。 今年の全国大会は8月7日（月）～8月11日（金）にかけてクロス・ウェーブ府中にて開催されます。 全国大会は、日本国内在住で、日本国内の学校に在籍する13歳以上22歳以下の学生の方が対象です。

www.ipa.go.jp

私も学生時代に参加者として参加していました。 オンライン開催だった2020年と2021年にプロダクトセキュリティトラックにて以前講師を務めましたが、 参加者の皆さんと対面で行う講義はまだ行ったことがないので、直接皆さんにお会いできる今年のセキュキャン*2は楽しみです！

どんな講義をするのか

「ポートスキャナ自作から始めるペネトレーションテスト入門〜Linux環境で学ぶ攻撃者の思考〜 」という題で講義を行います。 講義紹介ページには次のように概要を記載しています。

脆弱性診断やペネトレーションテストで使われる技術のひとつにポートスキャンがあります。 セキュリティエンジニアがネットワークやインフラに対するネットワーク診断やペネトレーションテストを行う際には最初にポートスキャンを行います。 開いているポートがあれば、何かおもしろい情報が返ってこないか確認し、古いミドルウェアが動いていることがわかれば、脆弱性情報を調べて攻撃を試行します。
本講義では、ポートスキャナを自作し、動作原理について理解を深めた後、Dockerコンテナで構成されたLinux環境に対して演習を行い、脆弱性の発見/攻撃手法、端末に侵入後の攻撃者の思考について学びます。侵入後の攻撃者の活動のことを広義にPost-Exploitationと呼びます。

パケットを自由に操作できるようになっておくことや、PoC（Proof of Concept）のコードを素早く実装できることは、ペンテストに必要なスキルです。
例えば、Nmapに実装されていない特殊なプロトコルで通信するソフトウェアの脆弱性を調査したい場合は、プロトコルの仕様に従ったパケットで通信するためのツールを自作する必要があります。このような理由から本講義では、ポートスキャナの自作を行います。

攻撃者の思考を知ることは、マルウェア解析や通信監視業務に従事している人たちも含め、すべてのセキュリティエンジニアが知っておくべき内容であり、 セキュリティエンジニアを目指す初学者にとっても必要不可欠な知識です。 また、セキュリティエンジニアのみならず開発者にとっても大切です。 開発者は日々発見される、OSやライブラリなどの大量の脆弱性の対応を日常的に迫られていますが、 攻撃者の思考を分かっていなければ、何が脅威なのか分からず脆弱性のリスクレベルを評価できません。 脆弱性診断やペネトレーションテストに従事している講師が攻撃手法を解説し、攻撃者側の思考プロセスや、攻撃されないようにするにはどうすればいいのかといった防御側の手法までを解説します。

※本講義では、リバースエンジニアリングは行いません。

ペンテストツールの仕組みや、攻撃者が脆弱性を見つけた後、どのように被害を拡大していくのかについて学べる講義にしようと思っています。 「ツールをただ単に使うだけでは満足できない」「各脆弱性の攻撃方法ではなく、攻撃者の思考を知りたい」という方におすすめです。 ポートスキャナを自作するというアイデアは、私が学生時代に参加したセキュリティ・キャンプキャラバン in 大阪 2014での吉田英二さんによる「パケット工作」という題の講義のオマージュです。

応募お待ちしております！

エントリーの締め切りは5月15日で、応募課題の締め切りが5月22日です。 エントリーしておかないと応募できないので、とりあえずエントリーしておくことをおすすめします！ エントリーはこちらからできます。 参加者の皆さんに現地でお会いできるのが楽しみです。 応募お待ちしております！

*1:自分で書くのは恥ずかしいですね...！

*2:セキュキャンはセキュリティ・キャンプの略称です。

VRヘッドセットからの通信をプロキシツールで確認する方法

取締役CTOの小竹（aka tkmru）です。

AndroidベースのVRヘッドセットでは、Android端末と似た方法でMITM（Man In The Middle attack）を行い、 プロキシツール上で通信内容を確認できます。 脆弱性診断の際には対象のアプリケーションとAPIサーバの通信を確認・編集する必要があり、MITMを行います。 また、アプリケーションを開発する際のデバッグにもMITMは有用です。 本記事では、ByteDances社製のPICO 4というVRヘッドセット（以下、VR端末）でMITMを行う方法を解説します。

USBデバッグを有効にする

VR端末でプロキシに関する設定を行うには、adbコマンドを多用します。 そのため、プロキシの設定を行う前にVR端末で開発者向けオプションを有効にし、USBデバッグを有効にする必要があります。 設定アプリを開き、「一般」>「デバイス情報」の順にメニューを操作すると表示される「ソフトウェアバージョン」を連続して7回クリックすると開発者向けオプションを有効にできます。

