Next.jsの脆弱性を数日放置したら暗号通貨マイナーを仕込まれた話 - Qiita
やったら動作が遅いなと思ったら、いつの間にか CPU 使用率が100%に。 これはもしや...と思ったら、まさにでした。 PM2にログが残っていたのが救い。 後は、Claude Code におまかせしました。 以下、備忘録： はじめに 2025年12月、運用していた複数のNext.jsアプリケーションがサイバー攻撃を受け、暗号通貨マイナーを仕込まれました。CVE-2025-55182が公開されてから2日後のことでした。 Note: この記事はインシデント調査レポートを基に、Claude Codeが執筆しました。 TL;DR CVE-2025-55182公開から2日後に攻撃を受けた Next.js 15.x / 16.x のServer Actions脆弱性でRCE（リモートコード実行）された 暗号通貨マイナー（Monero）と複数のバックドアを仕込まれた サーバー内部の認証情報が漏洩した可
DDoS攻撃をちゃんと理解したい人のための入門と設計整理メモ - Qiita
DDoS攻撃の仕組み・目的・防御を整理してみた話 対象読者とこの記事のスタンス この投稿は、以下のような方を対象にしています： Web サービスやインフラの開発・運用をしている方 DDoS 攻撃に興味はあるが、まだ体系的に理解できていない方 CDN や WAF を使っているが、攻撃の仕組みまで深く知らない方 ✅ この記事で触れること DDoS 攻撃の分類（L3/L4 と L7） UDPリフレクション攻撃の仕組みと例 攻撃者の目的・心理戦 CDN や WAF の有無での影響 DDoS 防御の現実的な設計選択肢 ❌ この記事で触れないこと 各クラウドサービス（AWS/GCP等）での設定手順 WAF ルールの具体的チューニング方法 攻撃ツールの使用や再現 DDoS攻撃とは？ DDoS（Distributed Denial of Service）攻撃は、複数の端末から一斉にサーバーへリクエストを送
機密情報に関わる文字列の比較は == ではなく secure_compare を使おう
はじめに パスワードハッシュやトークンなどの文字列を比較する際には、== ではなく Rack::Utils.secure_compare を使ったほうが良いということを学んだので、勉強の記録として共有します。 == での文字列比較の危険性 Rack::Utils.secure_compare を知るまでは、まさか == に危険性があるとは思いませんでした[1]が、パスワードハッシュやトークンなどを比較する際には == は使用しないほうが良いです。 その理由は、Timing Attack (タイミング攻撃) と呼ばれる攻撃によって機密情報である文字列を推測されてしまう可能性があるからです。 タイミング攻撃とは、機密情報となる文字列を左から見ていったときに、どこまで合っているかを、文字列比較の処理時間 (false が返ってくるまでの時間) を利用して、推測するという攻撃手法です。 この説明だ
SSRで認証をどうするべきか？
既存プロジェクトにNext.js等のSSRを導入する場合は既存の認証機能を維持したり活かしたりする必要があります。しかしSSRの認証とCSR(SPA)の認証は同じではなく、簡単に共有できるものではありません。 ここでは複数のテックブログの事例を見ながら、この難しさと本物のウェブサービスで採用された解決策を見ていきます。 CSRとSSRの認証の違い まず最初に、CSR(SPA)とSSR[1]の認証の違いをざっくり紹介します。技術的制約を理解していただくことが目的です。 クライアント視点では、認証システムは突き詰めると、トークン(鍵)[2]を安全に保管し、必要時にサーバに渡す(鍵穴に差し込む) ことです。この２つに絞って解説します。[3] https://www.flaticon.com/free-icons/vault (by IYIKON) https://www.flaticon.com
ドメインを変えたらサービスが繋がらなくなったと言われた件
Intro 弊社で開発しているサービスの、ドメインを変更することになったときの話。 すでに旧ドメインで一部顧客に利用していただいていたため、旧ドメインは破棄せずに新ドメインにリダイレクトさせるようにしました。 DNSの設定やコードをいくらか修正し、リリースをしました。Webアプリを触って画像が表示されたりデータが取得更新できたりと、通常通り使えることを確認して一安心していました。 問題発生 すでに使っていただいていた社外ユーザーから「画像が表示されない」と連絡がありました。 スクリーンショットを見るとたしかに画像が切れてALTテキストが表示されていました。しかし同じ画面を自分のPCで閲覧すると正常に画像が表示されています。 先方のファイアウォールがホワイトリスト制にでもなっているのかと思い、ファイアウォールの設定をご確認くださいと返答しました。ですが「TCP/80(http)とTCP/44
secret_key_baseが漏れると何が起きるのか実際に試してみた｜TechRacho by BPS株式会社
社内でRailsコードのレビューをしていて、 Dockerfile に環境変数で SECRET_KEY_BASE="dummy" のようにベタ書きしているのを見つけました。これはまずいよね、多分任意のセッション改ざんによるなりすましなどがし放題になりそうだよね、と思ったものの、これまで雰囲気で使っていて確かなことが言えなかったので、良い機会ということで少し調べてみることにしました。 🔗 secret_key_baseについて 🔗 secrets と credentials, RAILS_MASTER_KEY ってなんだっけ 🔗 secrets Rails 4.1で secrets.yml が登場して、environmentごとの認証情報を平文で保存していました。その後Rails 5.2で secrets.yml.enc が登場して、 RAILS_MASTER_KEY または secr
