Hacking– category –

「まず動く」を重視して高速にアプリを組み上げていく“バイブコーディング”は、現代的な開発スタイルとして人気を集めています。 特にSupabaseやFirebaseなどのBaaSを使えば、わずか数行のコードで認証やDB操作も完了し、素早いプロトタイピングやUI改善に...

AIは「学習して判断する」だけでなく、その判断の元となるモデル自体が攻撃対象になる時代になりました。特に機械学習モデルの重みやバイアスは、その出力結果を決定づける中枢であり、ここを改ざんされると予測結果を意図的に歪められます。 こうしたモデ...

AIは、もはや単なる「会話相手」ではなく、攻撃者のツールにもなり得る時代になりました。近年はランサムウェアの世界でも、被害者とのやり取りを自動化するAI交渉ボットが登場し、身代金のやり取りを効率化しています。 しかし、このAIが持つ権限や情報の...

AIの進化は、もはや「人間と会話するだけ」の段階を超えました。最近の大規模言語モデル（LLM）は、ユーザーの依頼に応じて外部の関数やAPIを呼び出し、実際のシステムやサービスを動かすことができます。OpenAIが提供する Function Calling 機能は、その...

AIが人間の意思決定を代行する時代。もし、そのAIを少しだけ“騙す”ことができたら、どうなるでしょうか？ 今回挑戦したのは、AIによる国外渡航審査を突破するCTF。使ったのはプロンプトインジェクションという、LLM（大規模言語モデル）の弱点を突くハッキ...

テンプレートエンジンは、Webアプリケーションの中でHTMLとデータを組み合わせて表示を生成するために広く使われています。たとえば、ユーザー名や投稿内容などをHTMLに埋め込む場面で、バックエンドではテンプレートエンジンが活躍しています。 しかし、...

セキュリティエンジニアを目指している、CTFでスキルアップしたい。そんな想いで「Hack The Box（HTB）」に興味を持った方も多いのではないでしょうか。 でも実際に公式サイトを見ると、いろんなサービス（Labs、Academy、CTF、Business…）が並んでいて、...

「HTMLタグが使える掲示板アプリを作ってみた！」そんな初心者エンジニアの作品が、たった1行の投稿で“乗っ取られて”しまうとしたら？ 今回は、セキュリティの基本中の基本、「クロスサイトスクリプティング（XSS）」の実例を使って、実際にどんな風に脆弱...

Webアプリケーションを開発する上で、避けて通れないのが「セキュリティ対策」。中でも「SQLインジェクション」は、データベースに対する深刻な脅威として知られています。 この記事では、SQLインジェクションの仕組みをわかりやすく解説し、実際にどのよ...

あまり良い結果ではなかったですが、SECCON Beginners CTF 2024に出場しましたので、備忘録としてWriteup残しておこうと思います。 ssrforlfi ソース確認 tar.gzを解凍したフォルダ構成は下記になります。 $ find ./ ./ ./docker-compose.yml ./.env ./app...