開発者向けオプションを有効にすると、設定アプリに「開発者」メニューが出現しています。 「開発者」メニューを開き、USBデバッグを有効にしてください。また、USB接続をファイル転送に使えるよう設定されていることを確認してください。

スクリーンショットは/sdcard/Pictures/Screenshots/に保存される

プロキシツールのCA証明書をインストール

プロキシツール上でHTTPS通信を見ようと思うと、プロキシツールのCA証明書をVR端末にインストールする必要があります。 まず、adbコマンドを用いて、プロキシツールから出力したCA証明書をVR端末内にコピーしてください。 Burp Suiteの証明書ファイルをPICO 4にコピーするコマンドは次のようになります。 他のプロキシツールをお使いの場合は、ファイル名を適宜変更してください。

$ adb push cacert.der /sdcard/Download/cacert.cer

通常のAndroid端末であれば、端末内の証明書ファイルを何らかのエクスプローラーから選択すれば、証明書のインストーラーが起動しますが、PICO 4の場合は証明書ファイルを選択しても「このファイル形式は現在サポートされていません」と表示され、インストーラーが起動しません。 そのため、adbコマンドからインテントを用いて、Androidデフォルトの証明書のインストーラーを起動します。 次のコマンドを実行すると、証明書のインストーラーを起動できます。

$ adb shell am start --activity-clear-top -a android.credentials.INSTALL

証明書のインストーラーが起動したら、VR端末内の証明書ファイルを選択してください。

インテントから起動される証明書のインストーラーの画面

VR端末内の証明書ファイルを選択すると証明書の各種情報を入力できます。 証明書の名前を指定し、認証情報を「VPNとアプリ」に使うよう選択してください。 OKボタンを押すとCA証明書がインストールされます。

証明書ファイルを選択した後のインストーラーの画面

プロキシツールのアドレスを指定する

VR端末から出る通信がプロキシツールを経由するように設定する必要があります。 AndroidにはデフォルトでプロキシのIPアドレス、ポートを指定する機能が備わっており、それを用います。 GUIの設定アプリから設定する方法とadbコマンドを用いて設定する方法の2つの方法を紹介します。

設定アプリから行う

通常のAndroid端末であれば、設定アプリ内の「ネットワークとインターネット」メニューでプロキシに関する設定を行えます。 しかし、PICO 4独自の設定アプリからはプロキシの設定を行うことができません。 そのため、adbコマンドからインテントを用いて、Androidデフォルトの設定アプリを起動します。 次のコマンドを入力するとAndroidデフォルトの設定アプリが起動します。

$ adb shell am start --activity-clear-top -a android.settings.WIRELESS_SETTINGS

ここからは、通常のAndroidアプリと同様の方法でプロキシを設定できます。 接続しているAPの詳細設定よりプロキシのアドレス、ポートを指定できます。

インテントから起動されるAndroidデフォルトのネットワーク設定画面

support.google.com

コマンドで設定する

adbコマンドを用いてプロキシのIPアドレス、ポートを設定することもできます。 次のようにadb shell settings put global http_proxyにIPアドレス、ポートを指定し、実行してください。

$ adb shell settings put global http_proxy 192.168.100.10:8080

プロキシの設定を削除するには次のようにコマンドを実行してください。

$ adb shell settings put global http_proxy :0

設定を正常に行えているか確認

ここまでの設定に成功していれば、プロキシツール上にVR端末からの通信が表示されます。 プロキシを正常に設定できているかの確認にはブラウザから何らかのWebサイトへアクセスするのがおすすめです。

Androidアプリに対してMITMを行う場合は、APK内のres/xml/network_security_config.xmlに ユーザーが指定したCA証明書を信頼する旨を記述する必要があります。 そのため、他の第三者が開発したアプリではパッチを当てない限りMITMを行えません。 第三者が開発したアプリをプロキシの設定の確認に使用するには不適です。

<?xml version="1.0" encoding="utf-8"?>
<network-security-config>
  <base-config>
    <trust-anchors>
      <certificates src="system" />
      <certificates src="user" />  # ユーザーが指定したCA証明書を信頼
    </trust-anchors>
  </base-config>
</network-security-config>

developer.android.com

また、アプリ内の特定の証明書でしか通信できないように制限するSSL Pinning（証明書のピン留め）が実装されている可能性もあります。

おわりに

VR端末からの通信をプロキシツールで確認する方法を解説しました。 脆弱性診断時にはこのような作業を行い、対象のアプリケーションの通信内容を確認・編集しています。 当社はAndroidアプリの脆弱性診断に加えて本記事のようなVR端末のアプリに対する脆弱性診断も実施しております。 詳しくはフォームよりお問い合わせください。 本記事が脆弱性診断に携わるセキュリティエンジニアやVRアプリの開発者の方々の参考になれば幸いです。