Dockerを使ってOSコマンドインジェクションが出来るSlack botを作った話
Download as PPTX, PDF0 likes483 views
HxS部内コン11月01日
Dockerを使ってOSコマンドインジェクションが出来るSlack botを作った話
- 2. 自己紹介 • IS科3回生 • 自然言語処理研究室 • 自然言語処理，機械学習，深層学習 • 好き • C++,Python • Vim • 競技プログラミング • 興味あり • 人工知能 • CI/CD, DevOps • 自動化 1
- 5. Dockerとは • コンテナ型仮想化を行うソフトウェア • 2013年に登場 • Go言語で書かれている • コンテナとは仮想OSのこと • 一台のマシンで複数のOSが動作する • Virtual Boxなどの仮想マシンとは少し違う 4
- 7. Dockerとは コンテナ 仮想マシン OSの起動 速い 遅い リソース消費 少ない 多い OSの種類 Linuxのみ なんでも 6 コンテナ(Docker)と仮想マシン(Virtual Box等)の比較 *参考: Docker実戦活用 ガイド(マイナビ出版)
- 11. OSコマンドインジェクションとは • 任意コマンドを実行されるのは重大な脆弱性 • パスワードの漏洩 • cat /etc/passwd • 秘密鍵の漏洩 • cat ~/.ssh/id_rsa • サーバのデータ全消し • rm –rf / 10
- 14. Slack botとは • Slackは皆さんお馴染みのチャットツール • botとは機械による自動発言システム • サービスから提供されているAPIを叩いて作る • 今回はPython製のslackhq/python-rtmbotという Frameworkを使った 13
- 15. Slack botとは • ソースコード • https://github.com/odanado/slackbot-os-command- injection 14 OSコマンドインジェクションが 出来るSlack botのいらすと
- 17. デモ • ご一緒にどうぞ • 何しても大丈夫です • ハッキングしよう！！ 16 実際にOSコマンドインジェクションを 行います
- 18. 今後 • bash以外の言語を実行できるようになる • C言語 • Java • Python • Ruby • PHP • Dockerの特性を活かして部内サーバを部員が 自由に使えるようにします • 作業が遅れていてもうしばらく時間がかかります • ごめんなさい... 17
- 19. まとめ • Dockerはコンテナ仮想型化を行うツール • 高速に起動し，リソースの消費量が少ない • 自分だけの環境が手に入る • OSコマンドインジェクションは重大な脆弱性 • パスワードの漏洩やデータ改竄の危険 • Slack botはSlack上での自動発言ツール • 今回はPython製のFrameworkを使った 18
Editor's Notes
- #4: 質問する