C
月内に
Hack The Boxの「MakeSense」マシンを対象とした、OCR（光学文字認識）機能を悪用した攻撃手法の解説記事です
📌 一言でいうと
Hack The Boxの「MakeSense」マシンを対象とした、OCR（光学文字認識）機能を悪用した攻撃手法の解説記事です。攻撃者はPHPコードを含む画像を生成し、サーバー側のOCR処理によってコードをテキストとして復元させ、ファイル拡張子の制限がない場合にリモートコード実行（RCE）を達成します。最終的に権限昇格を行い、root権限を取得するまでのプロセスが詳述されています。
🔍該当判定
- 自社で開発・運用しているWebサービスで、OCR（画像から文字を読み取る機能）を利用している
- OCRで読み取ったテキストを、そのままサーバー上のファイルとして保存する仕組みがある
- サーバー側で保存するファイルの拡張子（.phpなど）を制限せずに保存している
- Linuxサーバー上でPHPなどのスクリプト言語を動作させている
上記いずれにも該当しない → 静観でOK
✅該当時の対応
1. ユーザーがアップロードしたファイルやOCR処理結果を保存する際、許可された拡張子のみを許可するホワイトリスト形式の検証を導入すること。 2. 保存先ディレクトリでのスクリプト実行権限を無効化すること。 3. OCRエンジンの出力をそのままファイルとして保存せず、適切にサニタイズすること。