「OAuth 2.0 (Implicit Flow) でログイン」の被害例 - OAuth.jp
。登場人物 OAuth 2.0対応してる某ゲームプラットフォーム 某ゲームプラットフォーム上で占いゲームを運営してる攻撃者 某ゲームプラットフォーム上で農園ゲームを運営してる被害アプリの開発者 某ゲームプラットフォーム上で無邪気に遊んでる被害ユーザ ※ 念のため、今回の話は特にゲームに限った話ではない。 前提 某ゲームプラットフォーム、農園ゲーム共に、XSS とか CSRF とかセッションハイジャックされるような脆弱性はない。 農園ゲームはプラットフォームが発行するAccess TokenをOAuth 2.0のImplicit Flowを使って受け取り、同じくプラットフォームが提供するProfile API (GET /me とか) にアクセスして、レスポンスに含まれる user_id をもとにユーザを認証している。 攻撃者は占いゲームのDBから任意のAccess Tokenを取得可能。
"なんちゃら iOS SDK" でありそうな被害例 - OAuth.jp
昨日の続き。「ソーシャルゲームなんて3000万人の特殊な人しかやってない」という意見もあるようなので、今日は iOS アプリ版。 登場人物 iOS SDK 出してるプラットフォーム iOS SDK と連携するプラットフォームの公式 iOS アプリ プラットフォーム上で "まっとうな" アプリを運営してる攻撃者 攻撃者が自作した攻撃用アプリ iOS SDK 使って開発された被害アプリ あいかわらず無邪気な被害ユーザ 前提 プラットフォームが提供する iOS SDK は、 プラットフォームが指定するカスタムスキーマ (ex. “xyz-connect://”) で始まる URI にアクセスすることで プラットフォーム公式 iOS アプリに access token 取得のフローを delegate し 公式アプリが被害アプリの指定するカスタムスキーマ (ex. “foobar-rowial:/
ssコマンドのちょっといい所見てみたい。のでネットワーク統計情報がどの程度見られるか試してみた。 - 256bitの殺人メニュー
netstatさんが時代遅れだって！？ netstat使ってるのは小学生までだよねー。 キャハハｋ（ｒｙ 、、、というのは冗談ですが、これからはssコマンドらしいって聞いたので、どんな感じで使えるか使ってみた。 ssコマンド netstatの代替コマンドらしく、現在の通信状況の確認に使えるコマンドです。 メリットはsocketのrawでのsocketの扱いができる点かなと。 と、ipv6に強いところのようです。 でもあんまりipv6環境ってないですし、普段使いで代替になるかなーと思って見てみました。 基本的な使い方 netstatと似た感じっすよ。これ。 netstat # netstat -naot (snip) tcp 0 0 192.168.100111:50271 192.168.10131:27218 ESTABLISHED keepalive (215.43/0/0) tcp
Pretty RFC
The RFC is now diamonds RFCs are documents produced by The Internet Engineering Task Force, and many are official standards for various Internet protocols. This site indexes and formats these documents for easier finding & viewing. Note: most RFCs can't be prettified at the moment, as their source files are unavailable to the public and need to be requested from rfc-editor.org. I'm working on this
Nagiosからフォークしたネットワーク監視ツール「Icinga 1.7」リリース | OSDN Magazine
オープンソースのネットワークモニタリングシステム「Icinga」の開発チームは5月15日、最新版「Icinga 1.7」を公開した。IcingaはNagiosからフォークしたプロジェクトで、Nagiosとの互換性を保ちつつさまざまな改良が加えられている。 Icingaは約3年前に立ち上がったプロジェクト。開発チームによると、ダウンロード件数は間もなく10万回に達する見込みという。ライセンスはGPLv2。設定やプラグイン、アドオンなどはNagiosと互換性があるが、一部機能などに違いがあるという。また、Icingaは分散型の構成が可能で、仮想アプライアンス対応、PostgreSQLやOracleデータベースサポート、IPv6対応などといった強化が行われている。また、Webインターフェースも大幅に改良されている。 Icinga 1.7では、コア部分やユーザーインターフェイスなどに多くの変更が加
2012.05版 Python開発のお気に入り構成（ポロリもあるよ） - YAMAGUCHI::weblog
