知識ゼロから試せる　21のハッキング体験で学ぶWebセキュリティ

著者: 左門至峰（さもんしほう），SATOKI（辻知希）　著
定価: 3,520円（本体3,200円＋税10%）
発売日: 2026.11.6
判型: A5
頁数: 384ページ
ISBN: 978-4-297-16007-4

サポート情報

お問い合わせ
本書関連のお問い合わせ

概要

セキュリティ技術およびセキュリティ対策の中軸ともいえるWebセキュリティの基礎を、「動くソースコード」と「実機演習（ハンズオン）」を通して体得する一冊です。単なる脆弱性の羅列ではなく、攻撃者がどのように考えてどのように脆弱性を突くのかを、安全なローカル環境で再現します。ポイントを絞って初歩の知識から丁寧に解説し、実機でのハッキング体験により深い理解が得られるよう構成しています。

ハンズオンでは、自分の手持ちのPC（Windows環境）でMicrosoft公式の機能「WSL」を使用してLinux（Ubuntu）を起動しWebサーバ（Apache）をたてたり、Dockerで演習環境を構築します。この体験も、入門者にとって有意義な深い学びとなることでしょう。

セキュリティの世界で名を馳せる株式会社Ikotas LabsのSATOKI（辻知希）氏によるコラムも必読！脆弱性診断や物理ペネトレーションテストなどの現場のリアルや、「AI任せ」で防衛省CTFで完全優勝した話、セキュリティ業界のキャリア事情、映像作品のハッキング監修の裏話、世界最高峰のハッキング大会の実情や優勝記録など、興味深いトピックが満載です。

こんな方にオススメ

Webセキュリティの基礎を、知識と体験でしっかり学びたい方
教科書的なことはわかっても、実際にはよくわかっていない、身についていないと感じている方
ハンズオンで攻撃手法とセキュリティ対策を体験したい方

プロフィール

左門至峰（さもんしほう）

株式会社エスエスコンサルティング代表。ネットワークとセキュリティの専門家。企業システムの構築やセキュリティ分野での実務経験を持ち、講演、企業向け研修など幅広く活動。

著書に、情報処理安全確保支援士試験対策の『支援士』シリーズ（技術評論社）、『FortiGateで始める企業ネットワークセキュリティ』（日経BP社）、『マンガ＋図解で基礎がよくわかる情報セキュリティの教科書』（技術評論社）など多数。『日経NETWORK』『日経クロステック』（日経BP）、『Think IT』（インプレス）、『＠IT』（ITmedia）、『INTERNET Watch』（インプレス）などの専門誌・Webメディアでも執筆や連載を行う。

保有資格は、情報処理安全確保支援士、CISSP、技術士（情報工学）、ネットワークスペシャリスト、システム監査技術者、プロジェクトマネージャなど。ラジオ大阪（OBC）で、「女と男市川×左門の『資格大好き！』」にも出演。

SATOKI（辻知希）

株式会社Ikotas Labs代表取締役社長。Webアプリケーションつんつん職人、CTFプレイヤー、バグハンター。国内トップのCTFチーム「BunkyoWesterns」に所属。AVTOKYO（2020/2023/2024/2025）、Security Analyst Summit (2024/2026)、Hack Fes.（2024/2026）、m0leCon 2025、TyphoonCon Seoul 2025、HITCON（2025/2026）、DefCamp (2025/2026)、Queen City Conference 2026、Kernelcon 2026、CODE BLUE 2027など、国内外の主要セキュリティカンファレンスで登壇。Pwn2Own Berlin 2026では、OpenAI Codexを含む3製品でRCEを達成。DEF CON CTFやCODEGATE CTFなどのセキュリティコンテストで世界1位。Googleが提供するサービスやFirefoxをはじめ、主要なWebサービスやソフトウェアに存在する数々の0-day脆弱性を発見・報告。

