2016年7月25日のtwitterセキュリティクラスタ

yousukezan
2016年7月25日のtwitterセキュリティクラスタです。アクセス制御を回避されてたんですね。

生徒にいろいろやられてた佐賀県教育システムの調査についていろいろと

徳丸 浩@ockeghem

『自分のIDでログインして生徒権限を教師権限に変更する操作を行いアクセスした』<ここは脆弱性でしょうね。セキュリティ強化よりもモラル教育が前面に出ている印象 / “学校教育ネットワークの不正アクセス事案に係る生徒調査の結果につい…” htn.to/8mcZ28
2016.07.25 14:23
https://twitter.com/ockeghem/status/757446151612211201

徳丸 浩@ockeghem

脆弱性診断の経験などからして『生徒権限を教師権限に変更する操作』の例としては下記が予想されます。

URLのパラメータ role=student を role=teacher に変更する

冗談みたいでしょ。この手は意外に多いんです twitter.com/ockeghem/statu…

2016.07.25 15:47
https://twitter.com/ockeghem/status/757467210470219776

徳丸 浩@ockeghem

まぁ、URLだったり、POSTだったり、Cookieだったり色々ではありますが、簡単に変更できることには変わりません RT @tomoko_o: URL？？？？まじコワイ twitter.com/ockeghem/statu…
2016.07.25 15:51
https://twitter.com/ockeghem/status/757468211847704576

ピッポ@ジグヘッダーズ@jj_202

まさにこれ。似たようなことやったわ。そもそもなんでURLにこんなパラメータ見えるように入れてんの？って思ったら、jsでブラウザのアドレスバー隠そうとしてた。firefoxには無効のjsで。

https://t.co/jEo241peum

2016.07.25 19:39
https://twitter.com/jj_202/status/757525720830652416

タモ㌠は日陰おひるね作戦ですっ！@tamosan

SEI-NETのみ。無線LAN側も気になりますね：学校教育ネットワークの不正アクセス事案に係る生徒調査の結果についてお知らせします / 佐賀県 pref.saga.lg.jp/kiji00349413/i…
2016.07.25 15:50
https://twitter.com/tamosan/status/757467984386363392

タモ㌠は日陰おひるね作戦ですっ！@tamosan

@tamosan （補足）記事を見ると、「自分の学習用PCのIDとパスワードを教えた者 2名 ※2名はIDとパスワードがどのような目的で使われるか等は一切知らなかった。」とのくだりが、ちょっと恐ろしいものを感じましたよ。
2016.07.25 15:52
https://twitter.com/tamosan/status/757468493457428480

中村竹七@Takeshich

すごく不可解なことが書かれていて、色んな意味で置いてけぼり。まとめた人がわかった人にチェックしてもらってないんだろうか。。。なんだろうこの斜め上。 / “学校教育ネットワークの不正アクセス事案に係る生徒調査の結果についてお知らせ…” htn.to/bZe54G
2016.07.24 00:41
https://twitter.com/Takeshich/status/756877013000990721

中村竹七@Takeshich

SEI-Netへ自分のIDでログインして生徒権限を教師権限に変更する操作を行いアクセスしたけれども、アクセスログ、監査ログを解析しても、教師権限で行える変更などは行っていなかったということなのかなぁ。
pref.saga.lg.jp/kiji00349413/i…
2016.07.24 00:58
https://twitter.com/Takeshich/status/756881123712479232

中村竹七@Takeshich

「(アクセスできる)隠しフォルダにあった校内の全生徒と全職員のID・パスワードを入手し保存していた。（利用はしていない。）」だけで、なんで厳重に注意されんだろうな。置いた側に注意されんの納得行かなくない？
pref.saga.lg.jp/kiji00349413/i…
2016.07.24 01:11
https://twitter.com/Takeshich/status/756884418262765572

Ka-Ka@ka_ka_xyz

生徒から教師へのフィッシング事例（「このPCからログイン出来ない」と報告して偽画面から教師のIDでログインさせるタイプ）が複数報告されてて興味深い。教育現場だとこういう危険があるのか。 / “学校教育ネットワークの不正アクセス事…” htn.to/GxZ9iz
2016.07.25 16:41
https://twitter.com/ka_ka_xyz/status/757480975223828480

その他に気になったことはこのあたり。

北河拓士 KITAGAWA,Takuji@kitagawa_takuji

備忘録: ランサムウェア対策としてのバックアップに関するいくつかの誤解 kitagawa-takuji.blogspot.com/2016/07/blog-p…
2016.07.25 22:03
https://twitter.com/kitagawa_takuji/status/757561933998411776

