サイバー攻撃 の商品レビュー

中島明日香(著者)

2026/03/01

この分野の初心者向けでありながら、広く浅い一般論に終始せず、いくつかの攻撃手法を具体的かつ分かりやすく解説している。IT技術に明るくないと細部まですべてを理解するのは難しいかもしれないが、そうでなくてもなぜ外部からコントロールを奪われてしまうのか、その仕組みや雰囲気は十分につかめる。このレベルの説明をきちんと行ってくれる本は意外と少なく、貴重な一冊だと思う。

2026/02/21

サイバー攻撃の具体的手法とセキュリティシステム、それらを包含する市場について説明した本。

陸、海、空に加えて、宇宙、サイバー空間がこれからの戦争に関わる領域と言われて久しい。戦争までいかなくとも、身近な様々なものがインターネットに接続されている今、悪意のある者にサイバー攻撃を受ければ、財産はおろか、場合によっては命すら落としかねない世の中だと思う。
本書は、サイバー攻撃の具体的な手法を門外漢にも分かりやすく説明してくれているだけでなく、サイバー攻撃に関わる市場についても触れられており、非常に興味深かった。例えば、詐欺に使われるWebsite はゼロから構築されている訳ではなく、専用のキット(Exploit Kit)が売られていたり、ユーザーが多いシステムの脆弱性はバグハンターと呼ばれる人達が探して、システムのプロバイダーや、セキュリティ会社に売られているなど、未知の世界を知れて非常に面白かった。

とりあえず、今まで先延ばしにしがちだったセキュリティパッチは、今後リリースされ次第、すぐに適用しようと思う。。

2026/01/26

WEBサイトへの悪質なコードの埋め込み、ハードのメモリ上のバッファにおいて稼働させるための悪質なコードの挿入や、文字列整形機能への悪質なコードの挿入、SQLへの不正操作によるデータベースからのデータ流出等、典型的なサイバー攻撃の例について、実施例とともに技術的に解説する。

2025/11/25

分かりやすく書いて頂いているんだろうが、プログラミングが門外漢の自分にとってはなかなか難しい内容であった。

プログラミングの下地がある方が読む、もしくは具体例はあまり気にせずに読み飛ばす、くらいが調度良いと感じた。

2025/08/24

発行が2018年なため、それまでのサイバー攻撃関連状況がまとめられている感じです。2025年現在、AIが進化してきたため、こちら方面へのAI活用が期待されます。

2025/06/07

It’s been a while since I came across a topic that was completely beyond my grasp, and it got me excited. I’m looking forward to working in a field that 99% of people don’t understand. By the way, half of this book is technical, so I’ll need to go back and read it again.

2025/05/10

著者のユーモアが本書の所々に現れており楽しく読めた。なぜセキュリティが重要なのかということを把握したり、過去に起きた問題や、歴史について学んだりできる良書です。今後の技術発展と一緒に必ず並走するのがセキュリティなので本書を読んでおくのはいいと思う。
BOFあたりから技術的要素が強まってくるので、難しい点は飛ばし飛ばしでもイメージは持てるかなと思う。BOFやXSSはよく解説された本はあるが、printf脆弱性については勉強になった。
各章の基礎解説は、ハッキングの仕組みを説明するうえでは重要かと思いますがセキュリティの根幹ではないのでもう少しざっくりとでもいいかなと、思う(初心者には説明が難しいように思うし、知っている人にとっては基本的内容すぎるので飛ばしても問題ない)。

2025/04/26

読みやすかった

CVEが実質的な業界標準の脆弱性情報データベース
日本ではIPAが受け付けている

脆弱性の深刻度はCVSS
脆弱性の種類はCWE

ソフトウェアの脆弱性の中でいちばん典型的なものが、バッファオーバーフローの脆弱性

スタック領域とは、おもに各関数の中でのみ利用されるデータなどを保存するための領域
スタック領域上でバッファからデータがあふれることに起因する脆弱性を、スタックバッファオーバーフローの脆弱性と呼ぶ

脆弱性を悪用して任意のコードを実行する手順、①戻りアドレスをシェルコードの先頭アドレスに書き換える②呼び出し元関数に戻る際に、処理が上書きされたアドレスに移る③シェルコードが実行される
この攻撃のためのプログラムを英語では「Exploit」
例えば管理者権限で動作しているもので、シェルが起動すると管理者権限を持たれてしまう

書式指定文字列の脆弱性
代表的な関数はprintf
攻撃に関係する書式指定文字列の機能3つ
・最小フィールド幅（例:%10d）
・ダイレクトパラメータアクセス（例:%2$d）
・書式指定子「%n」

戻りアドレスをシェルコードの先頭アドレスに書き換える手順
1.戻りアドレスを保存しているアドレスを入力データとして入力する
2.シェルコードの先頭アドレスにあたる数値と同等のバイト数（文字数）を出力する
3.「%n」とダイレクトパラメータアクセスを利用して、戻りアドレスを書き換える

他の脆弱性
整数オーバーフロー
解放済みメモリ使用
二重解放
ヌルポインタ参照
競合状態

Web
クロスサイト・スクリプティング
これが大半
手法
反射型XSS（例:セッション・ハイジャック）メールのリンクに埋め込む
持続型XSS （サイトに埋め込む）
DOM Based XSS （DOM操作のJavaScriptを悪用）

SQLインジェクション

Webサイトに対する攻撃の対策手法・技術
・Webアプリケーション脆弱性診断
「OWASP ZAP」「skipfish」「Nikto」
「sqlmap」
「Burp Suite」「Fiddler」
・WAF
「ModSecuritx」
・CSP

OWASPの公式サイト

Exploit Kitを利用した金銭目的マルウェアの感染攻撃
Exploit Kitとは悪性のWebサイトを構築するフレーワークの名称
悪性Webサイトを閲覧しただけでマルウェアに感染する攻撃を「Drive-by Download攻撃」という
バンキングマルウェア（MITB）
銀行関係のWebサイトにアクセスしたときだけ、偽の認証画面を表示して情報を盗み取る
ランサムウェア
SaaSのExploit Kit版EaaSがある
貸し出し方が2種類。1つはサイトの時間貸し。2つめは代理業で成功報酬型

バグハウンティング
脆弱性の買取市場
正規と非正規がある
非正規はDeep WebまたはDark Webで
脆弱性発見コンテスト
「DEF CON CTF」「SECCON CTF」

DDoS攻撃
Stuxnetはサイバー兵器と呼ばれたマルウェア

サイバーパンク小説「Project SEVEN」

2024/04/03

・参考図書指定科目：「情報セキュリティ応用」

＜OPAC＞
https://opac.jp.net/Opac/NZ07RHV2FVFkRq0-73eaBwfieml/rnBe_iG2cANgowcWUiuPEQc1d9g/description.html

（スマホ読み上げ）
https://opac.jp.net/Opac/NZ07RHV2FVFkRq0-73eaBwfieml/4y7QYiLdx84kynr7qxwT2Nwq3F/description.html

2023/04/30

『Software Design 4月号』（技術評論社）で取り上げられていたので読んでみた。すごくわかりやすく書かれていて、私自身にも知識があるので決して難しくはなかったが、それでも一般的には難しいかもなあ。ざっと読んで、わからなかったところはあとでもう一度読む、がおすすめ。