SPAセキュリティ超入門 | ドクセル
スライド概要 SPA(Single Page Application)の普及が一層進んでおり、従来型のMPAを知らないウェブ開発者も生まれつつあるようです。SPA対応のフレームワークでは基本的な脆弱性については対策機能が用意されていますが、それにも関わらず、脆弱性診断等で基本的な脆弱性が指摘されるケースはむしろ増えつつあります。 本セッションでは、LaravelとReactで開発したアプリケーションをモデルとして、SQLインジェクション、クロスサイトスクリプティング、認可制御不備等の脆弱性の実例を紹介しながら、現実的な対策について紹介します。LaravelやReact以外のフレームワーク利用者にも役立つ説明を心がけます。 PHPカンファレンス2022での講演資料です。 PHPカンファレンスでの動画URL https://www.youtube.com/watch?v=jZ6sWyGxcCs
Webエンジニアだったら当然知っておきたい「 クリックジャッキング対策 」とは？ | 株式会社ヌーラボ(Nulab inc.)
こんにちは。Typetalkチームの永江です。今回は4月にリリースした、BacklogとTypetalkの連携機能である「Backlogカード」の実装の際に行った クリックジャッキング対策 について説明します。 Backlogカードとは Backlogカードは、Typetalkのトピック内にBacklogの課題やコメントをカード形式にして表示する機能です。Backlogの課題キーや課題のURLを貼り付けるだけで、以下の画像のように表示できます（※詳しいご利用方法についてはこちらの「Typetalkのトピック上で課題の詳細を見られる Backlogカード をリリースしました！」をご参照ください）。 Backlogカードの実装は、TypetalkからBacklogに用意した埋め込み用の課題ページを<iframe>で表示するというものです。このような実装にしたのは、もともとBacklogに<if
本当はこわいMySQLプロトコル - tmtms のメモ
11/28 に Haskell で MySQL の Xプロトコルを実装したという話が聴ける Club MySQL というイベントがあったので参加してきました。 clubmysql.connpass.com MySQLのプロトコルの話ということで、平日の夜とは言え東京で参加者9人(発表者含む)というマニアックな集まりでした。 自分も1年前に Ruby で MySQL Xプロトコルを実装していたのですが、このツイートを最後に中断していたのでした。 MySQL X Protocol で Collection の追加はできるようになったが、検索がめんどくさい。条件文字列のパースはクライアントで行う必要があるんだな。— とみたまさひろ💎🐬 (@tmtms) 2017年2月20日 今回話を聞いて、無理に謎条件式文字列をパースするんじゃなくて、処理系で書きやすいように書けばいいんだという方式に目から
100万円をゲットする方法：ZOZO前澤社長のTwitterお年玉企画には参加せず、なりすまして詐欺広告を出稿する | 匿名ブログ
100万円をゲットする方法：ZOZO前澤社長のTwitterお年玉企画には参加せず、なりすまして詐欺広告を出稿する Twitterには、企業の公式アカウントなどが開催するキャンペーン企画があります。応募条件がアカウントのフォローや特定ツイートのリツイートなど、簡単に参加できることから人気を集めています。懸賞企画に参加するために専用のアカウントを作成する人々もいます。 最近では、ZOZOの前澤友作社長がTwitterで「100万円を100人にプレゼントする」という企画を開催し、そのリツイート数は500万件と世界記録を達成しています。 ZOZO前澤社長、Twitterで「100万円を100人にプレゼント」 340万以上の応募、「RT日本記録更新」 – ITmedia NEWS http://www.itmedia.co.jp/news/articles/1901/07/news048.html
サーバー群への管理者アクセス権限を統制する | ロードバランスすだちくん
シンジです。sshを利用してサーバーへアクセスする際、IDとパスワードでrootにダイレクトアクセスさせてるケースもままあるでしょうが、監査も通らないし乗っ取りリスク高すぎ問題なので辞めたいところです。クラウドを日常的に利用する方々の場合、通常は証明書認証によってサーバーログインを行っていると思います。証明書ファイルが次々と増えていく問題、証明書ファイルを手に入れれば多くの人がサーバーにログインできちゃう問題は目をつぶるしかないのか。 そこでエンプラなどでは、「踏み台サーバー」を作って、そこでアクセス権限をコントロールすることで、サーバーログインへの統制を図るわけですが、第一踏み台から第二踏み台へそして第三踏み台とかいう絶望も現実的に存在している実状です。そもそも、エンプラが踏み台サーバーを自前で作るわけがなく、そういう製品を購入して作ってもらう、はい数千万円、保守費毎年よろしくみたいな世
For Engineers - PagerDuty Security Training
