VALUE-DOMAIN に存在していたアカウント乗っ取り可能な CSRF 脆弱性について - debiruはてなメモ
2015年12月に私が発見した VALUE-DOMAIN での CSRF 脆弱性について、その脆弱性の報告と修正までの経緯を記しておきます。 きっかけ アカウント削除ページの作り アカウント削除ページの問題点 VALUE-DOMAIN への報告 CSRF 攻撃によるアカウント乗っ取りの問題 IPA への届出 余談：IPA への届出の仕方について IPA へ届出した後の状況 VALUE-DOMAIN ユーザの方へ きっかけ 数年前に VALUE-DOMAIN を利用していましたが最近は使っていないのでアカウントを削除しようとしたところ、アカウント削除操作を行うページの作りが「不自然である」ことに気付きました。更に調べたところ CSRF 攻撃によってアカウント乗っ取りが可能な状況であることが分かりました。 アカウント乗っ取りが可能な CSRF 脆弱性は2015年12月22日にIPAに報告し、2
サイボウズの報奨金に半年で158件の報告、2015年は特定攻撃を増額
サイボウズは2015年1月27日、2014年6月に開始した「脆弱性報奨金制度」に関する説明会を開催した。同制度は、同社の製品サービスについて、社内で検出していない未知の脆弱性を発見・報告した善意の協力者に報奨金を支払うもの。2014年は、6月19日～12月25日の期間に報告を受け付けた。その結果、158件の未知の脆弱性が見つかり、総額687万円の報奨金を支払ったという。2015年は、特定の攻撃に関する脆弱性の報奨金を増額するとともに、報奨金を振り込むまでの期間を短縮する。 同制度は、同社のパッケージ製品とAPI、クラウドサービス基盤「cybozu.com」で稼働する各サービス、同社指定ホームページについて、社内検証や第三者機関による検証で発見されてない未知の脆弱性を、外部の協力者に発見・報告してもらうための仕掛けである。報告された脆弱性について、共通脆弱性評価システム「CVSS v2」の評
ルーターの脆弱性を探して侵入する手順 - 素人がプログラミングを勉強していたブログ
更新し忘れたが、既に下記の脆弱性は修正されている 4/11/2013 6:42 PM 追記: 明日エンジニアと調査するとカスタマーサポートから連絡があり、また近日アップデートパッチを用意するとのことだ。 先日紹介した、Satechi Smart Travel Routerだが、ふと直感的にセキュリティに問題があるような予感がしたので、自分のルーターをアタックしてみた。 結果から言うとCSRFが存在し、外部からインターネット越しに細工をしてあるURLを踏ませることで、ルーターのパスワード、SSIDを書き換えたり、WiFi to WiFiのリピータ機能のソースとなるWiFiを勝手に別の場所に書き換えて、Man in the middle攻撃を成立させたりできることが発覚した。 自分がどのようにSatechi Smart Travel Routerの脆弱性を発見したのかを動画にとったので、無編集
遠隔操作ウイルスによる連続威力業務妨害等事件 ：警視庁
事件の概要 平成24年6月29日から9月10日にかけて、インターネット掲示板「２ちゃんねる」を利用して、第三者のパソコンを遠隔操作ウイルス「iesys.exe」に感染させるなどし、感染したパソコンから無差別殺人や航空機爆破等の犯罪予告を内容とする脅迫文を、市役所等のウェブサイトに投稿し、また、メールで送信することにより、市役所や会社の業務が妨害されるなどの事件が連続して発生しました。 平成２４年６月２９日、神奈川県横浜市役所のウェブサイト上に、横浜市内の小学校に対する無差別大量殺害予告が行われた結果、同校の業務が妨害されました。 平成２４年７月２９日、大阪府大阪市中央区役所のウェブサイト上に、通称オタロードにおける無差別大量殺害予告が行われた結果、同区役所職員の業務などが妨害されました。 平成２4年８月１日、航空会社のウェブサイト上に、成田国際空港を離陸し、ニューヨークへ向け航行中の航空
