Struts2が危険である理由
はじめに 2017年3月、Struts2にまたしても新たな脆弱性(S2-045、S2-046)が見つかり、複数のウェブサイトにおいて情報漏洩等の被害が発生しました。筆者は2014年4月（およそ3年前）に「例えば、Strutsを避ける」という記事を書きましたが、今読み返してみると「やや調査不足の状態で書いてしまったな」と感じる点もあります。今回、良いタイミングなのでもう一度Struts2のセキュリティについてざっとまとめてみたいと思います。 なぜJavaなのにリモートからの任意のコード実行(いわゆるRCE)が可能なのか Struts2はJavaアプリケーションであり、Java製のアプリケーションサーバ上で動作します。Javaはいわゆるコンパイル型の言語であるため、通常はランタイムにおいて任意のコードを実行することはできず、RCEは難しいはずです。 JavaのウェブアプリケーションでRCEが成
いやー、家計簿アプリ業界、そのうち絶対にヒドい事件がおきると予想します | ツイナビ
いやー、家計簿アプリ業界、そのうち絶対にヒドい事件がおきると予想します — Yusuke OSUMI (@ozuma5119) 2015, 6月 30 Zaimの件、そもそも家計簿アプリごとき(と敢えて言う)に、銀行やクレカのログインパスワードを入れちゃう人があんなにたくさんいることの方がよっぽど問題だと思う https://t.co/pidZhtUbej pic.twitter.com/jpNw41MqK0 — Yusuke OSUMI (@ozuma5119) 2015, 6月 28 Zaimの「金融機関の連携」機能、新生銀行にいたっては暗証番号までナチュラルに入れさせようとしてくるので、控えめに言ってこのアプリは頭がおかしいと思う https://t.co/50guysHXIV pic.twitter.com/BQnIaUnfGo — Yusuke OSUMI (@ozuma5119
Cookieを使わずにユーザーを追跡する仕組みが普及しつつある | スラド IT
Canvas機能を使った文字やグラフィックス描画の際の挙動の違いでWebブラウザの違いを識別する「Canvas Fingerprinting」という技術が開発され、すでにトップ10万のサイト中5.5%がこれを使ったユーザー追跡を利用しているという。 また、ユーザがCookieをこまめに削除しても、サイト側が同じデータをFlashのローカル共有オブジェクト（LSO、Flash Cookie）などに保存しておいて回復させれば、実質的にCookieを不滅化することができる。このEvercookieを実現する手段の一つである「Respawning by Flash cookie」sは、人気上位200サイトのうち10サイトで検出されたそうだ。 Cookieを無効にしていても、適切な対処をしない限り、閲覧者の行動はかなりの割合で漏洩している可能性があるようだ。 Canvas Fingerprintin
本当は怖いChrome拡張機能（作ってみたら確かにヤバかった） - DRYな備忘録
otiai10です。最近はフロントエンドのTypeScriptを書くお仕事をしています。個人的に艦これウィジェットやtwickというChrome拡張を作ってたりもします。先に言っておきますが、これらはどちらもGithubでソースコードを公開しており、悪いことしようが無いです。 端的に言うと、Chrome拡張はヤバいです。何でもできちゃう。 どんくらいヤバいか知ってもらうためにどうしようか考えた結果、ヤバいChrome拡張を作りました。30分かかんなかったです。 https://github.com/otiai10/chrome-twitter-hijack-sample （「レポジトリをforkして悪用する人間が出てくるかもしれない」とのご指摘を頂いたので、これを削除します） git cloneしてchrome://extensionsからパッケージ化されていない拡張機能を読み込むでこのr
50,000 ドルの価値がある Twitter アカウントが盗まれたその経緯 : にぽたん研究所
