パスワード管理については今後動画で詳しく扱いたいと思っています。 基本としては、plaintext(暗号化されていない文章)をコンピュータ上に残すのは攻撃者にとって格好の的になりますのでおすすめしません。日常的に使用するOSの場合、password managerを利用することを推奨します。password managerならば人力では管理出来ない大量の強力なパスワードを自動生成・管理出来ますし、パスワード入力も自動化できるため入力時のミスを防げます。 懸念としてはpassword managerがいわゆるsingle point of failureになることなのですが、password managerを提供する企業またはコミュニティは他のサービスに比べても非常に強力な対策を取っています。このあたりの技術についてもパスワード管理の動画で触れる予定です。
コメントを頂いた内容に関しては順次動画を投稿していきます。１週１本程度の投稿頻度で考えています。合法でハッキングの技術や知識を学ぶ方法についてはこちらの動画をご覧ください: [合法でハッキングする方法３選](th-cam.com/video/Xtinp004mJw/w-d-xo.html)
追記：いくつか技術的質問に関してはコメントで返答したのですが、TH-camコメントの仕様上返答コメントが埋もれてしまいやすいので、原則的には動画で扱う方針です。
守る側としてどこにきをつければいいか学べるから良い動画だわ
Web系エンジニアをしています
実際の攻撃者が使うツールとか、セキュリティに穴がないか確認するためのイディオム的なアクセス先とかがわかってめちゃくちゃ参考になります
CTF実況・解説これからも期待しています！
全くの素人でもある程度理解できる説明で楽しいな〜
発音が心地良い
サーバーログたまに見ると手当たり次第に環境ファイル覗こうとして弾かれてるログあったりするから怖いんよなぁ…
コワッ
攻撃者の側の視点で解説している動画はなかったので、非常に勉強になりました。
また、こういう系統の内容があればシリーズ化していただきたいです。よろしくお願いいたします。
非常に面白かったです！他にも実際の流れの事例を見てみたいです！
一番簡単なのは標的のパソコンの前でF長押しです
たまに警報が鳴るので銃火器で応戦しましょう
(;`・д・´)
CC 1F B7
概要欄を読んでいない方向けにコメントします。
動画の冒頭の nmap のコマンドによるスキャンをするだけでも、
攻撃の意思ありと見なされて法律に抵触する可能性があります。
JunTakemuraさん
興味のあった内容だったので、非常に面白かったです。
謎の法律ですよね。。ある程度攻撃方法を学ばないとどういったところを防御しないといけないかわからないのに
デマでなければ具体的な法律を教えて下さい。
@@MorningChocoコメント主ではありませんが、
おそらく「不正アクセス禁止法」違反に該当するかと。
「NEC」や「Canon」、「ArchWiki」ではこの法律に抵触する可能性があると書かれています。
しかし、「日経クロテック」では「不正アクセスの予備的な行為と考えられ，不正アクセス禁止法違反には当たらないのが普通」と書いていて意見が別れています。
@@Candysweetcandy 専用の環境を自分でつくればいいじゃん。なんで自分が防御方法を学ぶために無関係な人が脅威を感じなきゃいけないの。
@@Candysweetcandy ポートスキャンとは言うなれば家のドアの施錠を確かめるような行為です。もし自分の家のドアを勝手にガチャガチャやっている人を発見して問い詰めたところ、「地域の防犯体制を高めるために戸締まりを確認したいだけだ。悪意はない」と返されたとして、信じられるでしょうか。実際にその人が善人であり良い意図を持っていたとしても、不審者にしか見えないでしょう。
ですからこれを法律で制限するのは自然な選択であるように私は思います。ハッキングを合法で学ぶ手段はいくらでもありますので、ぜひこちらの動画を参照してください：th-cam.com/video/Xtinp004mJw/w-d-xo.html
ちょうどCTFやる直前だったので助かります
日本版Mr Robotが出て新世代のジャパニーズサイバーキッズが出てくる事を夢見る
このチャンネル続けたら伸びる
アプリ開発をしていて、ハッキングに少しだけ興味を持ち始めたんですが、すごく面白かったです😊
So interesting vid, bro o7
Can’t wait for the next!!!