Security Training for Engineers This is an open-source version of "Security Training for Engineers", PagerDuty's internal technical security training, open to all PagerDuty employees as part of our continuous security training program. Unlike our course for everyone, this course covers more technical topics and is more applicable to those in an engineering role. While it delves into various techni
O'Reilly Japan - インテリジェンス駆動型インシデントレスポンス
サイバー脅威インテリジェンスは、サイバー攻撃に関連する情報を積極的に集め、分析することで防御に役立てることを指します。ゼロデイ脆弱性や標的型攻撃など予測の難しい攻撃が増え、既存のセキュリティツールだけでは防御が難しい昨今、注目される分野です。本書は、サイバー脅威インテリジェンスをセキュリティ対策に活用するための指南書です。インテリジェンスの基礎から、インテリジェンス駆動型のインシデント対応、将来に向けたプログラム構築までを解説しています。 序文 はじめに 第1部 基礎編 1章 導入 1.1 インシデント対応のためのインテリジェンス 1.1.1 サイバー脅威インテリジェンスの歴史 1.1.2 現代のサイバー脅威インテリジェンス 1.1.3 今後の方向性 1.2 インテリジェンスのためのインシデント対応 1.3 インテリジェンス駆動型インシデント対応とは何か？ 1.4 なぜインテリジェンス駆動
ASCII.jp：Zaif不正出金事件の犯人追跡につながる証拠、JDDやエルプラスが特定 (1/3)
Japan Digital Design（JDD、三菱UFJフィナンシャル・グループ）は2018年11月5日、仮想通貨取引所「Zaif」から9月14日に流出した仮想通貨「Monacoin」の送金指示元IPアドレスの特定に成功したことを発表した。JDDとエルプラス、CTFチームのTokyoWesternsが合同で実施したプロジェクト“Zaif犯人追跡ハッカソン”による成果。 仮想通貨プラットフォームのP2Pネットワークに着目した調査方法を採用し、不正出金されたMonacoinに対して10月20日、22日に別口座への送金指示を行ったフランス、およびドイツのIPアドレスを割り出した。両日を含む合計4日間ぶんのすべてのトランザクションデータは、犯人追跡に必要な証拠として10月25日に警察庁と大阪府警に提供されている。なおP2Pネットワークに着目した調査方法は、現時点で国内初だという。 本稿ではこの
iPhone向けのアンチウイルスアプリは存在するか | カスペルスキー公式ブログ
Kaspersky LabがiOS向けのアンチウイルスアプリを販売していないのはなぜでしょうか。また、時々見かけるAppleモバイルデバイス向けの「セキュリティアプリ」とは何なのでしょうか。 Kaspersky Labの製品ラインアップにiOS向けのウイルス対策アプリがないのは、妙な感じかもしれません。ないのには理由があります。Apple は「AppleのiOSプラットフォームは、セキュリティを核に据えて設計されています」（出典）としており、iOSにはアンチウイルス製品が必要ないとの立場で、厳密な意味でのアンチウイルスアプリをApp Storeで販売することを認めていません。 上から目線に聞こえるかもしれませんが、マーケティング的には筋が通っています。確かにApple iOSは非常に安全な設計になっていて、iOSのアプリはそのアプリ独自のサンドボックス内で実行されます。サンドボックスとは、
あなたのAWSセキュリティ監査状況を採点〜CISベンチマークを読んでみた | DevelopersIO
この記事では、組織のセキュリティを評価して改善するのに役立つCISベンチマークの概要説明と、実際のベンチマークを利用したAWS環境の具体的なチェック項目について、ご紹介します。 西澤です。先日、CIS(Center for Internet Security)よりCIS AWS Foundation Benchmarkが発表されました。CISは、セキュリティの促進を目的とした米国の非営利団体で、専門家により精査されたセキュリティ基準を公開してくれています。今回、公開されたドキュメントを読み解くことで、AWSを利用する上で必要となるセキュリティ設定について理解を深めることができればと目を通してみることにしました。 AWS Security Blog | Security and Compliance in the AWS Cloud CISベンチマークとは？ CISとは下記のような非営利団体
Serverspecでユーザに弱いパスワードが設定されていないか調べるユーティリティを作りました - インフラエンジニアway - Powered by HEARTBEATS
こんにちは。CTOの馬場です。 Serverspec使ってますか？ ハートビーツでは使っています。 サーバ構築後などに弊社標準のスケルトンをもとにテストを作成・実行しています。 最近「弱いパスワードを利用しているユーザがいないかチェックしたい」という要望があったため、 実現するために ServerspecWeakPassword を書いて公開したので紹介します。 自分のメイン言語はPythonとGoですが、ServerspecはRubyなので素直にRubyで書きました。 ServerspecWeakPassword Utility to check specified user's password is so weak. - github.com/heartbeatsjp/serverspecweakpassword パスワードが以下の条件に合致しているかを確認し、 合致している場合はテ