Neutral8✗9eR@0x009AD6_810

バックアップソフトも良いけど、同じ発想で VeraCrypt のコンテナやパーティション暗号化、ドライブ全体暗号化などで、マウント > バックアップ > アンマウント の操作をを自動化するなどの方法も良さげな感じがします kitagawa-takuji.blogspot.jp/2016/07/blog-p…
2016.07.25 23:26
https://twitter.com/0x009AD6_810/status/757582763331506176

nobuhiro tsuji@ntsuji

高度セキュリティ人材とかトップガン人材の育成が急務とおっしゃる方々におかれましてはそれらの足りない人数だけではなく、その業務の「日給」も合わせて言及していただきたく。
2016.07.25 15:20
https://twitter.com/ntsuji/status/757460412103131137

nobuhiro tsuji@ntsuji

あと「高度セキュリティ人材」や「トップガン人材」が何をする人なのか。どんなスキルセットが要求されるのかを具体的に説明していただきたいものです。
2016.07.25 15:22
https://twitter.com/ntsuji/status/757460962605539330

lumin@lumin

官公庁が考える高度セキュリティ人材若しくはトップガン人材の日給は？
2016.07.25 16:02
https://twitter.com/lumin/status/757470999298187264

徳丸 浩@ockeghem

『現在使用していない過去のウェブページが一部残存していること、さらに、そのウェブページのソースコード（PHP）の一部が、外部から確認できる状態…第三者から情報提供』 / “IPAが運営するウェブサイトに関する情報提供と対応完了に…” htn.to/iweevD
2016.07.25 16:14
https://twitter.com/ockeghem/status/757474114000912388

Isao Takaesu@bbr_bbq

本日のAISECjpで話した内容をSlideShareしました。
機械学習でWebアプリの脆弱性を見つける – Reflected XSS 編 – #machinelearning slideshare.net/babaroa/web-re… @SlideShareさんから #AISECjp
2016.07.25 23:33
https://twitter.com/bbr_bbq/status/757584642639732736

Kyoko HANADA　(花田 経子)@cchanabo

#cchanabomemo #yuzawaws
情報セキュリティワークショップin越後湯沢2016の一般参加申し込みは、8/1を予定しております。anisec.jp/yuzawa/?info=8…
今年もどうぞよろしくお願いします。（なかのひとより）
2016.07.25 16:49
https://twitter.com/cchanabo/status/757482891114713089

上原　哲太郎@tetsutalow

“「情報セキュリティワークショップin越後湯沢 2016」への参加申し込みは、 こちらのページから、8月1日（月）より開始いたします。”今年も瞬殺が予想される…一瞬の油断が命取りだぜ… / “参加登録 | 情報セキュリティワーク…” htn.to/AsNE63
2016.07.25 16:21
https://twitter.com/tetsutalow/status/757475842150674432

ISC2_Japan@ISC2_Japan

今年も「情報セキュリティワークショップ in 越後湯沢」ブース出展します。 twitter.com/yuzawaws/statu…
2016.07.25 16:52
https://twitter.com/ISC2_Japan/status/757483573804957696

rryu@rryu2010

セキュリティ事案かと思ったらunityのRich Textらしい。この部分だけうっかりリッチテキストを有効にしたっぽい。 / “#ポケモンGO ニックネームにHTMLのタグが使えて太字や斜体にできる！ – Togetterまとめ” htn.to/rek9KT
2016.07.25 18:35
https://twitter.com/rryu2010/status/757509480942710785

警視庁犯罪抑止対策本部@MPD_yokushi

（この画像は、出勤後、「作ろう！」ということになり急遽作成いたしました。ですから、言葉もあまり練れていないところがありますが、「～しない」や「やめましょう」という禁止の文言は極力使わずに作成いたしました…）（甲） pic.twitter.com/jdPAPfKUQi
2016.07.25 17:22
https://twitter.com/MPD_yokushi/status/757491139238699009

ITmedia@itmedia

［ねとらぼ］超絶かわいい警視庁公認ケモノ娘“テワタサナイーヌ”から「ポケモンGO」トレーナーへお願い！　「安全に楽しくプレイしてね！」 bit.ly/2ajZCIE
2016.07.25 16:10
https://twitter.com/itmedia/status/757473039080562689

