livedoorのXSSを報告したらmalaさんから謝礼を頂いた - masatokinugawaの日記
84 users
最近、livedoorに勤務されているid:malaさんに、livedoorに存在するXSSの報告を何箇所かしていたのですが、先日XSSを報告した後、Twitterで、「ポケットマネーだから少ないがamazonギフト券をlivedoorのメール宛に贈っておいた」という内容のDMを頂きました。 ... 続きを読む
すべて表示
Webアプリケーション向けの自動セキュリティスキャナ「Skipfish」を試してみました : アシアルブログ
67 users
こんにちは、中川です。 先日、GoogleからWebアプリケーション向けの自動セキュリティスキャナ「Skipfish」が公開されたので、社内で利用しているCakePHPのアプリで試してみました。 Skipfish( http://code.google.com/p/skipfish/ )は、Webアプリケーションの... 続きを読む
[XSS Challenges] - ぺぺき
7 users
XSS Challenges | 20:09>，type属性の値がhiddenであるinput要素のvalue属性の値hogeが、検索結果のmeta要素hoge"> 続きを読む
[mixi] ネットワーク&セキュリティ | はてなでやってるXSS対策と同様のXSS対策をしたい
7 users
［さらに気になる］JSONの守り方 − ＠IT
144 users
皆さんこんにちは、はせがわようすけです。第4回「［気になる］JSONPの守り方」はJSONPについて説明しましたので、今回は「JSON」についてもセキュリティ上注意すべき点について説明します。 JSONは、XMLHttpRequestで受け取り、JavaScript上でevalするという使... 続きを読む
すべて表示
ウェブアプリケーションの脆弱性診断を定期的に実施することが必要 - 電子行政：スペシャルレポート：ITpro
47 users
Copyright (C) 1995-2009 Nikkei Business Publications, Inc. All rights reserved. このページに掲載されている記事・写真・図表などの無断転載を禁じます。著作権は日経BP社，またはその情報提供者に帰属します。 掲載している情報は，記事執筆時点のものです。 続きを読む
Rails 2系のXSS脆弱性がRuby 1.9では影響なしとされる理由 - 岩本隆史の日記帳
54 users
セキュリティ, RubyRails 2系のXSS脆弱性を修正するパッチが先日公開されました。4日(米国時間)、Ruby on Railsの2系すべてのバージョンにXSSの脆弱性があることがRiding Rails: XSS Vulnerability in Ruby on Railsにおいて発表された。特定のUnicode文字列を... 続きを読む
すべて表示
「UnicodeによるXSSと SQLインジェクションの可能性」プレゼン資料 - ockeghem(徳丸浩)の日記
46 users
だいぶ間があいてしまいましたが、本年1月31日に開催された、第04回まっちゃ４４５勉強会目覚まし勉強会におけるライトニングトークの資料を公開します。UnicodeによるXSSと SQLインジェクションの可能性View more presentations from ockeghem. 続きを読む
すべて表示
W2Cマークアップエンジニア・ワーキンググループ 「マークアップエンジニアが知っておきたい3つの脆弱性」 | bakera.jp
56 users
2009年9月16日、W2Cマークアップエンジニア・ワーキンググループでお話しした「マークアップエンジニアが知っておきたい3つの脆弱性」に関するサポートページです。とりあえず資料がダウンロードできます。 資料ダウンロードプレゼンテーション資料の PDF 版が... 続きを読む
徳丸浩の日記 - PHP以外では - 既にあたり前になりつつある文字エンコーディングバリデーション
73 users
Rubyの場合 Rubyの場合は、Ruby1.9にて文字エンコーディングの取り扱いが大幅に改善され、RubyでCGIプログラムを記述した場合早期に文字エンコーディングの検証が入るようになっています。たとえば、以下のような、クエリ文字列を受け取って表示するだけの簡単... 続きを読む
2009-09-08 - hoshikuzu | star_dust の書斎
2 users
マルチバイト文字列の先行文字列埋め込みによる攻撃については、長谷川さんによる、http://gihyo.jp/admin/serial/01/charcode/0006 を参照いただくこととして、この記事に書かれていない、とりあえずの間に合わせ的な保険的対策について書いてみたいと思います... 続きを読む