ウェブ系のエンジニアをしています。
実際に攻撃者側の視点を見てみるとよりセキュリティについて、より深い理解ができました！
次回も楽しみにしています！
※個人的にはバックドアをどうやって作るのかとか興味があります！
話し方が完全にAtCoderのsunkeさん。いい意味で。
こういった知識はどこで学習されたのでしょうか？
大学でセキュリティ科のようなところで学んだのか、セキュリティ会社に入ってから学んだのか、独学なのか知りたいです。
私の場合は学部の専攻がサイバーセキュリティだったのでペンテストのモジュールも１つはありましたが、実際の知識はほとんどCTFと自前の仮想環境での研究によるものです。大学で学んだのはほとんどCSの基礎理論とネットワークの事でした。
（なお、このコメントを読まれる学生の方がいることも想定して言及しておくと、学部の専門をサイバーセキュリティにしてしまうと修士に進む場合に選択肢が狭まるのでお勧めしません。日本の場合は院試があるので大きな問題はないかもしれませんが、欧州だと学部の単位で判断する大学院が多いので、自由がきかなくなります。コンピューターサイエンスを広く扱う専攻を推奨します。）
実践的知識を学ぶにはCTFに取り組むのが一番だと思います。CTFと言っても色々ありますが、HTBやTryHackMeのような練習用のマシンにアクセスにでき、解説やコミュニティの質が高く充実しているものを勧めます。この２つのCTFプラットフォームは無料で始められ、有料プランもそこまで高額ではないです。OSCPという有名な試験とセットになっているOffSecのコースもあるのですが、これは非常に高額な上に深堀りするわけではなくラボにアクセス出来る期間も限られているため、金銭的に余裕があるか、会社の補助を受けられる方向けと思います。
この事については動画で詳しく扱おうと思って返信していなかったのですが、他に投稿したい動画も多くしばらく出せそうにないので、今更ですがこの場で返信させていただきました。
※追記
このコメントに返信されている内容が管理画面では確認出来るに関わらず、コメント欄に公開されていない状況です。コメント規制等は設定していないため、TH-cam側の不具合と思われます。せっかく丁寧な返信を頂いたにも関わらず申し訳ないです。
@ とても丁寧な返信ありがとうございますm(_ _)m
自分も情報分野で修士まで出ていますがペネトレーションテストなど基本的な単語も知らなくてやはり違う畑だなぁと実感しました笑
名前だけは聞いたことありましたがCTFはそんなに実践的な競技だったんですね！
学生が興味を持つための入り口なのかと思ってましたが、プロが最も実践的知識を学ぶのに最適というほどとは驚きました。
OffSecのOSCPのコース(PEN-200)本当に高いですね笑(日本円で35万円)
とは言っても自分がいるネットワーク系の講座でも似たような値段なのでまさしく企業の資格取得支援向けのプランって感じました。
日本企業に勤める人が会社ブログで受験記を書かれてたので日本企業でも評価はされてそうに感じました。
わざわざ返信下さりありがとうございました。
@
とても丁寧な返信ありがとうございますm(_ _)m
自分も情報分野で修士まで出ていますがペネトレーションテストなど基本的な単語も知らなくてやはり違う畑だなぁと実感しました笑
名前だけは聞いたことありましたがCTFはそんなに実践的な競技だったんですね！
学生が興味を持つための入り口なのかと思ってましたが、プロが最も実践的知識を学ぶのに最適というほどとは驚きました。
OffSecのOSCPのコース(PEN-200)本当に高いですね笑(日本円で35万円)
とは言っても自分がいるネットワーク系の講座でも似たような値段なのでまさしく企業の資格取得支援向けのプランって感じました。
@@JunTakemura
とても丁寧な返信ありがとうございますm(_ _)m
自分も情報分野で修士まで出ていますがペネトレーションテストなど基本的な単語も知らなくてやはり違う畑だなぁと実感しました笑
名前だけは聞いたことありましたがCTFはそんなに実践的な競技だったんですね！
学生が興味を持つための入り口なのかと思ってましたが、プロが最も実践的知識を学ぶのに最適というほどとは驚きました。