攻撃者が採用した「.htaccess」を改ざんして、任意の拡張子でPHPを実行する方法
みなさん、こんにちは。m（@the_art_of_nerd）です。 今回は私がWebサーバーをフォレンジック調査を担当した際に発見した、任意の拡張子からPHPを実行する方法について紹介します。 背景 Webサーバーが攻撃者によって侵害されたという事案で、フォレンジック調査を実施した際に発見したテクニックです。（正規の仕様を悪用） Webサーバーの侵害のため、WebShellの設置を疑い、まず拡張子ベースで不審なファイル（改ざん・作成）が存在しないか調査していたところ、いくつか不審なファイルは発見されましたが、どうしてもWebShellのような機能を有するファイルだけ見つかりませんでした。 そこで、拡張子で見ていく調査から各ディレクトリごとに気になるファイルが存在しないかの調査に切り替えたところ、1つだけ明らかにWebサーバーのコンテンツとして違和感のある"ファイル名"が付けられたCSSファ
有名企業を狙ったフィッシングメールの踏み台攻撃事例 - Qiita
Deleted articles cannot be recovered. Draft of this article would be also deleted. Are you sure you want to delete this article? ロシアのセキュリティ会社が企業の公式メルマガを狙ったフィッシングメール・キャンペーンの事例を報告しました。 The international companies official newsletters are used to steal money from bank accounts とても単純な手口ですが意外と多くのサイトで見落とされているのではないかと思ったのでご紹介します。 フィッシングメールの現況 本題に入る前に少しだけフィッシングメールの現況について触れておきます。ここではトレンドマイクロ社が公開している資料を参考にして
気づかずやっていませんか？危険なSSH,SFTPの使い方
知らずのうちにやっていそうな危ないSSH,SFTPの使い方を平易にお知らせします。本稿は、システム設計・保守者へのセキュリティ注意喚起です。SFTP、SSH、SCPというキーワードにピンときた方は読んでみてください。 この記事は、Cyber-sec+ Advent Calendar 2024 の 9 日目の記事です。 はじめに サイバーディフェンス研究所の安井です。長年制御システムを開発してきた経験から制御システムセキュリティ向上に取り組んでいます。 制御システム業界も徐々にセキュリティ意識が高まっており、ftpやtelnet等の平文のプロトコルは減り、代替として、SFTPやSSH等の暗号化したプロトコルへの移行が進んでいる気がします。 良いことだと思いますが、暗号化したから安心と思っていませんか？ 今回は、「正しい使い方をできていなければ、逆にセキュリティを弱くしている可能性すらある。」
クレカ情報の流出があったタリーズオンラインストアのWebアーカイブから原因を特定した猛者が現れる→集まった有識者たちにより巧妙な手口が明らかに
あらおじ @ojigunma すごい タリーズの原因発見してる人いる 確かにナンカある slick.min.js という画像をスライドするファイルの中に 難読化された悪意のあるコードが追記されてるっぽい 難読化は４段階ぐらいされてるらしい これブラウザとかセキュリティソフトで気づくのは無理なんだろか。。。 x.com/motikan2010/st… 2024-10-04 13:15:14 Niishi Kubo @n11sh1_ クレカ情報漏洩の件、技術的な原因特定はこの投稿が一番分かりやすかった。 slick.min.js（画像切り替えのライブラリ）を改ざんされてマルウェアが仕込まれて、クレカ情報はサーバーに送信される前にフロントエンドから外部に送信されていたらしい。Content-Security-Policy がレスポンスヘッダーにきちんと設定されていれば悪意あるドメインに対しての通
ラーニングセンターホーム
サイバーセキュリティ、Webパフォーマンス、サーバーレスアーキテクチャなど技術的なトピックについて、Cloudflareが提供する教育リソース。インターネットの仕組みを学びましょう。
BGPハイジャックの怖さを、目で見てみよう
本連載では、ツールによる可視化を通じ、WANの世界を垣間見てみます。初回である本記事では、インターネット接続を支える役割を果たしているものの、脆弱性が指摘されるBGPプロトコルを扱います。 本連載では、ツールによる可視化を通じ、WANの世界を垣間見てみます。本記事では、インターネット接続を支える役割を果たしているものの、脆弱性が指摘されるBGPプロトコルを扱います。なお、本連載では、ThousandEyesのWAN可視化／テストサービスが取得したデータを、同社のジャック・マーティン氏の協力により利用しています。 2017年8月、日本のインターネットで大規模な通信障害が発生 2017年8月25日の正午過ぎから、日本のインターネットで大規模な障害が発生しました。NTTコミュニケーションズ（以下、NTT Com）のOCNをはじめ、KDDIなど、日本国内の複数通信サービスで通信障害が確認されました
BGPハイジャックとは？
BGPハイジャックとは？ BGPハイジャックとは、攻撃者が悪意を持ってインターネットトラフィックを再ルーティングすることです。攻撃者は、IPプレフィックスと呼ばれる、実際には所有していない、制御していない、またはルーティングしていないIPアドレスグループの所有権を偽って知らせることでこれを実現します。BGPハイジャックは、誰かが高速道路のすべての標識を変更し、自動車のトラフィックを誤った出口に再ルーティングするようなものです。 BGPは相互接続されたネットワークが所有するIPアドレスについて真実を伝えているという前提に基づいて構築されているため、BGPハイジャックを止めることはほぼ不可能です。高速道路標識を誰も管理していない場合を想像してください。それらが悪意を持って変更されたかどうかを知る唯一の方法は、多くの自動車が間違った地域に行き着くのを観察することだけです。ただし、ハイジャックが発
