2020年を振り返って

 2020年を振り返って。

日々、情報収集した内容や勉強した内容をブログや技術メモとして、
継続的にまとめようと思いつつ、なかなか継続的にこなす事が出来ませんでした。

最終日くらい何か書きたいので、今年役立った資料を３つ紹介したいと思います。

PowerShellのInvoke-WebRequestでSession用のCookieを維持する

PowerShellでページにアクセスしてからPOSTする方法。
セッション用のCookie等があるサイトでは、CookieをPOSTリクエストに含める必要があります。

ページの取得

Invoke-WebRequest 'https://0dsec.blogspot.com/' -SessionVariable 'Session'

Cookieを維持したままPOSTする

Invoke-WebRequest 'https://0dsec.blogspot.com/' -Method 'POST' -body 'key=value' -WebSession $Session

参考：Invoke-WebRequestのExample 2: Use a stateful web service

LinuxのPowerShellでハッシュ値を求めてみたら

ハッシュ値の取得でハマった

Kali Linuxで文字列のハッシュ値を取得する処理でハマったので整理する。

~$ echo -n test | md5sum
098f6bcd4621d373cade4e832627b4f6 -

~$ echo test | md5sum
d8e8fca2dc0f896fd7cb4cb0031ba249 -

この二つでハッシュ値が変わるのは、echoコマンドのオプション-nにあります。
このオプションは文字列の最後に改行を入れません。

さて、なぜハマったかですが、PowerShellはLinuxにもインストールできますので、Kali LinuxでPowerShellのスクリプトを作成していました。
Linux への PowerShell のインストール

PowerShellでハッシュ値を取得する処理を記載していたのですが、コマンドの結果は以下の通りです。

PS > echo -n test | md5sum
d8e8fca2dc0f896fd7cb4cb0031ba249 -
PS > echo test | md5sum
d8e8fca2dc0f896fd7cb4cb0031ba249 -

いずれもハッシュ値はd8e8fca2dc0f896fd7cb4cb0031ba249となります。

では、echoのAliasを見てみます。

PS > alias echo
CommandType Name Version Source
----------- ---- ------- ------
Alias echo -> Write-Output

echoのAliasはWrite-Output なので、Powershellでecho test | md5sumを実行したら以下のコマンドと同一になります。

Write-Output test | md5sum
d8e8fca2dc0f896fd7cb4cb0031ba249 -

Write-Outputのオプションを見ましたが、最後の改行を出力させないオプションは無いようです。

簡単にハッシュ値を求めるにはBashを使用する方が良さそうですね。

タスクバーの時計に秒を表示する

画像のように、秒を表示する方法手順は以下の通り。
※レジストリを変更するため、内容を理解出来る方以外は実施しないでください。

1. Windowsキー + Rで「ファイル名を指定して実行」ウインドウを出す
2. 「regedit」を入力し、レジストリエディタを起動
3. 以下のレジストリを登録
• キー
  HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced
  
• 種類（新規でDWORDを選択）
  REG_DWORD
• 値
  ShowSecondsInSystemClock
• 値のデータ
  1

powershellでログを記録する

powershellのバッファリングを増やす（１回）

mode con: lines=32766

バッファリングの設定を確認する

mode con:

powershellでログを取得する

Start-Transcript 出力ファイル -append

ログの取得を停止する

Stop-Transcript

Kali Linuxのセットアップ

Windows 10のWSL 2でKali Linuxを利用する（2004）の記事の続き。

Kali Linuxの公式サイトにドキュメントがありましたので、
Optional Steps手順にてセットアップをしていきたいと思います。
公式サイト：Win-KeX | Kali Linux Documentation

ツールのインストール

 kali-linux-defaultもあるようですが、largeにてインストールします。

# ツールのインストール
sudo apt install kali-linux-large

Windows Terminalのインストール

必須ではありませんが、Windows Terminalを使用することで、便利になりますのでMicrosoft StoreからWindows Terminalをインストールします。

続いて、下記画像の設定からショートカットを作成します。

設定を開いたら、以下を追加して完了。

{
"guid": "{55ca431a-3a87-5fb3-83cd-11ececc031d2}",
"hidden": false,
"icon": "file:///c:/users/<windows user>/pictures/icons/kali-menu.png",
"name": "Win-KeX",
"commandline": "wsl kex wtstart",
"startingDirectory" : "//wsl$/kali-linux/home/<kali user>"
},

以上でWindows TerminalのショートカットからWin-KeXを選ぶだけで、Kaliが立ち上がるようになりました。

WSL 2とVirtual Boxの共存

背景

元々VirtualBox上にWindowsやLinuxを構築していましたが、WSL 2でKali Linuxの利用が便利だと聞いたため、Windows 10のWSL 2でKali Linuxを利用する（2004）の記事にてWSL 2を有効化しました。