OffSecのOSCPのコース(PEN-200)本当に高いですね笑(日本円で35万円)
とは言っても自分がいるネットワーク系の講座でも似たような値段なのでまさしく企業の資格取得支援向けのプランって感じました。
既に色んな疑問について動画を作成して下さってたんですね！
ありがとうございます！
セキュリティ分野で日本語でこんなに具体的で分かりやすい動画はTH-camでは中々見ないので、これをきっかけに勉強を始める学生などもいると思います！
これからも応援してます！
運用してると最大の敵は無能な味方だと本当に思う。わかりやすいユーザ名とパスワードを設定するんじゃない。特にWPみたいなセキュリティガバガバツール使うと何でもアリになっちゃう。2FAワンタイムトークン必須。
webエンジニアです！大変勉強になりました！dockerなどでコンテナ化や仮想化している場合も同じように管理者にたどり着けるのでしょうか？
dockerを使っているとrootを手に入れてもコンテナの中のものにすぎないので、本動画で用いた手段ではホストマシンのrootにはたどり着けません。
ただ設定次第では侵入手段があります。例えばdocker socketがコンテナにマウントされているとroot権限を持つdocker daemonを動かせてしまうので、簡単にホストマシンのrootが取れます。一部のソフトウェアがこの設定を要求していたり、CI/CDのチュートリアルで便利な設定として紹介されていることがあるため、起こりやすい脆弱性です。
vmの場合はより難しいですが、共有フォルダの設定次第では（例えば利便性を優先してホームディレクトリを共有してしまっているような場合）ホストマシンに侵入することは可能です。
神動画😊
非常に興味深い内容でした。
こういったツールってどうやって調べているのですか？
どんなに頑張っても脆弱性は生まれちゃうから、ログコンソール画面を表示しているモニターを24時間365日アナログな方法(ドラレコみたいなもの)でキャプチャしておくのはどうなんだろうか？
そもそも侵入前段階からログに一切痕跡を残さないってことが可能ならばまた話は変わってくるか。
むしろDDOS攻撃などでログを観れない状況(観れても実質使えない)を造ってその裏でこっそりハッキングっていう手口もありますね
何言ってんのか全然わかんないけど見ちゃった
やっぱLinuxなんだ...
とりあえず入れとこ
Kali Linuxじゃないですかね。ツールが揃ってておすすめですよ
こんなに簡単にできちゃうのですね。
WordPressのサイトほとんどハッキングできちゃうのではと感じてしまいますね🤔
普通はIP制限してるから無理だと思いますよ
@@ノーム-i5h そうなんですかね。WordPressのログイン画面に関しては、国内からであれば表示されるので頑張れば入れてしまいそうですw
@@mizuchin36 そんな簡単に入れるなら誰もワードプレスなんて使いませんよ
今回の例はかなりザルになるように甘々なセキュリティにしてるだけです
@@ノーム-i5hそれはそうですよね笑 ありがとうございます😊自分で環境作って試してみます。
動画内で使用した手法が現代のWordPressにそのまま通用するわけではありません。WordPressは現在でも３〜４割のウェブサイトで使われていますし、サイバーセキュリティの専門家も多くの人が利用しています。ですから適切に利用すれば安全に使うことが出来ます。
安全な利用法に関しての動画も作成しましたのでぜひご覧ください: [安全なWordPressの使い方: 最新版WPに対するハッキングの手口と防衛方法](th-cam.com/video/jgUU02o2jag/w-d-xo.html)
サポート詐欺とかフィッシングとか原始的な(というかソーシャルな)ハッキングが流行り過ぎてるのなんとかなりませんかね
管理者特権昇格の脆弱性って良く聞くわりにすごいニュース聞かないからすごく甘く見てたけれど
こんな簡単にrootとれちゃうんすね
ローカルからしかログインできないから権限755でええやろーって思ってたけど見た後だと怖い
nmapのこと全然知らないけど偵察バレないようにするためのステルススキャンみたいなのなかったっけ
仕事なにされてるんですか？