【怖い】経緯を読んだらガチの国際クライムサスペンスだった→フリーのエンジニアを狙ったサイバー攻撃が増加中
🍪🍺 @cookieandbeer 国際犯罪の被害に遭いかけたので注意喚起です！ 海外サイト(WeWorkRemotely)で良さげな案件を探していて、出会ったクライアントとビデオ通話した後「早速今の実装見てみてほしい」という話になりました。もう遅いし明日にして今日は飲むか〜と思っていたら「すぐチェックしてほしい」という連絡が pic.twitter.com/bRhXJkFEGX 2024-07-20 16:41:25 🍪🍺 @cookieandbeer しょうがないにゃあ…と思いつつまずは親の顔より見た setupTest.js を見るとそこには変わり果てた姿が…… 偶然昼までMarkdown書き物をしてたためVSCodeの折り返しを有効にしていたので気づきましたが、普段無効にしてるときだったらこんなふうに見えるので気づくのは難しそう pic.twitter.com/fbk3og
ソルト付きハッシュのソルトはどこに保存するのが一般的か - Qiita
Deleted articles cannot be recovered. Draft of this article would be also deleted. Are you sure you want to delete this article? pictBLandとpictSQUAREに対する不正アクセスがあり、パスワードがソルトなしのMD5ハッシュで保存されていたことが話題になっています。 2023年8月16日に外部のフォーラムにpictSQUAREより窃取した情報と主張するデータ販売の取引を持ち掛ける投稿が行われた（中略）パスワードはMD5によるハッシュ化は行われているもののソルト付与は行われていなかったため、単純なパスワードが使用されていた29万4512件は元の文字列が判明していると投稿。（それ以外の26万8172件はまだMD5ハッシュ化されたままと説明。） 不正アクセス
プライベートも含めあらゆるS3バケットのAWSアカウントIDを突き止める方法が開発される
パブリック・プライベートを問わず、AWSのストレージサービスであるS3のバケット名からアカウントIDを突き止める方法をセキュリティ企業「Tracebit」のCTOであるサム・コックス氏が公開しました。 How to find the AWS Account ID of any S3 Bucket https://tracebit.com/blog/2024/02/finding-aws-account-id-of-any-s3-bucket/ コックス氏の方法はS3のVPCエンドポイントを使用することでVPCエンドポイントポリシーを適用するのがポイントとのこと。ポリシーで「アカウントIDが1で始める場合のみ許可」などアカウントIDに基づいて許可を行う事で、ポリシーレベルでの拒否が発生するかどうかをチェックします。 具体的な方法は下記の通り。 まず最初にターゲットとなるバケットのリージョンを
DMARC をなめるな - 弁護士ドットコム株式会社 Creators’ blog
Gmailが「メール送信者のガイドライン」を改訂し、なりすましメールへの対策を強化する旨を発表しています。今までは原則、なりすましメール対策の有無にかかわらず、メールはいちおうは届いていました。しかし今後は、なりすましとみなされたメールは届かなくなる方向に向かいつつあります。 なりすましメールとみなされないようにするために、メール送信者には、「メール送信ドメイン認証」への対応が求められます。メール送信ドメイン認証の技術には、主に以下の3つがあります。 SPF: Sender Policy Framework (RFC 7208) DKIM: DomainKeys Identified Mail (RFC 6376) DMARC: Domain-based Message Authentication, Reporting, and Conformance (RFC 7489) SPFは従来
VPNにつなぐとWSL2でインターネットに繋がらない問題を解決する - Qiita
$ sudo apt-get update Ign:1 http://archive.ubuntu.com/ubuntu jammy InRelease Ign:2 http://security.ubuntu.com/ubuntu jammy-security InRelease Ign:3 http://archive.ubuntu.com/ubuntu jammy-updates InRelease Ign:2 http://security.ubuntu.com/ubuntu jammy-security InRelease Ign:4 http://archive.ubuntu.com/ubuntu jammy-backports InRelease Ign:2 http://security.ubuntu.com/ubuntu jammy-security InRelease
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
Gmailにメールが届かなくなる!? 5月中にやるべき対応策をマンガで教えてください！WACUL安藤健作さんに聞いてきた | Webのコト、教えてホシイの！
2023年12月5日に発生した複数AWSアカウントが操作不能となった障害について | クラスメソッド株式会社