WSL 2の仮想化支援機能

WSL 2のHyper-Vハイパーバイザーが仮想化支援機能を使用するため、VirtualBoxは共存出来ないという背景があったようです。
現在はHyper-VハイパーバイザーはHypervisor Platform APIを設けて、Hyper-Vを介してCPU仮想化支援機能を使えるようになり、VirtualBoxも6.0.0からそれに対応したため、共存出来るようです。

共存を試した結果

WSL 2のKali Linuxは起動も楽で良い感じでしたが、元々利用していたVirtualBox上のWindowsが使い物にならないくらい遅くなりました。
（今まで起動に1分掛からないものが、10分以上経過しても操作出来ない状態）

解決案

解決案として、以下の2パターンが考えられます。

1. WSL 2を無効にしVirtualBoxメインにする
2. VirtualBoxに構築している仮想マシンをHyper-Vに移行する

1は今まで通りとなりますが、KeXが便利であることと、Hyper-Vも利用した事が無く使ってみたいため、2の方向で進めようと思います。

試行

Hyper-VにWindows10をインストールして動作を見たところ、そこそこ動いたので本格的に移行していこうと思います。

Windows 10のWSL 2でKali Linuxを利用する（2004）

今まで、Kali Linux等を構築する際は、Virtual Box上にOSのisoファイルでインストールしていました。
WSL 2を利用するとKali Linuxのインストールが楽だと聞いたことや、日経Linux 2020 7月号で特集を読んだこともあり、この機に構築しようと思います。

WSL2の導入

参考にしたのは以下のページ。
Windows 10 用 Windows Subsystem for Linux のインストール ガイド

powershellを管理者権限で起動して以下を実行します。

# WSLの有効化 
dism.exe /online /enable-feature /featurename:Microsoft-Windows-Subsystem-Linux /all /norestart
 # "仮想マシン プラットフォーム" のオプション コンポーネントを有効化
dism.exe /online /enable-feature /featurename:VirtualMachinePlatform /all /norestart 
# 再起動
Restart-Computer 
# WSL 2 を既定のバージョンとして設定
wsl --set-default-version 2

Kali Linuxの導入

Microsoft StoreからKali Linuxをインストールします。

インストールが完了したら起動します。

usernameとpasswordを求められるため、入力します。

別のpowershellを立ち上げ、インストールされたKali LinuxがWSL 2か確認します。

# 割り当てられているバージョンの確認

wsl --list --verbose

VERSIONが2となっていれば、WSL 2です。

Win-KeXの導入

Kali Linuxのバージョン 2020.3から導入された、Win-KeXを導入します。

# パッケージを最新

sudo apt update

sudo apt upgrade

# kali-win-kexインストール

sudo apt install kali-win-kex

# 起動

kex

Kali LinuxのGUI画面が表示されれば成功です。

ハマったポイント

wsl --set-default-version 2でエラー

WSL 2の導入中に以下のエラーが発生した。

wsl --set-default-version 2

エラー: 0x1bc

WSL 2 との主な違いについては、https://aka.ms/wsl2 を参照してください

WSL 2のLinuxカーネルを更新しない時に発生するようなので、以下のページの「Linux カーネル更新プログラム パッケージをダウンロードする」から更新を実施しました。

WSL 2 Linux カーネルの更新

kexで起動すると黒い画面しか表示されない

GUI画面でLog Outしたら、以降黒い画面しか表示されなかった。
kex stopでプロセスを落とし、再度kexで起動することで解消した。

所感

聞いた通り、Virtual Boxで構築していた時に比べ、非常に楽で時間も掛かりませんでした。

ネットワーク周りがどう動いているのか把握出来ていませんが、ここは追々調べたいと思います。

他にもUbuntuやCentOS等を使用するので、WSL 2で導入したいと思いました。

Windows10でMicrosoftへのエラー報告を無効にする

Windows10でMicrosoftへのエラー報告を無効にする設定を忘れないようにメモ。


1. Windows キー + R キー > 「regedit」と入力して [OK]

2. レジストリ エディターが起動したら左側のツリーを以下のように展開
HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows

3. Windows を右クリック > [新規] > [キー] > キー名を [Windows Error Reporting] にする

4. [Windows Error Reporting] を右クリック > [新規] > [DWORD (32 ビッド) 値] > 名前を [Disabled] にする

5. [Disabled] をダブルクリック > [値のデータ] 欄に [1] を入力して [OK]

6. レジストリ エディターを終了してパソコン再起動


注意事項
Homeでは無効に出来ません。

通知機能を利用した悪質プッシュ通知

インターネットアクセス中に通知の許可を求めるポップアップが出ることがあります。

このプッシュ通知を利用して悪質な広告を配信するサイトがありますが、調査時には悪質サイトが無くなっているケースもあります。
どういったサイトだったのか説明するために良いyoutubeチャンネルを見つけたのでメモ。