自分が借りているVPSでホストしているWebサイトならこの動画の内容を試してみても法的に問題はないですかね、、、？
次の動画「合法でハッキングする方法３選」で少しだけ触れましたが、補足しますと、VPSを提供している企業によっては問題になる可能性があります。現実的には、今回動画で扱った程度の手法であればその可能性は低いと思いますが、保証することは出来ませんので、提供企業に確認を取るのが確実です。
二度手間になってしまう面もありますが、vmで同一内容のwebサイトを条件を似せてホストする手もありますので、そちらもご検討ください。
サーバー会社運営してるから言えるけど本当にやめてくれ...
VPSとかホスティングサーバーのIPアドレスがマルウェア感染したり、BotNetに使われたり、ハニーポットとか攻撃のシミュレーションに使われてIPアドレスが汚れると会社のIPアドレス評価が下がる、知り合いのサーバー会社はVPSを安売りして儲けた結果ユーザーに上記の様な使われ方して、会社のIPアドレス全体がブラックリスト入りして健全な一般利用者のWebサイトがGoogleから削除される事態になった。
VPSとかレンタルサーバーは会社の所有物を顧客が借りてるだけであって顧客の所有物ではない事を忘れずに。
グローバルアドレスとかプライベートアドレスとかごっちゃになってる人いそう
ローカルのPCに普通にパスワードをメモするのは大丈夫でしょうか。
また、パスワードをユーザーネーム欄に打ち込んでしまったり、コマンドとして実行しようとしてしまった時に、それがどこかに記録されてしまわないか心配です。（suコマンドを実行する前に、プロンプトにパスワードを打ち込んでエンターしてしまったという意味です）
2個も質問してしまいすみません。
失礼します。
1. パスワードをメモする用途であれば、実際に紙にメモを行い、その紙を金庫の中に保管しておくのが一番望ましい管理方法ですが、PC内のファイルにメモをする場合はそのファイル自体に暗号化を掛け、暗号化パスワードを覚えておくか紙に書いて保管しておくとよいと思います。
2. パスワードをユーザーネーム欄に打ち込んだとしても、運営している団体にログが記録されるだけであり、ログが流出すること自体そもそも稀なので、大した問題ではないと思います。
3. すみません、「コマンドとして実行」の意味が解りませんでした。何かしらの特定のサービスでの実行でしょうか？それともPCでのソフトの実行ですか？
パスワード管理については今後動画で詳しく扱いたいと思っています。
基本としては、plaintext(暗号化されていない文章)をコンピュータ上に残すのは攻撃者にとって格好の的になりますのでおすすめしません。日常的に使用するOSの場合、password managerを利用することを推奨します。password managerならば人力では管理出来ない大量の強力なパスワードを自動生成・管理出来ますし、パスワード入力も自動化できるため入力時のミスを防げます。
懸念としてはpassword managerがいわゆるsingle point of failureになることなのですが、password managerを提供する企業またはコミュニティは他のサービスに比べても非常に強力な対策を取っています。このあたりの技術についてもパスワード管理の動画で触れる予定です。
お二方とも回答していただいて本当にありがとうございます！コメント欄で返答があると思っていなかったので恐縮です。やはり、PCにメモはよくないのですね。
重要なパスワードは紙にメモして、それを自作の文字列変換システムに通すという謎の対策（泥棒対策のつもりです笑）をしているのですが、開発中はパスワードを打ち込む機会が多いので、PCにメモしないとやってられなかったりするのですよね。。
個人でwebシステムを開発している時に不安に思っていたことですが、答える価値のある質問かそうでないのかも分からなかったので、もし、動画になるならと思い質問させていただきました。
パスワード管理についての動画、楽しみにしてます！ありがとうございます！
回避行動もわからないと、最終的な対策できないなー。まあ、教科書見ればいいんだけど、、、。
Hacknetとかbitburnerとかから始めると良いと思うで
海外住かな
14:15 11451...!?