ひろしまさん (廣島さん) は、これまでたった 1 文字の Twitter アカウント @N を持っていました。 何故「持っていました」と、過去形なのかというと、どうやら先日、巧妙な罠に、本人ではなく 2 社の有名 IT 関連企業がハメられたことによって、ひろしまさんの稀少なそのアカウントが第三者によって盗まれてしまったそうなのです。 2014/02/26 追記: 記事掲載時点では「持っていました」と過去形で表現していますが、ひろしまさん本人によるツイートで、2014/02/25 の昼過ぎ (日本時間 2014/02/26 の早朝) に、この事件によって盗まれてしまったアカウント @N がようやく取り戻されたことがわかりました。 Order has been restored. — Naoki Hiroshima (@N) February 25, 2014 解決まで一ヶ月以上という相当な
Googleアカウントは残しつつ、Google+プロフィールを削除するには：海外速報部ログ：オルタナティブ・ブログ
土曜日ということもあり、日本ではあまり騒ぎになっていませんが、Googleがサービス上の広告にユーザー名とプロフィール画像を使うと発表しました。 例えばGoogle Playで映画のレビューを書くと、その映画の広告がGoogleのサービスのどこかに表示されるときに、広告の下に自分のプロフィール写真と名前とレビューの概要までが表示されることになるようです（実際に始まっていないので具体的にはわかりませんが、Googleの「パン屋さん」のたとえはそういうことになっています）。 自分のGoogle+のタイムラインをつらつら見るに、日本人で本名と顔が識別できるプロフィール写真をがっつり表示しているのは少数派のようなのも、あまり騒ぎになっていない一因かもしれません。 それに、Facebookと違ってGoogleは広告に掲載する設定をオフにできる手段を提供しています（あと一声、オプトインにしてくれればも
SQLインジェクションゴルフ - なんと3文字で認証回避が可能に
昨日のエントリ「SQLインジェクションゴルフ - 認証回避の攻撃文字列はどこまで短くできるか?」にて、認証回避の攻撃文字列が5文字にできる（「'OR'1」）ことを示しましたが、@masa141421356さんと、やまざきさん（お二人とも拙著のレビュアーです）から、idとpwdにまたがった攻撃例を示していただきました。やまざきさんの例は、MySQL限定ながら、なんと3文字です。これはすごい。 @masa141421356さんの攻撃例 @masa141421356さんのツイートを引用します。 @ockeghem 大抵のDBでid=''OR' AND pwd='>' ' が通ると思います（id側に「'OR」, pwd側に「>' 」で6文字）。長さ0の文字列がNULL扱いされないDBなら最後のスペースを消して5文字です。 — masa141421356 (@masa141421356) June
Macでどのセキュリティーソフトを使ったらいいのかわかりません｜Mac - 週刊アスキー
『Sophos Anti-Virus for Mac Home Edition』 バージョン：8.0.11C 価格：無料 （バージョンと価格は記事作成時のものです） (c) 2003-2012 Sophos Ltd. 外部リンク：アプリを入手する Macはウイルスに強いとよく言われます。昔は、Macがいまよりもずっとマイナーな存在で、ビジネスの現場ではあまり使われなかったので、ウイルス作成者もわざわざMacを標的にしなかったという側面がありました。OS 9まではプログラミングも大変でしたし。しかし、iPodやiPhone、iPadのなどのiOSデバイスの大ヒット、そしてMacBook Airの人気が高まるにつれ、プライベートはもちろん、ビジネスでもMacを使うユーザーがかなり増えています。 しかし、これだけ注目されているMacでもウイルスが爆発的に増加したというニュースは聞いたことがありま
Evernoteのテキストを暗号化する方法