はじめに こんにちは、Python界の情弱です。最近は色々とPythonの開発環境も変化してきていて、ようやくPython2.xとPython3.xを行き来しながら開発する体制が整ってきたという印象を受けています。ここしばらくは色々と試していたのですが、ようやく鉄板っぽい方法にたどり着いたのでメモしておきます。 なお、後半はPythonに限らない内容なので、他のLLを使っていても使えそうかなと思っています。この環境を設定すると何ができるのかというと、以下のことすべてが、無料で、自鯖を立てることなく行えます。 開発環境の整理（virtualenv） ローカルでの複数環境のテスト容易化（tox+pytest） CIによるテスト（Travis-CI） ドキュメントの自動ビルドおよびドキュメントの公開（ReadTheDocs） 概要 とりあえず全体像を先に共有しておきます。ちょっとでかいですがご了
Rackの起動の流れを追う - すがブロ
Rackの動きについてコードを追ってみたよ Rackのバージョンは1.4.1です。 Rackの動きの前に、まずはざっくりRackで動かすっていうのを確認してみよう。 rack up! まずは適当にRackの設定ファイル兼クラスを定義する require 'rack' require 'pp' class Sample def call(env) pp env [200, {"Content-Type" => "text/plain"}, ["rack up!\n"]] end end run Sample.new これを rack up する sugamasao@GRAM% rackup sample.ru [2012-02-13 23:35:44] INFO WEBrick 1.3.1 [2012-02-13 23:35:44] INFO ruby 1.9.3 (2011-11-30)
Subsonic+Nginxのアクセスログをfluentdを利用してMongoDBに入れてみた - Glide Note
Fluentd Casual Talksに参加し、fluentdの使いどころが理解できて、 意識が高いうちに早速fluentdの導入をしSubsonic+nginxのアクセスログをMongoDBに入れてみたのでメモ。 導入環境はwebサーバCentOS 6、ログ収集サーバがCentOS 5で、fluentdのバージョンは td-agent-1.1.5.1-0.x86_64になります。いずれもさくらVPSで稼働させています。 nginxの導入は以前書いた下記のエントリを参考にして下さい。 さくらVPS 2G+Subsonic+Nginxで自分用ストリーミングサーバを構築 - Glide Note - グライドノート 今回行った作業の流れ fluentdを初めて触るので、今回は下記のように順を追って検証と導入を行いました。 fluentdの導入 サーバ1台でwebサーバとログ収集サーバを動かし
jQueryをロードする際のナイス！と思った書き方
概要 ▶ 出典：Initializr - Start an HTML5 Boilerplate project in 15 seconds!先日開催された「CSS Nite in NIIGATA, Vol.3 with Microsoft」でせっかくHTML5の事を学んだので、実際に使ってみようと勉強を進めています。このブログも実はPC版は形式上HTML5のページになっているんです。見た目はほとんど変わって 出典：Initializr - Start an HTML5 Boilerplate project in 15 seconds! 先日開催された「CSS Nite in NIIGATA, Vol.3 with Microsoft」でせっかくHTML5の事を学んだので、実際に使ってみようと勉強を進めています。 このブログも実はPC版は形式上HTML5のページになっているんです。 見た目
Recreating The Raised Center Tab Bar Button of Instagram, DailyBooth & Path™
Full Source code: https://github.com/boctor/idev-recipes/tree/master/RaisedCenterTabBar Problem: Apps like Instagram, DailyBooth and Path™ have what looks like a standard UITabBarController, but the center tab bar is raised or colored. How do we recreate this look? Solution: These tab bars look pretty standard with the exception of the center item, so we’ll start out with a standard UITabBarContro
Mobile Apps
2011年02月21日20:32 by facebookers Mobile Apps カテゴリドキュメント http://developers.facebook.com/docs/guides/mobile/ このページの内容は、ホントに自信無いです。サンプルのソースを補助する程度に読んでください。 毎月2億人以上のユーザがモバイル機器からFacebookへアクセスします。Facebook Platformは、それらのユーザと友達をモバイルアプリへ導くのを助け、よりパーソナライズされたユーザ体験を提供します。 Facebook PlatformはiOS(iPhoneとiPad)とAndroid用のSDKを提供しています。もしモバイルアプリをFacebook SDKなしでブラウザ上で動作させるとしたら、ウェブベースのFacebook Login/Platform Dialogs/Graph