知識ゼロから試せる 21のハッキング体験で学ぶWebセキュリティ

サポート情報

概要

こんな方にオススメ

目次

第1章 なぜ今、Webセキュリティなのか

1.1 技術的セキュリティ対策の全体像

1.2 本書が対象とする「Web」とは何か

1.3 なぜWebセキュリティが重要なのか？

1.4 情報処理安全確保支援士試験でも、Webセキュリティは「超・頻出」テーマ

1.5 AIがあれば、もうセキュリティの基礎やコードは学ばなくていい？

1.6 【注意点】悪用厳禁！

第2章 Webとコンピュータの基本

2.1 Webの基本用語

2.2 Webサーバとは

2.3 Webサーバを支える「OS」

2.4 便利なコンテナ機能「Docker」

第3章 安全なハンズオン環境の作り方

3.1 安全なハンズオン環境に関して

3.2 パターン1：手動で一から構築する

3.3 WSL環境をリセットする方法

3.4 パターン2：Dockerを使って構築する

3.5 操作の違いや配布ファイル

3.6 CTFプレイヤーが利用する作業環境

3.6 【参考】Linux（Ubuntu)の基本操作

第4章 Webページを作ってみよう

4.1 静的なWebページを作る

4.2 【参考】Linuxエディタ（vi/Vim）の基本操作

4.3 動的なページを作る

4.4 ログイン画面とinput要素の仕組み

第5章 Webを理解するための便利なツール紹介

5-1 Webセキュリティの学習に便利なツールについて

5-2 ブラウザ開発者ツール

5-3 「curl」コマンド

5-4 ローカルプロキシツール「Burp Suite」

5-5 【参考】Kali Linux

5-6 CTFのトッププレイヤーが愛用するツール

第6章 HTTPの理解

6-1 HTTPプトロコルの基本

6-2 HTTPS

6-3 HTTPのリクエストとレスポンス

6-4 HTTPのメソッド

6-5 HTTPヘッダの詳細とセキュリティ148

6-6 セキュリティ対策で有効なHTTPレスポンスヘッダの詳細

6-7 Webサーバのログ

第7章 セッションハイジャック

7-1 Cookieとセッション管理

7-2 Cookieの属性とセキュリティ対策

【ハッキング体験 #01】JavaScriptでCookieを読む

7-3 HttpOnlyでCookieを守る

【ハッキング体験 #02】罠サイトのリンクからCookieを送信させる

7-4 Cookie以外のセッション管理手法

【ハッキング体験 #03】Referer機能によってセッションIDを取得せよ

7-5 現代のセッション管理（トークンとJWT）

【実践】ブラウザと開発者ツールでJWT認証の裏側を覗いてみよう

【ハッキング体験 #04】JWTを盗み出し、セッションを乗っ取れ

第8章 認証情報の突破

8-1 セッションハイジャック

【ハッキング体験 #05】セッション情報を書き換えて、他人でログインせよ

【ハッキング体験 #06】罠のスクリプトを仕掛け、標的のセッションIDを奪取せよ

8-2 セッションフィクセーション

【ハッキング体験 #07】罠のセッションIDを送り込み、アカウントを乗っ取れ

8-3 セッションハイジャックおよびセッションフィクセーションの対策

第9章 インジェクション攻撃

9-1 SQLインジェクション

9-2 SQLインジェクションの対策

【ハッキング体験 #08】SQLインジェクションで認証を突破せよ

【ハッキング体験 #09】利用者IDを知らない状況で認証を突破せよ

【ハッキング体験 #10】不十分なエスケープ処理を回避して認証を突破せよ

9-3 OSコマンドインジェクション

【ハッキング体験 #11】OSコマンドを注入し、サーバ内部の情報を読み取れ

9-4 HTTPヘッダインジェクション

【ハッキング体験 #12】HTTPヘッダを破壊し、偽の画面を表示させよ

第10章 クライアントサイドへの攻撃

10-1 クロスサイトスクリプティング

10-2 格納型XSS

【ハッキング体験 #13】格納型XSSの脆弱性があるサイトに対して攻撃コードを埋め込む

10-4 反射型XSS

【ハッキング体験 #14】反射型XSSの脆弱性を悪用した罠リンクの作成

10-6 DOM型XSS

知識ゼロから試せる　21のハッキング体験で学ぶWebセキュリティ

第1章　なぜ今、Webセキュリティなのか

1.1　技術的セキュリティ対策の全体像

1.2　本書が対象とする「Web」とは何か

1.3　なぜWebセキュリティが重要なのか？

1.4　情報処理安全確保支援士試験でも、Webセキュリティは「超・頻出」テーマ

1.5　AIがあれば、もうセキュリティの基礎やコードは学ばなくていい？

1.6　【注意点】悪用厳禁！

第2章　Webとコンピュータの基本

2.1　Webの基本用語

2.2　Webサーバとは

2.3　Webサーバを支える「OS」

2.4　便利なコンテナ機能「Docker」

第3章　安全なハンズオン環境の作り方

3.1　安全なハンズオン環境に関して

3.2　パターン1：手動で一から構築する

3.3　WSL環境をリセットする方法

3.4　パターン2：Dockerを使って構築する

3.5　操作の違いや配布ファイル

3.6　CTFプレイヤーが利用する作業環境

3.6　【参考】Linux（Ubuntu)の基本操作

第4章　Webページを作ってみよう

4.1　静的なWebページを作る

4.2　【参考】Linuxエディタ（vi/Vim）の基本操作

4.3　動的なページを作る

4.4　ログイン画面とinput要素の仕組み

第5章　Webを理解するための便利なツール紹介

5-1　Webセキュリティの学習に便利なツールについて

5-2　ブラウザ開発者ツール

5-3　「curl」コマンド

5-4　ローカルプロキシツール「Burp Suite」

5-5　【参考】Kali Linux

5-6　CTFのトッププレイヤーが愛用するツール

第6章　HTTPの理解

6-1　HTTPプトロコルの基本

6-2　HTTPS

6-3　HTTPのリクエストとレスポンス

6-4　HTTPのメソッド

6-5　HTTPヘッダの詳細とセキュリティ148

6-6　セキュリティ対策で有効なHTTPレスポンスヘッダの詳細

6-7　Webサーバのログ

第7章　セッションハイジャック

7-1　Cookieとセッション管理

7-2　Cookieの属性とセキュリティ対策

7-3　HttpOnlyでCookieを守る

7-4　Cookie以外のセッション管理手法

7-5　現代のセッション管理（トークンとJWT）

第8章　認証情報の突破

8-1　セッションハイジャック

8-2　セッションフィクセーション

8-3　セッションハイジャックおよびセッションフィクセーションの対策

第9章　インジェクション攻撃

9-1　SQLインジェクション

9-2　SQLインジェクションの対策

9-3　OSコマンドインジェクション

9-4　HTTPヘッダインジェクション

第10章　クライアントサイドへの攻撃

10-1　クロスサイトスクリプティング

10-2　格納型XSS

10-4　反射型XSS

10-6　DOM型XSS

10-5　XSSの対策
根本的対策（脆弱性を作らない）

被害軽減策

10-6　クロスサイトリクエストフォージェリ

10-7　クリックジャッキング

第11章　サーバ本体を掌握する攻撃

11-1　ファイルアップロード機能の脆弱性

11-2　Webshell

11-3　ディレクトリトラバーサル

11-4　サーバサイドリクエストフォージェリ

11-5　XXE

第12章　Webサーバを守るための基本対策

12-1　企画・設計フェーズ

12-2　開発フェーズ

12-3　構築フェーズ

12-4　テストフェーズ

12-5　運用フェーズ