こちらのチャンネルですが、悪質サイトにアクセスしてプッシュ通知を許可から対処まで動画で解説していました。

https://www.youtube.com/channel/UCgz4a6NA3G5M5QkUOSwZpYQ

DevSecOps

先日セミナーでDevSecOpsの話を聞き面白そうだと思い、勉強も兼ねて環境を作ってみようと思います。
セミナーではセキュリティ製品を使用してましたが、個人で購入するのは厳しいのでOSSで考えてみました。

【構成図】


開発者がプッシュ後、チケット登録まで自動化するようにチャレンジしてみようと思います。

Windows10でデスクトップの表示方変更する方法

Ctrl ＋ Alt ＋ 1〜8

1〜8で特大アイコン〜コンテンツに変更出来ます。

ブログ移行完了

さくらのブログを利用していましたが、諸事情がありブログを変更しました。
記事の移転も完了したので、今後はこちらに投稿していきます。

マルウェア付きメール②

件名：Re: shipping information
添付ファイル名：shipping_0517700.doc

■VirusTotalの情報
SHA256:fb11e4192123e1738a9e587f4d95cb283f84357ea8b0ecd79bbff7a4ae3130ed

■実際のメール

前回受信したメールと似た手口でした。
マルウェア付きメール

・どちらも実在するドメインからの送信
・送信時間、送信曜日の類似
　前回：Thu, 31 Mar 2016 08:xx:xx -0700 (PDT)
　今回：Thu, 19 May 2016 08:xx:xx -0700 (PDT)
・どちらもワードファイルに仕込んだマクロウイルス

サンプル数が少ないのでたまたまかもしれませんが、
今後も来ると思いますのでウォッチしていこうかと思います。

パスワードに関するWEBアプリの仕様

あるWEBサイトの仕様でビックリする事がありました。
それは下記のような仕様です。
①会員登録時のパスワードが6～8桁
②「パスワードを忘れた場合はこちら」で再発行をしたら設定したパスワードが届いた

そこで、今回はこの2点について書きたいと思います。

①会員登録時のパスワードが6～8桁
発注者はWEBサービスを利用するユーザーの利便性を考えてパスワード桁数を増やしたくないと思ってます。
そのため、最低文字数を決める際に「出来る限り短いパスワードにしたい」という要望に対して、利便性とセキュリティを考慮した桁数を提示する必要があります。

最低桁数の根拠としてOWASPのガイドラインを基にすると良いです。
アカウントロック機能などを搭載する事を前提としてですが、下記のガイドラインが参考になります。
実践 OWASP
・Webシステム／Webアプリケーションセキュリティ要件書

最大桁数ですが、少なく制限するのは問題となります。
ユーザーが大きい桁数を選択出来ない事によって認証が突破された場合、システム側の責任となる可能性があります。
パスワードの保管はソルト＋ストレッチングでハッシュ値を保存しますのでデータとして保持するサイズは桁数で変わりません。
もし、6～8桁のように上限が小さい場合は、最大桁数を増やせない理由がある可能性があります。
「桁数が増える事によってデータ容量が増える」といった理由であれば、ハッシュで保存していない事にもなります。


②「パスワードを忘れた場合はこちら」で再発行をしたら設定したパスワードが届いた
「設定したパスワードが届く」ということはパスワードがハッシュ化されていません。
平文で保存していた場合は論外ですが、暗号化で保存してあったと暗号鍵が奪われるリスクや保守担当者が鍵を知っていた場合は復号が可能です。


こういったサイトをどうしても利用する際はパスワードの使いまわしは辞めましょう。

情報セキュリティマネジメント試験の問題を見て

今春から新設された情報セキュリティマネジメント試験の過去問が公開されてます。
平成28年度 過去問題

内容を途中まで見た感想を記載したいと思います。
【1点目】
午後問題の3ページ目で標的型攻撃メールとばら撒き型メールが問題となってます。
標的型攻撃メールは年金機構で話題となってから言葉が一人歩きしているように感じていました。
本来の目的である「データ流出を防ぐ」という事よりも「標的型攻撃メールを防ぐ」事に焦点があてられ、
意味合いもばら撒き型と混同されている印象を持ってましたので、問題として明確化してくれたのは良かったと思います。

【2点目】
午後問題の10ページ目で標的型攻撃メール訓練について言及されています。
訓練については様々な議論があるかと思いますが、メール受信後や添付ファイル、URLクリック後の報告、エスカレーションといった部分が一番重要だと考えていました。
解答内容が同じ考えであったので後ろ盾を得た気分でした。
（誰かを説得する際に、IPAでは～という説得の仕方が可能になるため）