そうだ、DNSを調べよう。 - しょんぼり技術メモ
なんかYahooにつながらないネタがHOTなので。 基本 DNSの調査を行うときは、digコマンドが便利です。詳しくはぐぐれ。 $ dig A 調べたいホスト名 @使用するDNSサーバが(Aレコードに対する)基本形です。担当するネームサーバなども知りたいときは、AではなくANYを指定します。 例： $ dig A d.hatena.ne.jp. @8.8.8.8 ; <<>> DiG 9.3.6-P1-RedHat-9.3.6-4.P1.el5_4.2 <<>> A d.hatena.ne.jp. @8.8.8.8 ;; global options: printcmd ;; Got answer: ;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 50817 ;; flags: qr rd ra; QUERY: 1, ANSWER:
有名フレームワークのCSRF対策方法を調べたまとめ - webネタ
ZendFramework 流れ 表示時 : token生成→hiddenセット + セッションにセット 送信時 : 送られてきたtokenをセッションにあるものと同じかでチェック token生成方法 ランダム値 + salt + 固定値 + ランダム値 md5( mt_rand(1,1000000) . $this->getSalt() . $this->getName() . mt_rand(1,1000000) ); まとめ ランダム値をセッションにいれて、送られてきたものとチェック。 Symfony 流れ 表示時 : token生成→hiddenセット 送信時 : 送られてきたtokenを、再度生成したtokenと比較して同じかチェック token生成方法 salt + 固定値 + セッションID sha1($this->secret.$intention.$this->getSe
Color Hex - ColorHexa.com
ColorHexa.com is a free color tool providing information about any color and generating matching color palettes for your designs (such as complementary, analogous, triadic, tetradic or monochromatic colors schemes). Just type any color value in the search field and ColorHexa will offer a detailed description and automatically convert it to its equivalent in Hexadecimal, RGB, CMYK, HSL, HSV, CIE-LA
PHPエンジニアによるプログラミング備忘録 Chromeでセッションが消える原因はfavion.ico？
PHPのセッションを利用して作成した管理画面。 IEやFireFoxでは問題無かったのですが、Chromeだとログイン後にサイト内の同セッションを利用しているページに移動すると、$_SESSIONの中身が空っぽになるという現象が起きていました。 で、ふと、以前Sleipnirでも同じような現象が起きたことがあって、その時はSleipnirでfavion.icoのキャッシュを保存しないように設定することで改善出来たことを思い出しました。 ただ、Chromeの設定にはそのような項目がありません。 そこで、「もしかしたらfavicon.icoが無いのが問題なのでは？」と思い、favicon.icoを作成してサイトのルートディレクトリに置いたところ、Chromeでもちゃんとセッションを引き継げるようになりました。 調べてもfavicon.icoとセッションの関連性は分かりませんでしたが、解決して良
chromeでセッション管理がおかしくなるのは多分favicon.icoがルートディレクトリにないから - tumblr
らしいですよ。 http://hoshiba2011.blog.fc2.com/blog-entry-24.html XHRで色々やってたときにあるはずのセッション変数が無くなって、しかもcookieに入ってるPHPSESSIDの中身がsession_regenerateしたあとの値でもその前の値でもない、全く関係ない値で、試しにfirefoxで確認してみたら全く問題なくsession引き継がれてるし、こりゃどういう事だと思ってchromeエクステンションを疑ってみたりjQueryを疑ってみたりしたけど、よくよく考えたらアクセスログ見りゃ一発でわかることですよね。失われた３時間。IEのバグなんかよりも情報すくないのでたち悪かった。
Slide Design for Developers
So I gave this talk called How GitHub Uses GitHub to Build GitHub. Someone submitted my slides to Hacker News, where it stayed at #1 for most of the day. This was pretty strange to me at first. My slides are not designed for people who didn’t see the talk in person. They’re designed to support my words, not some online audience. What’s more, many commented that they found the design of the slides