.mario@0x6D6172696F

AngluarJS sandbox bypasses for each and every version (1.2.0 to 1.5.7):
pastebin.com/xMXwsm0N (credits @garethheyes @cure53berlin @tehjh)
2016.07.25 19:05
https://twitter.com/0x6D6172696F/status/757517148847738880

High-Tech Bridge SA@htbridge

Researchers used 0day RCE in PHP to hack PornHub via #BugBounty securityweek.com/researchers-us… #websecurity
2016.07.25 18:58
https://twitter.com/htbridge/status/757515369506537472

yaworsk@yaworsk

Published new version of leanpub.com/web-hacking-101. Includes examples from @esevece @zseano @strukt93 @brutelogic and tools thanks to @Jhaddix
2016.07.25 14:00
https://twitter.com/yaworsk/status/757440256950009857

Rob Waters@r0bertwaters

Time For Apple Inc. (AAPL) To Consider Bug Bounties #Apple $AAPL #bugbounty #cybersecurity apple.news/Ac1smnrteS5aHg…
2016.07.25 23:07
https://twitter.com/r0bertwaters/status/757577900157640705

SecurityInsight.jp@sec_insight

日本ヒューレット・パッカード、サイバー犯罪を後押しする地下経済を広く検証した「ハッキングビジネス」レポートの日本語版を発行:
日本ヒューレット・パッカードは7月22日、サイバー犯罪を後押しする地下経済を広く検証した… tinyurl.com/jk7qrjt
2016.07.25 13:49
https://twitter.com/sec_insight/status/757437622935429120

セキュリティ・トレンド bot@sec_trend

「CTCセキュリティサミット2016」に見る、セキュリティ実現に必要な3つのキーワード
business-on-it.com/security_16072… – izumino.jp/Security/sec_t…
2016.07.25 16:40
https://twitter.com/sec_trend/status/757480599875489792

スラド 公式@sradjp

hardware.srad.jp/story/16/07/25… #hardwarehack 3DSソフト「プチコン3号 SmileBASIC」で任意のコードを実行できる問題が確認される
2016.07.25 17:00
https://twitter.com/sradjp/status/757485551662444544

ITmedia@itmedia

［TechTargetジャパン］中小企業こそ真剣な取り組みを：専門家も意見が分かれる「ランサムウェアに身代金を払うべきか、払わないべきか？」 bit.ly/29Y02lw
2016.07.25 07:10
https://twitter.com/itmedia/status/757337083467866112

ITmedia@itmedia

［@IT］端末を遠隔操作するバックドア型アプリも存在：Pokemon GOの「偽アプリ」にご用心 bit.ly/2a4EcCi
2016.07.25 12:30
https://twitter.com/itmedia/status/757417620287004672

CNET Japan@cnet_japan

「Clash of Kings」の公式フォーラムがハッキング被害–約160万件のアカウント情報が流出 japan.cnet.com/news/service/3…
2016.07.25 11:47
https://twitter.com/cnet_japan/status/757406777369501696

CNET Japan@cnet_japan

スノーデン氏、情報漏えいを防ぐ「iPhone」ケースをデザイン japan.cnet.com/news/service/3…
2016.07.25 10:42
https://twitter.com/cnet_japan/status/757390422515646464

INTERNET Watch@internet_watch

Android 4.1.2以前の機種に2つの脆弱性、不正アプリから電話をかけさせられる恐れなど　 internet.watch.impress.co.jp/docs/news/1012… pic.twitter.com/suqkhaS6wi
2016.07.25 18:07
https://twitter.com/internet_watch/status/757502425578086400

kusanoさん@がんばらない@kusano_k

アップデートが提供されていない端末はどうすれば…？
“アップデートが提供されていない端末では対策方法がないことから公表されていなかった”
Android 4.1.2以前の機種に2つの脆弱性、不正アプリから電話をかけさせられる恐れなど
internet.watch.impress.co.jp/docs/news/1012…
2016.07.25 23:27
https://twitter.com/kusano_k/status/757583075702247424

ギズモード・ジャパン@gizmodojapan

ヒラリー大統領候補、セキュリティエンジニアを急募 bit.ly/2a4UD1G pic.twitter.com/CZLGAG8yTt
2016.07.25 15:18
https://twitter.com/gizmodojapan/status/757460020044898304
https://matome.naver.jp/odai/2146942877128393101
yousukezan
2016年07月26日

前の記事

フォロワー即20万人越！あっちゃんツイッター始めたってよ

次の記事

【無料航空券】1機分180席のチケットがあたる！? RED A…