WindowsのDLLだけが危ないのか？ DLL hijacking vulnerability概説（前編）
はじめに 今回は、最近話題のDLL hijacking vulnerabilityと呼ばれるプログラムのDLL読み込みに関する脆弱性について解説したいと思います。この脆弱性は、"DLL preloading attack"と呼ばれたり"binary planting vulnerability"と呼ばれたりすることがありますが、これらは同じ問題の別称です。ここでは便宜上「DLL hijacking」という言葉で統一します。 この脆弱性は、スロベニアのセキュリティ会社Acros Security（Acros）が8月18日に公開したWindows向けApple iTunesの脆弱性"Remote Binary Planting in Apple iTunes for Windows"において、メディアの注目を集めました。前後して、UC Davisの研究者が同様の問題に関する学会発表を行っていた
第1回 ルートキットの進化を追う
セキュリティ・コンサルタント 村上 純一 昨今，ボットやスパイウエアなどのマルウエアによる被害が増加している。こうした最近のマルウエアには，ユーザーから自身の姿を隠すために，ルートキットと呼ぶソフトウエアが併用されていることが多い。ところが，ルートキットの危険性の認知はその被害の規模に反して低い。これはルートキット自体が「隠れることを目的とする」という性質を持つことに起因していると思われる。そこで，本稿ではルートキットの現状に至るまでの経緯と，その実態を紹介する。 1997年から始まった 1997年ごろに登場した初期のルートキットは，SolarisやBSD，LinuxといったUNIXを対象としたものがほとんどだった。こうした初期のルートキットは，名前から推測できるようにツールキットとしての意味合いが強く，侵入者がコンピュータのコントロールを奪取するための不正プログラムの“詰め合わせ”だった
WindowsでJava Runtime Environment（JRE）のバージョンを調べる
解説 Java VM（Virtual Machine）とはJavaプログラムの実行環境のことで、Oracle（以前はSun Microsystems）などから無償で配布されている。特に、最も一般的なOracleのJava VMは、管理ツールとセットで「Java Runtime Environment（JRE）」として、PCにプレインストールされていたり、Webアプリケーションの利用時にインストールされたりしている。 JREは普及していることもあり、関連記事に記されているように、脆弱性などの理由から最新版への更新を迫られることがある。更新が必要かどうかを判断するためには、現在インストールされているJREのバージョンを知らなければならない。 最近のJREは更新の際、すでにインストール済みのJREに対して、変更されたファイルのみを置き換える（同一フォルダにインストールする）ようになっているが、過
＠IT：Webアプリケーション: 第3回 気を付けたい貧弱なセッション管理
※ご注意 他社および他組織のWebサイトなどへのポートスキャンおよびデータの取得などの行為で得た情報を侵入などに悪用するか、または同じ目的を持つ第三者に提供した時点で違法となります。ご注意ください。 本稿の内容を検証する場合は、必ず影響を及ぼさない限られた環境下で行って下さい。 また、本稿を利用した行為による問題に関しましては、筆者および株式会社アットマーク・アイティは一切責任を負いかねます。ご了承ください。 「第2回 顧客データがすべて盗まれる」は、クロスサイトスクリプティング（XSS）と同様に実際のプログラミングを行うプログラマの責任であるという対策で、最も危険と思われるSQL InjectionとOS Command Injectionについて紹介した。今回は、プログラミング以前の設計段階で潜り込むセキュリティホール――見落としがちなセッション管理の脆弱性について説明していく。 We
大企業は中小企業に情報を守る責任を押し付けていないか？--DIT 下村社長
印刷する メールで送る テキスト HTML 電子書籍 PDF ダウンロード テキスト 電子書籍 PDF クリップした記事をMyページから読むことができます コンピュータやネットワークに対する内外からの脅威がいっそう深刻化している。状況の進展に伴って法律や制度は変化し、特に大企業は迅速な対応を迫られている。 しかし、中小企業も決して例外ではない。脅威は企業の規模に関わらずやってくる。そして、大企業や中堅企業は取引先の中小企業にも同じようにセキュリティへ取り組むことを求めている。 中小企業のセキュリティ対策の実情、選択すべき対策や考え方について、ディアイティ（DIT）代表取締役社長の下村正洋氏に聞いた。 地方の中小企業は土地のSIerにITシステムを丸投げしがち 最近の中小企業を取り巻くセキュリティの実態をどのようにみているか 「中堅・中小企業」という言い方があるが、地方では中堅と中小が明確に