RubyOnRailsのXSS脆弱性がTwitterとBasecampとぼくの魂を殺した
79 users
わずか3日前にWebのセキュリティの絶望的な状況、中でもとくにクロスサイトスクリプティング(XSS)攻撃を使う新しいベクターについて書いたばかりだが、今日（米国時間9/3）は開発フレームワークRubyOnRailsにXSSに対する脆弱性が見つかったというニュースが入っ... 続きを読む
2009-09-04 - hoshikuzu | star_dust の書斎
1 user
以下のどれが実行可能なのでしょうか？IE8ないしIE6で。 [location(name)] +location(name) location(name)? true : false typeof location(name) location(name)|1 !location(name) ~~location(name) /(?!)/(location(name)) 最後のやつが一番わけわかんない。... 続きを読む
Webのセキュリティ努力のゴールにあるのは「絶望」のみ
38 users
現代人は、Web上に平気で個人的な情報や仕事上の重要データを置くようになっている。人に見せたくない写真、人に知られたくないソーシャルグラフ、財務データ、仕事の重要文書などなど、なんでも置いてしまう。お気に入りのサービスを毎日のように使って使い慣... 続きを読む
[PDF] I thought you were my friend!
6 users
I thought you were my friend! Malicious markup, browser issues and other obscurities A talk by Mario Heiderich For CONFidence 2009 OWASP Europe 2009 in Krakow Who am I CTO for Business-IN, New York/Cologne Total web-retard Inv... 続きを読む
すべて表示
[PDF]The Ultimate IDS Smackdown
3 users
A hopefully amusing and edutaining talk by Gareth Heyes and Mario Heiderich for OWASP London, 07.2009 Who are we? Gareth Heyes Founder of Businessinfo web security Contracts for Microsoft testing the XSS filter Creator of Hackvertor & othe... 続きを読む
すべて表示
Massive Twitter Cross-Site Scripting Vulnerability
9 users
[NOTE: As if the attention-grabbing title ruining the surprise for you wasn't bad enough, I've got some more bad news. We let Twitter (via Kevin Rose) know about this before it went live but we think somebody saw the Test ! . ] So as I’m su... 続きを読む
すべて表示
本当は怖い文字コードの話：第7回 Unicodeからの多対一の変換｜gihyo.jp … 技術評論社
65 users
本当は怖い文字コードの話 第7回 Unicodeからの多対一の変換 2009年8月11日 はせがわようすけ セキュリティ, 文字コード, Unicode, UTF-16LE, パストラバーサル, クロスサイ トスクリプティング 1 2 文字コードが引き起こすセキュリティ上の問題として，もっと... 続きを読む
すべて表示
情報処理推進機構：情報セキュリティ：脆弱性対策：「Namazu」の古いバージョンを利用しているウェブサイトへの注意喚起
6 users
−ウェブサイト運営者は脆弱性対策情報を収集し、バージョンアップを!− 最終更新日 2009年8月20日 掲載日 2009年8月20日 IPA（独立行政法人情報処理推進機構、理事長：西垣 浩司）は、オープンソースの全文検索システム「Namazu」（開発者：Namazu Project）... 続きを読む
2009-08-17 - hoshikuzu | star_dust の書斎
2 users
T.Teradaさんによる実例を拝見して2009-07-18のT.Teradaさんの日記の『括弧なしのXSS』という題名の記事を興味深く読ませて頂きました。実際に実例があったのですねぇ。ため息。括弧なしのXSSという題材については、その後、Our Favorite XSS Filters/IDS and h... 続きを読む
すべて表示