どんなとこ気づいてんねん
初コメントさせて頂きます。
非常に興味深く夢中でみてました(悪用意図はありませんw)
いくつか質問させてください。
・アイパスを特定する時は何をもって正解と判断するのですか？
→今回は悪い例でアイパスどちらが間違ってる表示でしたが、通常はそこで判断できないと思います
・特定する時はツールで何回もログインを試すという感じで行うのですか？
→その場合IPアドレスの複数ログイン試行とかで弾かれないものなのですかね？
まあこんな真正面からの突破も少ないと思うけど、仮にあるとすれば、IDかパスワードのどちらかは正しいと仮定して進めていくのが実際の攻撃パターンじゃないかな
リバースブルートフォースなんてのもあるし
IPアドレスも偽装しようと思えば偽装できるので、だから最近よくある「ロボットか人間か」みたいな認証が根本的な対策として有効
失礼します。
1. ユーザ名とパスワードを特定する際は、有り得る限りのユーザ名とパスワードの組み合わせを試行します。(ブルートフォース)
ですが、あらかじめユーザ名をよくありえそうなユーザ名(admin, etc...)で固定しておき、そこからパスワードを割り出すという手法もあります。もしくは逆に脆弱なパスワードを固定しておき、ユーザ名を割り出すという手法もあります。
さらに言うと、あらかじめその人のSNSの投稿などから、有り得そうな文字列（誕生日、ペットの名前etc...）などをリストアップしておき、その文字列をつなげたりしてログイン試行をするという手法もあります。（辞書型攻撃）
2. そうです。実際にやる場合は多分弾かれます。ですが時間を置いたり、パブリックIPアドレスを変えたり（VPSの場合）して攻撃する手法もあります。
今回の動画で使ったのはHydraを用いた原始的な辞書攻撃であり、現代の多くのサービスではrate limitingによってすぐに弾かれます。ただrate limitingも実装方法によっては付け入る隙があり、例えば2019年にはInstagramのrate limitingの設定が甘かったために、複数のIPアドレスを用いて攻撃する手法によって、リカバリー用パスワードを短時間でクラック出来る脆弱性がありました。大手サービスでも直近５年でこのような問題が見つかっているわけですから、似たような問題のあるサービスはまだまだたくさんあります。
このような正面突破的な方法の他にも、ログイン認証自体を回避するとか、cookieやtokenを悪用するとか、複数のサービスを狙っていくという方法もあります。またフィッシングによる被害も非常に多いです。
現代的なアカウントハックには多種多様な方法がありこの場で網羅することは出来ませんが、今後いくつかの手法については動画で扱っていく予定です。
プロキシばんざい
いつもハッキングしてるんですか
有益
クラッキングはしないでね
こういう系ってappleが多いのかなWindowsより
これ使われてんのはkali linuxだよ
ハッキングって犯罪やろ？
犯罪的行為をTH-camに動画アップするのって普通にアウトやろ？
なんかコメント欄褒めてる人多いいけどなんなん？ネットリテラシーどっかに落としたん？笑笑
流石に釣りだよな？
解説している攻撃対象はハッキング練習用の自前のローカルマシンなので法的に問題ない
確かに犯罪にも活用できる手法ではある
全然関係ないんですが、co.ukって初めてみました。
海外在住なのかVPNなのかわからないけど英語も堪能なのすごいですね