【随時更新】Webセキュリティ診断ツールのまとめ - まったり技術ブログ
GUIアプリケーション型 Burp Suite ZAP zap-cli Fiddler Vex Watcher X5S コンソールアプリケーション型（CUI型） SQLMap NoSQLMap w3af Arachni (終了) SCNR Scan My Server (※提供終了) WhatWeb Skipfish Nikto Vega Grabber Wapiti WebScarab Ratproxy Wfuzz Grendel-Scan WAScan Paros SaaS型 VAddy（バディ） AeyeScan（エーアイスキャン） komabato（コマバト） Securify（セキュリファイ） secuas（セキュアズ） Walti (※提供終了) 特徴 診断種別 「Web Server」のスキャン結果 Acunetix WVS Qualys - Web Application
Zaifの仮想通貨不正流出で見えてきた「正しいお金の洗い方」 – 無能ブログ
9月20日、仮想通貨取引所「Zaif」を運営するテックビューロ株式会社は外部から不正アクセスを受け、同社が管理する70億円相当の仮想通貨が流出したことを公表しました。 仮想通貨の入出金停止に関するご報告、及び弊社対応について｜テックビューロ株式会社のプレスリリース https://prtimes.jp/main/html/rd/p/000000093.000012906.html 盗まれた仮想通貨は「Bitcoin」「Bitcoin Cash」「Monacoin」の3種類です。Zaif側は時間帯と金額以外に詳細は明かしていませんが、不正アクセスのあった9月14日17時から19時ごろに生成された各通貨のブロックの全取引内容を調べると、Bitcoinではブロック #541368 に含まれる取引に、実際にZaifから流出したとみられる巨額の送金履歴が確認できます。 Zaifから盗まれたBitco
Burp Suite日本語ドキュメント
Burp Suite日本語ドキュメント このドキュメントは、Burp Suite Professional版に付属するドキュメントを、日本語に翻訳したものです。 目次 Documentation API 注意事項 Enterprise版のドキュメントは含まれておりません。 APIは、2022.9で追加された MontoyaバージョンのAPI ではなく、それ以前のAPIドキュメントです。 このドキュメントは、私個人が独自に勝手に翻訳したもので、PortSwigger社は一切関係ありません。日本語訳の間違いはもちろんのこと、本ドキュメントを使用したことによる不具合等についてPortSwiggerに問い合わせないようお願いします。 翻訳の間違いやよく意味のわからない箇所がある場合は、GitHubのIssue、またはその他の方法でご連絡ください。(特にSequencerが怪しいです) ドキュメント
DNS: 短いTTLのリスク
(Last Updated On: 2014年12月5日)TTLが短いとDNSキャッシュサーバがドメイン権限を持ったDNSサーバにクエリに行く機会が増える（当たり前ですがDNSキャッシュサーバはTTLで指定された時間だけレコード情報をキャッシュしてドメイン権限を持つDNSサーバにクエリしない）ので危険と言う話。1秒に一回キャッシュを更新するほうが1時間に一回キャッシュを更新するよりDNSキャッシュ汚染が行いやすくなる、という当たり前の事です。DNSキャッシュが汚染可能である事、その汚染の仕組みを知らない方には思いがけないリスク増加かもしれません。 7ページ目に記載されている数式だけではどれが何だか分かりませんが、Nはポート数を表しているはずです。ポートが固定されていると16^2の組み合わせしかない、と言う話は良く知られていると思います。DNSを管理している人なら誰でも知っていると思いますが
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
'or/**/1=1#' on Twitter: "“Kazunori ANDO on Twitter: "(ポート番号変えなくてもsshd_configにKexAlgorithmsとCiphersとMACs書いて弱いアルゴリズム弾くだけで大量に来るのは防げるし、ポート自体の強度上… https://t.co/zi8SSupTsM"
The DevSecOps Security Checklist Checklist | Sqreen
知らなかった、時に困るWebサービスのセキュリティ対策 / Where Do We Start With Information Security?
細工した画像をFAXに送信しイントラネットにマルウェア感染させる脆弱性（チェック・ポイント） | ScanNetSecurity
Microsoft PowerPoint - iw2006-DNS-DAY-minda-05.ppt