クリック率を0%にする事は出来ませんので、クリックしたかどうかだけで評価する事は本質を見失います。
訓練では攻撃を受けてから一人一人が適切に対応出来るか確認するとともに、対応マニュアルの評価も同時に行って欲しいと思います。


この試験ではセキュリティに詳しくない人は元より、IT従事者以外にも受けてほしいと思いました。

マルウェア付きメール

件名：Re: Re: billing reminder
添付ファイル名：due_bill_674214.doc

■VirusTotalの情報
SHA256:767944ad1b275795b153e74f778a78e9b6fb4ee781a7314e8415d6f32e4604a7

■実際のメール

■送信元ドメインのサイト
4/1時点で確認した際にはハッキングされた旨の注意書きがありましたので、乗っ取られてマルウェア付きメールをばら撒いたのかと思います。
受信したメールアドレスは公開しているアドレスではなく、いくつかのサイトに登録しているくらいなので、どこかで流出した可能性があるのでしょう。

--追記--
ブラウザでGmailを見た際には画像の通り、ウイルス検知によりダウンロードできません。
AndroidのGmailアプリでは警告メッセージは出てますがダウンロードが可能となってますので、
スマホでダウンロードしたファイルをVirusTotalにアップロードしております。

フォルダ内のファイル名が省略されるのを最適化するショートカット

フォルダ内のファイル名が省略され、毎回マウスで項目の所を動かすのが億劫でした。
最適化するショートカットがありますので、メモになります。

Ctrl ＋ テンキーの+

名前以外にも、更新日時や種類も合わせて最適されます。

Windows10でコントロールパネルを開く

Windows10にアップグレードした後、コントロールパネルを探すのに苦労しました。
簡単にコントロールパネルを開ける方法が分かったので、備忘のため記載します。

方法①
　タスクバーのウィンドウズアイコンを右クリック
方法②
　Windowsキー ＋ X

他にも「プログラムと機能」や「ネットワーク接続」などもアクセスしやすいので、覚えておいて損はないと思います。

スクウェア・エニックスを装ったフィッシング詐欺

スクウェア・エニックスを装ったフィッシング詐欺メールを20通ほど手に入れたので簡単にまとめます。
全て一つのアドレスで受信したメールです。

※「メール内のリンクをクリックしてしまった」「メールを受信したが、どうすれば良いか分からない」といった方はスクウェア・エニックス公式サイトの案内を参照して下さい。
スクウェア･エニックスを装った不審なメールおよびサイトの例

---

メールが送信された年月

送信年月(JST)	メール数
2015/04	6通
2015/06	6通
2015/07	4通
2015/08	4通

5月が0通なのが面白いなと思いました。
6月以降は4月と比べメール内容の傾向も変わったので、5月にフィッシング成功率の改善を行っていたのかもしれません。

メールの件名

件名	メール数
『ドラゴンクエスト』	2通
アカウント確認のお願い	3通
［本人確認のための認証］ バージョン3.0 開始！	1通
本人確認のための認証	14通

一番最後の14通は全て6月以降のメールです。

受信メールの一例

特徴
・From偽装されている(一番上の赤枠)
・メール本文に記載されているURLとアクセス先のURLが違う(下二つの赤枠)

メールに記載されていたURLのアクセス先FQDN

FQDN(重複分は削除)
hiroba[.]dqx[.]jp[.]qs[.]shffw[.]com
hiroba[.]dqx[.]jp[.]sa[.]cpdnk[.]com
hiroba[.]dqx[.]jp[.]sa[.]ktxps[.]com
hiroba[.]dqx[.]jp[.]sb[.]secxu[.]com
hiroba[.]dqx[.]jp[.]sb[.]zigsd[.]com
hiroba[.]dqx[.]jp[.]sc[.]ghjlyj[.]com
hiroba[.]dqx[.]jp[.]sc[.]qqibhd[.]com
hiroba[.]dqx[.]jp[.]sc[.]zigsd[.]com
hiroba[.]dqx[.]jp[.]ser[.]tdhaj[.]com
hiroba[.]dqx[.]jp[.]sf[.]uhffr[.]com
hiroba[.]dqx[.]jp[.]sg[.]mgieq[.]com
hiroba[.]dqx[.]jp[.]si[.]jyuwv[.]com
hiroba[.]dqx[.]jp[.]sn[.]ghjlyj[.]com
hiroba[.]dqx[.]jp[.]sn[.]secxu[.]com
hiroba[.]dqx[.]jp[.]sp[.]secxu[.]com
hiroba[.]dqx[.]jp[.]sr[.]qtrwy[.]com
hiroba[.]dqx[.]jp[.]st[.]yzymq[.]com

フィッシングに関する注意喚起は下記サイトを参照下さい。
[更新] スクウェア・エニックス（ドラゴンクエストX）をかたるフィッシング (2015/07/09)