本日早朝に、Evernoteが外部からの攻撃を受けて、ユーザ名、メールアドレス、パスワードハッシュ値（ソルト付きハッシュ）にアクセスされたという報告（セキュリティ関連のお知らせ：Evernoteでのパスワード再設定のお願い）がありました。 Evernoteのユーザは、このお知らせの指示にしたがい、パスワードをリセットしましょう。問題は、Evernoteのコンテンツ（ノート）にアクセスされたかどうかですが、Evernote社では、以下のように、ノートにはアクセスされた形跡はないと主張しています。 弊社セキュリティ調査の結果、Evernote に保存されているコンテンツが外部からアクセス・変更・消失された形跡は確認されませんでした。また、Evernote プレミアムおよび Evernote Business のお客様の決済情報がアクセスされた形跡も確認されていませんのでご安心ください。 一応こ
お前このサブネットでも同じ事言えんの？ - 知らないけどきっとそう。
,、,, ,、,, ,, ,, _,,;' '" '' ゛''" ゛' ';;,, （rヽ,;''"""''゛゛゛'';, ﾉｒ） ,;'゛ i ＿ 、＿ iヽ゛';, ,;'" ''| ヽ・〉 〈・ノ |ﾞ゛ `';, ,;'' "| ▼ |ﾞ゛ `';, ,;'' ヽ＿人＿ / ,;'_ ／ｼ、 ヽ⌒⌒ / ﾘ ＼ | "ｒ,, ｀"'''ﾞ´ ,,ﾐ゛ | | ﾘ、 ,ﾘ | | i ゛ｒ、ﾉ,,ｒ" i _| | ｀ー――----┴ ⌒´ ） （ヽ ＿＿＿＿＿＿ ,, ＿´） （_⌒ ＿＿＿＿＿＿ ,, ィ 丁 | | | 前回のエントリ で軽く触れましたが、ARPスプーフィングを用いると、サブネット内からデフォルトゲートウェイを通って外に出て行くはずのパケットを、自分のホ
「UPnP」に脆弱性見つかる、ルータなど数千万台に影響
脆弱性に対処した更新版の「libupnp 1.6.18」が公開されたが、パッチが行き渡るまでには時間がかかる見通し。US-CERTでは、可能であればUPnPを無効にするなどの対策を促している。 ルータなどのネットワーク機器に広く使われている「Universal Plug and Play」（UPnP）に複数の脆弱性が確認された。大手メーカー各社の製品を含む数千万台が影響を受けるとされ、米セキュリティ機関のUS-CERTはメーカーやデベロッパーに対し、アップデートを適用して脆弱性を修正するよう呼び掛けている。 US-CERTが1月29日に公開したセキュリティ情報によれば、UPnPデバイス用のオープンソースポータブルSDKである「libupnp」にバッファオーバーフローの脆弱性が複数存在する。さらに、libupnpを使っているデバイスはWANインタフェース経由でUPnPクエリーを受け入れてしま
自分の仕事を無断で中国に“アウトソーシング”していた従業員──Verizonが事例として紹介
会社で最優秀と見なされていたソフトウェア開発担当者が、実は自分の仕事を中国企業に丸投げしていたことが、VPNのログ調査で発覚した──。米通信大手のVerizonが1月14日（現地時間）、2012年のケーススタディのこぼれ話としてこんなエピソードを紹介した。同社は企業向けにITコミュニケーションサービスを提供している。 米国のある重要インフラ企業に勤めていたこの開発者──Verizonは仮にボブとしている──は長年にわたって、自分の仕事を中国瀋陽市にあるコンサルティング企業に低価格でアウトソーシングし、自分は毎日会社に出勤して動画閲覧やFacebookで時間をつぶしていた。皮肉なことに、ボブの人事評価は非常に高く、この会社の最優秀開発者として10万ドル以上の年俸を得ていた。 ボブの所業は、Verizonの顧客であるこの企業が、VPNのログに不審な点があるとして調査を依頼してきたことから発覚し
アカウント乗っ取りを防げ！Google２段階認証プロセスを設定する全手順
今朝、懐かしい方からメールがあって私はiPhoneをまじまじと見つめてしまいました。それはこのブログにも以前登場した「一流の研究者」の、私の師匠です。 しかしメールの内容はおかしなものでした。「いま海外にいるのだが、同行していた人が急病になってしまい、手術にお金が必要なので送ってくれないか」という内容で、つまりは詐欺メールです。 シグネチャまでも真似ていますが、誰かが師匠のメールアドレスを乗っ取ったのです。### ２段階認証を使おう 師は周囲にコンピュータのウィザードが大勢いますのできっと適切に対応がとられているものと思います。 しかし一度アカウントが乗っ取られると、住所録も含めて奪われてしまいますのでいつまでも自分の名前を騙って友人、親戚にこうした詐欺メールが送られるリスクが続きます。 私の周囲でも今年に入ってGmailが乗っ取られてこうした詐欺メールが飛んできたというケースが複数ありま