これは酷すぎる!警察・検察の「反省」なんてみんなウソっぱちだった ネットなりすまし殺人予告 誤認逮捕の被害者が「恐怖の取調室」を語った（週刊現代） @gendai_biz
これは酷すぎる!警察・検察の「反省」なんてみんなウソっぱちだった ネットなりすまし殺人予告 誤認逮捕の被害者が「恐怖の取調室」を語った 「警察・検察をハメてやりたかった、その動機が100%です」---真犯人は犯行声明でそう語った。ネット犯罪の進化に、警察はまるで対応できていない。そして、悲劇の冤罪事件が起きた。 他人事ではありません 世間を騒がせている「ネットなりすまし殺人予告事件」で、大阪府警に誤認逮捕された北村真咲さん(43歳)の弁護人は、北村さんの怒りをこう代弁する。 「北村さんは、今回の事件に関して逮捕前から一貫して捜査に協力し、かつ否認していました。にもかかわらず、北村さんは逮捕・勾留されてしまい、著しい肉体的、精神的、経済的打撃を受けました。捜査に協力していたのに安易に身体拘束に踏み切った捜査機関(大阪府警)に対し、強い憤りを覚えます。 また、逮捕された後も、捜査機関は北村さん
VIDEO NEWS遠隔操作ウィルス事件：犯行声明に見る犯人像と冤罪を生む刑事捜査の問題点 »
他人のパソコンを遠隔操作してインターネット上で殺害予告などが繰り返し行われた事件で、これまでに警察が逮捕した4人がいずれも誤認逮捕だったことがわかり、改めて警察の刑事捜査のあり方が問われる結果となっている。 今回の捜査はサイバー犯罪の捜査という意味でも、また一般の刑事事件の捜査という意味でも、捜査そのものが杜撰だった。しかし、捜査の杜撰さをとりあえず脇に置いたとしても、逮捕された4人のうち2人が、やってもいない犯行を自供している。そればかりか、犯行の動機まで詳細に供述していた。なぜやってもいない犯罪を自白したり、動機まで詳細に供述するなどということが、起こり得るのか。 警察庁の片桐裕長官は18日、これまでに逮捕した4人がいずれも「真犯人ではない方を逮捕した可能性は高いと考えている」と語り、その後警察は誤認逮捕された4人に対して謝罪を行っている。 今回の事件では、6月29日に横浜市のウェブサ
CSRFで強制ログインさせるというアイデア - ぼくはまちちゃん！
こんにちはこんにちは！！ 今日はCSRF脆弱性のちょっとした話です！ このCSRFってなにかっていうと、 サーバーへのリクエストを『誰かに勝手に送らせる』っていうセキュリティがらみの攻撃手法のひとつ。 わかりやすい例だと、 HTMLの画像タグを以下のようにしたページを誰かに教える。 <img src="何々SNSの足跡.php" width="1" height="1"> そうすると、そのページを「見た人」が何々SNSの足跡.phpにアクセスしたことになる。 ※詳しくはこちらのマンガで → ［はまちちゃんのセキュリティ講座］ここがキミの脆弱なところ…！ ： 第2回 しーさーふって何ですか？ CSRFってこんな風に、 「ログイン済みの人に何か操作させる」ってイメージが強くて、 対策する側もまた、「既にログイン済みの人を守る」ような考えが強いんだよね。 例えば、勝手に日記に投稿させないように対
「はまちやが使い勝手とセキュリティのアドバイス」についての覚書
2012/05/15 ブログ記事「10万円で使い勝手とセキュリティのアドバイスをしようと思います」の詳細です。 ・このサービスは、依頼者のWebサービスを、はまちや個人が実際に使用し、使い勝手とセキュリティに関するアドバイスのレポートを行うものです。 ・依頼される対象のWebサービスは、依頼者本人または依頼される組織が所有するものに限らせて頂きます。 ・作業時間は6時間、作業後、レポートを作成し、作業日から一週間以内にレポートをお送りします。 ・レポートの提出は基本的にメールで行いますが、書面をご希望の際には、別途、印刷したものを郵送にてお送りします。 ・料金は10万円、税込みです。 ・作業日は、ご相談の上で決定しましょう。 ・依頼のキャンセルは、作業日前日までにお伝え頂ければ可能ですが、作業開始後のキャンセルはお受けできませんのでご了承ください。 ・作業は基本的にインターネット経由で行い
時事ドットコム：改正不正アクセス禁止法が成立＝フィッシング処罰化