【ハウツー】Webアプリケーションを守るApacheモジュール「ModSecurity」 (1) リリース間もない新版の特長 | エンタープライズ | マイコミジャーナル
ModSecurityとは Breach Security, Inc.は9月24日(米国時間)、ModSecurityの最新版であるModSecurity v2.5.10をリリースした。 ModSecurityはWebアプリケーションファイアウォール(WAF)のひとつで、Apacheのモジュールとして動作する。リクエストヘッダや引数・表示するコンテンツなどから攻撃や脆弱性を検出し、悪意あるユーザの攻撃からWebアプリケーションを守ることができる。セキュリティフィルタは最初から用意されているもの以外にも、Luaを使用して自分で作成することもでき、柔軟な設定をおこなうことが可能だ。 v2.5.10でのおもな変更点は次のとおり(CHANGES_2.5.10.txtより一部を抜粋) Windowsビルドでのmlogcをクリーンアップ フィルタ中の詳細なメッセージを"Unknown error"に置
「休む時間もないけど楽しい」 15万ユーザーが使う「movatwitter」を1人で支えるには
ある休日。妻と2人で外食しながら、携帯電話をチェックする。携帯電話向けTwitterクライアント「movatwitter」（モバツイッター、モバツイ）にアクセスし、Twitterをチェック。うまくつながらないと「帰りたくなる」。 Twitterにはまっていて、どうしてもチェックしたいから、家に帰ってPCで確認したい――というわけではない。「監視の意味で、いつもチェックしている」。藤川真一さんはモバツイの開発者。15万ユーザーが使うサービスを、1人で開発・運用する。 普段はpaperboy＆co.で、ショッピングモール「カラメル」を統括するプロデューサー。モバツイは趣味だが、「家にいる時間はほぼずべてモバツイに費やす」ほどの力の入れようだ。長期休暇は「機能追加週間」。お盆休みもゴールデンウィークも、機能追加や負荷対策に明け暮れた。休む時間もないが、楽しいという。 2007年4月に開発してから
オープンソース由来の国産WAFにかける意気込み
Webアプリケーションファイアウォールの機能をサービスとして提供する国内初の取り組みをセキュアスカイ・テクノロジー（SST）が始めた。オープンソース由来の同サービスの開発を手がける金床氏とSSTの若林氏に、その狙いと目標を聞いた。 WebサイトやWebアプリケーションを標的にするサイバー攻撃が激増する中、これらの攻撃に対処する手段としてWebアプリケーションファイアウォール（WAF）が注目されている。WAFはクロスサイトスクリプティングやSQLインジェクションなどWeb特有の脆弱性に特化してシステムを保護できるものの、導入や運用にはある程度の手間やコストも伴うことから、使いこなすようになるまでには時間やリソースを費やす側面もある。 Webセキュリティ企業のセキュアスカイ・テクノロジー（SST）は、オープンソースのWAF「Guardian」をベースにWAFの機能をオンラインで安価に提供する国
dfltweb1.onamae.com – このドメインはお名前.comで取得されています。
このドメインは お名前.com から取得されました。 お名前.com は GMOインターネットグループ(株) が運営する国内シェアNo.1のドメイン登録サービスです。 ※表示価格は、全て税込です。 ※サービス品質維持のため、一時的に対象となる料金へ一定割合の「サービス維持調整費」を加算させていただきます。 ※1 「国内シェア」は、ICANN(インターネットのドメイン名などの資源を管理する非営利団体)の公表数値をもとに集計。gTLDが集計の対象。 日本のドメイン登録業者(レジストラ)（「ICANNがレジストラとして認定した企業」一覧（InterNIC提供）内に「Japan」の記載があるもの）を対象。 レジストラ「GMO Internet Group, Inc. d/b/a Onamae.com」のシェア値を集計。 2023年5月時点の調査。
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
ＭＳ、ＤＬＬ読み込みの脆弱性で勧告を公開 : インターネットコムニュース : ニュース : ネット＆デジタル : YOMIURI ONLINE（読売新聞）
ダウンロード違法化、どこまで合法？ 福井弁護士に聞く 
WAFでWebアプリの脆弱性を守れるか
webニュース（産経新聞）でも、全国ネットのニュースでも取り上げられた2006年9月の、ある記事を探してしていますが見つかりません。…
個人向けスポットサービス｜記事検索｜サービスのご案内｜新聞記事・雑誌 クリッピング、記事検索サービス｜ELNET