標準入力から読んでFluentdに送信するにはfluent-agent-liteが便利 - 酒日記 はてな支店
標準入力から受けたログを syslog に送信する場合に使えるのが logger(1) コマンドです。 $ echo "log message" | logger -t myapp -p local0.info自分のところではバッチ処理の出力や、daemontools で起動したコマンドの出力を log/run で logger に渡して syslog に集約するなどしていました。 これを syslog ではなく、Fluentd に送りたい場合にどうするか。 Fluentd 本体には fluent-cat というコマンドが同梱されていますが、これは入力に JSON 形式を要求するので単純に代替はできません。 何か適当なワンライナーで wrap する手もありますが…… $ echo "log message" | perl -MJSON -nE 'say JSON::encode_json(
Amazon Route 53とELBでAlias Resource Record Setを設定してZone Apexを実現 | DevelopersIO
Amazon Route 53とELBでAlias Resource Record Setを設定してZone Apexを実現 Amazon Route 53とは？ Amazon Route 53とは、アマゾンが提供する分散管理DNSサーバーです。応答が早いとか、反映が早いとか、APIで設定できるとか、障害に強いとか、いろいろ特徴があるのですが、今回はRoute 53とElastic Load Balancingを使って独自ドメインのサブドメイン無しでも接続できるようにします。このサブドメイン無しの指定をZone Apexと言います（「mydomain.com」などの指定）。これを実現するには、Route 53のAレコードでAlias Resource Record SetとしてELBのドメイン名を指定します。このZone Apexは、最近できた機能でして、今までEC2のみでドメイン名を指定
Offsite Backup for Databases | Dumper
MySQL | PostgreSQL | MongoDB | Redis Works with AWS, Linode, DigitalOcean, Rackspace, Heroku and more. Automatic daily backup to Amazon S3. Review your backup strategy Replication and RAID aren't a backup. What happens if your database is wiped by a developer by mistake, or taken hostage by an attacker? You have a virtual machine snapshot, but what happens when a wrong instance was dropped? What a
XcodeからビルドしてiPhone実機へ転送し実行するまでの手順 - タナカイチロウの日記
例によってメモ程度に簡単にあらすじをおいつつはまったところを重点的に。 詳しくは参考リンクより解説されているサイトを参照してくだし。 iPhone SDKのインストール iPhone Dev CenterよりSDK3.0をダウンロード＆インストール。 ここまででシミュレータでの開発と動作確認は可能。 以後実機で動かすためにはiDPに登録しないといけない。 登録してないと、DevCenterの右側に99ドル払って開発しましょうメッセージが出ています。 Certification（証明書の発行とか認証とか） iPhone Developer Programに登録していると、iPhone Dev Centerの右側にiPhone Developer Program Portalへの入り口が出てくるのでポータルへ入る。 その後左のタブからCertificatesを選んで、How toの通りに順次や
Uptimer has been shut down
Uptimer has been shut down. If you have any questions, please contact at @uptimerapp on Twitter. Thank you for your support!
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
Cocoaの日々: Xcode の #pragma mark とは ソースコードに #pragma mark を書くとその内容が Function Menu に表示される
簡単なObjective-Cのテストフレームワーク導入 | Technology-Gym
さくらVPS 2G+Subsonic+Nginxで自分用ストリーミングサーバを構築 - Glide Note
Awsビギナー向け資料 ec2 20111124
例外設計における大罪 - 契約
