Welcome to the Black Hole of Bug Bounty Program Rebooted
7 likes4,332 views
Shibuya.XSS テクニカルトーク#5の発表資料です。
Welcome to the Black Hole of Bug Bounty Program Rebooted
- 1. Welcome to the Black Hole of Bug Bounty Program Shibuya.XSS #5 August 7th, 2014 R E B O O T E D
- 2. 西村 宗晃 a.k.a. nishimunea html5j Webプラットフォーム部 部員 HTML5 Experts.jp コントリビューター セキュリティキャンプ全国大会 2014 講師 FxOS コードリーディング 部員
- 4. Mozilla Security Bug Bounty Program (Mozilla セキュリティバグ報奨金制度)
- 7. 国内の報奨金獲得者 (2010年以降) 2012-2014年 Masato Kinugawaさん 2010年 はせがわようすけさん
- 10. バグの見つかったところと言えば
- 11. Web Workers MFSA 2014-09 Masato Kinugawaさん MFSA 2010-42 はせがわようすけさん はせがわさんもKinugawaさんも Web WorkersのSOP制限回避で報奨金を獲得
- 13. そして本当に見つかる
- 14. しかし既知のバグだとの返信 This is a dupe of 9497XX.
- 21. Browser API (いわゆるWebView) アプリの画面 ブラウザウィンドウ <iframe mozbrowser>
- 22. 実際にあったバグ① Content-Security-Policy ヘッダが 完全に無視される 返信：CSPの実装が古いだけ。 X-Content-Security-Policy なら使えるよ
- 23. 実際にあったバグ② X-Frame-Optionsヘッダも無視される (CSSで透過指定可能なのでクリックジャッキングに利用できる) 返信：フレームじゃなくてブラウザAPIだから。 そういう仕様だよ
- 24. • 未開の地ならではの苦労 • 実装されてない機能も普通にある • バグと仕様の境界も手探り (脆弱性はあるけど、悪用するアプリはレビューツールで 検知できるから問題無しということも)
- 25. 脆弱性がキマらない
- 32. 夏といえばセキュリティキャンプ
- 36. 14時間分の資料作りが終わらない
- 41. キーーッ!!、悔しい!!
- 42. Lesson Learned Bug Bounty Programは中毒性が高い
- 44. しかし得られるものも多い
- 46. Let’s Bug Hunt!
- 47. 宣伝：本を書きました タイトル Firefox OSウェブアプリ開発読本 ページ数 128ページ 価格 1,000円（イベント頒布価格） 表紙 siosio 目次 第1章 WebIDEを使いこなす 第2章 Building Blocksを使ってアプリ画面を組み立てる 第3章 ハードウェアアクセスAPIリファレンス 第4章 カメラアプリを作ってみよう 第5章 Firefox OSでNFCを使ってみる 第6章 WebAudio APIを使ってサンプラーを作ろう 第7章 Firefox OSアプリのセキュリティ URL http://techbooster.github.io/announce/c86/ C86 3日目西か46b TechBoosterにて発売