最強のパスワード管理ツール5選！ | ライフハッカー・ジャパン
ネット中心に発展していく世界において、増え続けるのがパスワードと呼ばれる文字の羅列ですが、簡単すぎてもセキュリティが危ういし、難しすぎると忘れてしまうし、となかなか良いバランスを見つけ出すのが大変です。今回は、パスワード管理のお手伝いをしてくれる便利なパスワード管理ツールを5つほどご紹介！ 全てのアカウントなどに同じパスワードを使うと確かに楽ですが、これは危険極まりない行為です。逆に、全てのアカウントのパスワードを違うもの、かつ強力なものにしてしまうと、常人の頭脳ではとても覚えきれる数ではないかと。 パスワード管理ツールとは「少ないパスワードの使い回し」と「自分でも覚えられない複雑すぎるパスワード」の絶妙なバランスを保つことを目的としてこの世に誕生したツールなのです。下記の5つのツールは強力なパスワードを設定し、かつ、それらを管理する、という正義の味方のようなツールです。 ■KeePass
WindowsのパスワードはGPUを25個使えば約6分から6時間で突破が可能、毎秒3500億通りもの総当たりが可能な方法とは？
一般的な企業で使用されているWindowsのパスコードを6時間以内に突破できるGPUクラスターを使用したクラッキングのシステムが開発された、とArs Technicaが報じています。 25-GPU cluster cracks every standard Windows password in 6 hours | Ars Technica http://arstechnica.com/security/2012/12/25-gpu-cluster-cracks-every-standard-windows-password-in-6-hours/" このシステムを開発したのはStricture Consulting Group社のCEOであるJeremi M Gosney氏で、ノルウェーのオスロで開催されたPasswords^12 conferenceにてその詳細を発表しました。 Gos
サービス終了のお知らせ - NAVER まとめ
サービス終了のお知らせ NAVERまとめは2020年9月30日をもちましてサービス終了いたしました。 約11年間、NAVERまとめをご利用・ご愛顧いただき誠にありがとうございました。
IPアドレスを偽装して安全にインターネット接続を可能にするフリーソフト「spotflux」
WindowsとMacに対応し、ワンクリックでグローバルIPアドレスを偽装してインターネットの利用を可能にするのが「spotflux」です。無料で安心と安全を実現する「spotflux」のインストール・操作などは以下から。 実際に「確認くん」を利用して確認してみます。「spotflux」使用前。 使用後、現在接続している場所（現IP ）つまりグローバルIPアドレスが変更され、プロバイダー名が見えなくなりました。 Spotflux - A more secure, private, and open internet experience. http://launch.spotflux.com/ ◆インストール 上記サイトの「PC」をクリック。Windowsを使っているので、Windows版である「PC」を選んでいます。 ダウンロードした「spotflux-latestPC.exe」を起動。
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
ファイルをVVVに書き換えるランサムウェアの蔓延とWin10のアップグレードで感染する事例が急増の懸念【12/13 8:00更新】 - Windows 2000 Blog
被害の前に！Macを買ったら絶対にやるべき10の無料セキュリティ対策
ggsoku.com
