HOME > Training - トレーニング >

Fuzzing and Exploiting Writing - Black Hat Edition - by Cyber Defence, 未知の脆弱性の発見と攻撃コードの作成 by Cyber Deffence

• 
• 
• 
• 

Overview - 概要

本コースは未知の脆弱性の発見と攻撃プログラムの作成を習得するための、実践演習を中心としたコースです。ここで習得される、脆弱性と攻撃手法のメカニズムに対する本質的な知識と技術は、組織のネットワークセキュリティの運用をより効率的かつ強固にすることに留まらず、内部セキュリティ監査の質的向上にも大きく貢献します。

インターネットの爆発的な普及により様々な箇所でITが活用され、ソフトウェアに求められる機能はより複雑・多様化しております。その結果、ソフトウェア技術者は不足し、需要の急激な増加と激しい価格競争により開発期間・デバッグ期間の更なる短縮が求められ、このような状況は作成されたソフトウェアに潜むセキュリティホールの数を必然的に増加させることとなっています。

本コースでは、ソフトウェアのセキュリティホールとして代表的な「スタックバッファオーバーフロー」を取り上げ、「バッファオーバーフローとは何か」「バッファオーバーフローにより何ができるのか」「どのように対処すればよいのか」を実際にバッファオーバーフローのExploit Codeを書き 脅威を体感していただくと共に理解を深めていきます。また未知の脆弱性の検出方法（ファジング）を具体的に解説し、バイナリに潜む未知の脆弱性を検出し、その検出された脆弱性についてExploit Codeを書くという一連のサイクルを実習します。これらの技術は、特にソフトウェアエンジニアやネットワーク・サーバ管理者にとっては欠かせないものとなります。

Specific Learning Objectives - 講座で学ぶこと

• 攻撃的セキュリティのコンセプト、意義および用語
• 言語等
  x86アセンブリ言語およびPython
   Win32API
   CANVAS API
  -- Play Assembly Game

• 環境
  コードの実行方法を知るためのWindowsアプリケーションのデバッキング
• シェルコード
  シェルコード、ペイロードの技術
  エンコードの方法
• immunity debuggerの使い方
• スタックオーバーフロー
  Windows Exploit作成の基本
  CANVASの使い方
  CANVAS Exploitの作り方
  Visual Exploitの作り方
  
-- Simple Stack Overflow
-- Stack Overflow

• 例外ハンドラとのその他のExploit技法

• ファジングのコンセプトと基本
  ネットワークプロトコルとファジングのコンセプト
  ファイルフォーマットとファイルのファジング
• ファジングによる脆弱性の発見技法実践演習
  webファジング実践
  webスクリプトの作成
  webアプリケーションのファジング
• リバースエンジニアリング
• バイナリ解析による脆弱性の発見技法
  リバースエンジニアリング
  脆弱なWindows API
  

Who Should Attend- 受講対象者

• プログラミングの基本的な知識のある方
• ネットワークプロトコルの基本的な知識のある方
• ITセキュリティ担当の方
• 脆弱性検査担当の方
• ソフトウェアエンジニアの方
• ネットワーク・サーバ管理者の方

How It Will Work - 講座の進め方

各受講者に演習用の端末が割当てられます。各端末は、LinuxまたはWindowsホストOSの上に、攻撃用マシンとなるWindowsOSを設定して使用します。
デバッグ及びエクスプロイト作成のプラットフォームとして、immunityDebugger、Canvas、及びそのGUIを提供するVisualSploitを使用します。また、ファジングを行うツールとして、Spike及びSpikeProxyを使用します。

コースは実践主体です。テキストとサンプルアプリケーション、実際に使用されているアプリケーションをも対象とし、バッファオーバーフローの基本から高度なものまで、脆弱性を発見し、エクスプロイトを作成・検証する技術を、仮想マシンを使ったラボ環境での課題を通して実践習得していただきます。

本コースでは、世界で初めて視覚的にExploit Codeを作成することを可能にしたVisualSploitを使用します。受講者はプログラミングに明るくなくとも、簡単に手早く本格的なExploit Code を作成することができます。

Pre-Requirement - 必須条件

特にありません。「元気があれば何でもできる」

ネットワークプロトコルの基本的な知識と、プログラミングの基本的な知識、特にPythonおよびアセンブリ言語の基本的な知識があればより高い成果が得られます。

Certification - 認定証

コースの最後に修了書を発行します。

Course Length - コースの長さ

全2日間。エクスプロイト作成の演習が終わるまでお付き合いします。

サイバーディフェンス研究所 (Cyber Defence Institute)
Lauri Korts Parn
サイバーディフェンス研究所特別分析官。エストニア出身。タリン技術大学で8年間Linux管理者を務める間、セキュリティ技術と知識を習得。2003年に欧州で開催されたZone-h(世界的に有名なセキュリティ専門コミュニティ)ハッキングミッションを史上最速でクリア。その後Zone-hの中心メンバーとして、世界各国でセキュリティセミナーの講師を務める。2004年より日本に在住、サイバーディフェンス研究所のハッキングエキスパートとして、セキュリティセミナー及びペネトレーションテスト業務に従事している。エストニア語、英語、日本語、ロシア語、フィンランド語を操り、今回コースは日本語で提供する。

本コースは実践演習が主体となるため、コースを通じて、以下エクスプロイトの専門家が演習をサポートします。

• 坂井祐介　サイバーディフェンス研究所　上級分析官
• 松野真一　サイバーディフェンス研究所　上級分析官
• 草場英仁　サイバーディフェンス研究所　上級分析官

Price Line 価格表	EarlyBird Ends:10-Sep 早期割引 登録締切:9/10	Regular Ends:10-Oct 通常価格 登録締切:10/1	Onsite Accept:7-Oct Only 当日価格 登録受付:10/7のみ
Price (with Tax) 価格(税込)	¥ JPY 190,000	¥ JPY 199,500	¥ JPY 220,000

• * Group discounts for 2 or more is available. Please contact [ blackhatregistration at ubm.com ] to apply.
• * グループ割引は2名様以上から適用可能です。インターネット協会会員割引、スポンサー割引をご用意しています。お申し込み希望者およびお問い合わせは[ bh at japan døt name ] までご連絡ください。