電気ひつじ牧場

技術メモ

セキュリティ・ミニキャンプ北海道でチューターをしました

セキュリティ 体験記

11/3,4に北大の情報基盤センターでセキュリテイ・ミニキャンプが開催されました。
私はチューターをさせてもらえる事になったので、忘れないうちに内容振り返って見たいと思います。

参加者について

いつも通り、小学生から大学生までが集まりました。割とサークル等で宣伝をしたのですが弊学からは例年通り少数しか参加がありませんでした・・・。（さみしい）

1日目

晴れて良かった

普段のイベントとは違い会場まで徒歩2分ほどだったので楽でした。

IoTカーを用いたセキュリティ演習

ラズパイカーに潜む脆弱性を攻撃して、車ごと乗っとったり、その脆弱性を塞いだりする演習でした。

このラズパイにはカメラが付いていて、webブラウザからその映像を確認や車の操作ができるようになっています。車の操作時にHTTPのクエリパラメータで実行するスクリプトが選択できるようになっているため、そこにｼｭｯっとよろしくない入力を入れると任意のコマンドを実行できてしまいます。いわゆるOSコマンドインジェクションと言われるものです。これを防ぐために実行できるスクリプトを制限する、エスケープ関数を使うといった対策をとりました。講義ではそのようにしましたが、本来はPHPのsystem()は避けるのが無難だと思います。

講師の方は某教育機関の教員の方で、#本当にひどい実験というハッシュタグで有名らしいですが、ローカルネタすぎて私はよく分かりません・・・

こちらの講義にはHTBさんが撮影にきており、youtubeにも上げられています。自動運転やら誤作動やら適当なことを言っているような気がしますが
【HTBニュース】誤作動やハッキングからシステム守るセミナー開催 - YouTube

セキュリティ技術と倫理

恒例夜の倫理セッションです。警察組織に関するお話から始まり、不正アクセス、マルウェア作成罪等の電子犯罪に関わる法律のお話をしていただきました。夏のセキュリティキャンプとはまた一味違った話を聞くことができたと思います。最後にザ・ハッカーという映画の紹介があり、結構有名らしいのですが私は知らなかったため、今後見てみようと思います。

2日目

晴れましたね。良かった

CWEから学ぶ脆弱性

C言語で作成されたプログラムに存在する有名どころの脆弱性・バグを攻撃する演習です。BOFやuse after freeなど盛りだくさんでした。とにかく手を動かす演習だったので参加者の方は大変だったと思いますが、同時に楽しかったと思います（私も2年前のミニキャンで受けたかった）。自分は最近メモリを覗いたりshellをとったりしてなかったのですがこれに触発されてやりたくなってきました。

V-USBで開発する組み込み機器プログラミング

挿しただけで勝手にマウスを操作する凶悪なUSBデバイスの作成をしました。今回はマウスでしたが、キーボードを勝手に操作するバージョンもあるようです。拾った怪しいUSBデバイスをPCに挿してはいけませんよ！

↓参加者の方が面白いものを作成していました。

おわりに

2年前の札幌でのミニキャンプは私がセキュリティに興味を持つきっかけとなったイベントでした。今回はこうしてチューターという形で参加することができて、新たに学ぶことも多かったです。今回のキャンプで嘗ての私のようにセキュリティの面白さに気づき、数年後チュータとしてコミュニティに貢献してくれる方がいればとても嬉しいです。2日間という短い間でしたが、講師の方々、スタッフや参加者の皆さん、ありがとうございました。