MooseLove

このサイトでは自身が開発したプログラムや発見したCVE、その他実績やメモをまとめています。

Discovered CVEs

発見したCVE一覧とひとことメモ
CVE	ひとこと
CVE-2025-13156	低権限から可能な任意ファイルアップロード脆弱性　サーバの環境によってはそのままRCEに直結する。CVSSは8.8　原因は権限チェックがガバガバでログインしていればなんでも通してしまう設計だったこと。
CVE-2025-13159	無権限から可能なSVGを経由した格納型XSS　管理画面を開いて即発動...ではなく、管理者が攻撃者が送信したSVGファイルを開く必要がある。しかしuploads配下にSVGファイルを置けるため、攻撃の拡張性は高い。
CVE-2025-12904	無権限から可能な格納型XSS　CVSS7.2とかなり危険度は高め。初のCVSS Highを頂いた。あと、ほんの少し報奨金を貰えた。
CVE-2025-10375	管理者のみ行える設定パラメータにnonceや権限チェックが無いため、CSRFが可能。だが適切なエスケープがされているためこれ以上の攻撃には昇華できず。CVSSはかなり低め。
CVE-2025-10187	管理者限定のSelf SQLインジェクション。かなり脅威度は低めだったがシングルクォーテーションなどを検索ワードに用いると無限ロードになることもあって、多くのユーザーが困りそうだなと思い報告。
CVE-2025-10175	人生で初めて報奨金を頂いた。内容としては低権限の攻撃者がBlind SQLインジェクションを実行できる。idパラメータのエスケープ不足が原因。この体験談についてはqiitaで記事を投稿してます。
CVE-2025-10142	ShopManager以上の権限を持つ攻撃者のみ可能なSQLインジェクション。高権限しか不可能であるため脅威は低めだが、人生初のSQLインジェクションだったので少し思い出深い。
CVE-2025-9886 CVE-2025-9952	管理者のみ行える設定パラメータにXSS＆CSRFが同時存在。単体だと脅威は少ないが、これらを合わせるとセッションの乗っ取りが可能(CSRF脆弱性を突いた悪意のあるフォームを仕掛ける→管理者が踏む→XSSが発動。Cookieを盗む)。単体のCVSSスコアが低いだけで楽観視するのは良くないと思った。
CVE-2025-9196	phpinfo.phpが無権限で閲覧可能な脆弱性。攻撃者はこれを足掛かりに新たな攻撃を仕掛けることが出来る。
CVE-2025-8091	人生で初めて取得したCVE。管理者がイベント情報を非公開や削除、パスワード認証といった手段で情報を秘匿しても、イベント情報のIDさえ分かれば情報が漏洩してしまうというもの。

Development

開発したプログラム一覧とひとことメモ
名前	ひとこと
checkIP.py	IPアドレスを入力するとVirusTotalの結果を自動で取得。危険サイトか否かを複数の機関(90個くらい)が判別した結果を取得することが出来る。ひとまずpcapファイルからIPのみを抽出して脳死でこのプログラムを投げたら調査の足掛かりになりやすい。
searchPlugin.py	WordPress Pluginのバグハントをする際、競争率が低そうなプラグインを自動ダウンロードするために作成したプログラム。APIの存在はChatGPTに教えてもらった。かなり時間を使った気がするけどとても役立った！

Achievements

実績とひとことメモ
実績	ひとこと
情報処理安全確保支援士試験　合格(未登録)	高校3年生で取得。午後2が60点ピッタリ
日商簿記検定2級	商業高校出身なのもあって受験。2度目で合格
TOEIC Score 670	英語の資料やWriteUpを読むときに翻訳を毎度使うのは面倒なのもあって、挑戦を決意。ついでに単位免除もしてもらった。
HackTheBox [Hacker]	実際にVPNで接続してマシンを攻撃するのがとても楽しかった。この経験で実際の攻撃手法やツールについてかなり学べたのでやって良かったと思っている。
AtCoder [茶]	自分は数学が大の苦手だったが、Pythonを学ぶ過程で始めてみた。生成AIが競技プログラミングに悪用され始める少し前に茶色を達成して、そこからは触ってない。

Future goals

今後の目標
目標	ひとこと
HackTheBox Pro-Hacker	ペネトレ系に就職しようと思っているので、あと1つランクを上げたいと思っている。これを達成したら、次はOSCP！
WordFence 1337 Researcher	このティアに上がると報奨金の範囲がかなり拡大するため、挑戦したい。
Programming	コードリーディング力が足りていないと感じたので、様々な言語に挑戦したい。現状ではPoCコードの理解や特有の挙動などが分からず、どうしてもChatGPTに頼りがち。