改正不正アクセス禁止法が成立＝フィッシング処罰化 改正不正アクセス禁止法が成立＝フィッシング処罰化 インターネット上に金融機関などの偽サイトを開設し、ＩＤとパスワードを入力させて盗み取る「フィッシング」の処罰化などを盛り込んだ改正不正アクセス禁止法が３０日、参院本会議で全会一致で可決、成立した。 改正法は、不正利用する目的で他人のＩＤやパスワードを取得、保管する全ての行為を禁止。フィッシングについては、偽サイトを開設し不正取得の「準備行為」をしただけで処罰できる。（2012/03/30-18:14）
［はまちちゃんのセキュリティ講座］ここがキミの脆弱なところ…！ 記事一覧 | gihyo.jp
運営元のロゴ Copyright © 2007-2024 All Rights Reserved by Gijutsu-Hyoron Co., Ltd. ページ内容の全部あるいは一部を無断で利用することを禁止します。個別にライセンスが設定されている記事等はそのライセンスに従います。
mixi足あと廃止に寄せて - 最速転職研究会 | コメント mixiって今ほとんどがモバイルでアクセスされてたはずだけど、スマホ以外のガラケーでもこの問題が起きるの？
mixiが6年以上に渡って放置してきた足あと機能を使って訪問者の個人特定が可能な脆弱性を修正した。簡単に説明するとmixi以外のサイトからでもユーザーに気付かれずに、その人のmixiアカウントを特定するということが出来たが、出来なくなった。(正確にはユーザーが気付いたとしても特定された後) アダルトサイトが訪問者のmixiアカウント収集したり、ワンクリック詐欺サイトがmixiアカウント特定して追い込みかけたり、知らない人からメッセージ送られてきてURL開いたらmixiアカウント特定されてたり、そういうことが今まで出来ていたのが出来なくなった。 過去にもいろんな人が言及してるし、すでに終わった議論だと思ってる人もいるだろう。世間一般にどれぐらい認知されていたのかはよく分からないが、少なくとも技術者やセキュリティ研究者の間ではよく知られている問題だった。 http://internet.kil
極める！Security Component (CakePHP Advent Calendar 2010 24日目) : akiyan.com
極める！Security Component (CakePHP Advent Calendar 2010 24日目) 2010-12-24 目次 この記事はCakePHP Advent Calendar 2010 24日目に向けて書きました CakePHP Advent Calendar 2010に参加したい！と思ったときには既に遅し、トリの24日しか空いておらず、トリっぽい記事なんて書けないわーと思っていました。が、主催のcakephperさんより「べつにトリっぽくなくていいですよ」との温かい言葉を頂いたので、前々から書きたかったSecurityコンポーネントの話を書いてみます。対象バージョンは1.3.6 Stableです。 ちなみにAdvent Calendarとはなんぞや？といいますと、cakephperさんの書き込みより以下引用。 技術系の方がやっているAdvent Calenda
セキュリティテストで使えるFirefoxのアドオン - プログラマの思索
小川 明彦, 阪井 誠 : チケット駆動開発 日本のソフトウェア開発の現場で生み出された「チケット駆動開発」という概念を、数多くの実例を元にモデル化・体系化を試みた最初の本。 小川 明彦, 阪井 誠 : Redmineによるタスクマネジメント実践技法 Redmineによるチケット駆動開発の実践技法に関する最初の本。アジャイルなソフトウェア開発への適用方法、TestLinkによるテスト管理手法についても言及。 清水 吉男: 「派生開発」を成功させるプロセス改善の技術と極意 組込システム開発をベースとして、ソフトウェア開発特有のスタイルである派生開発、特にXDDPについて解説した世界でも稀な本。既存製品を保守するのではなく継続的に機能追加していく昨今の開発では、派生開発特有の問題を意識しなければならない。XDDPはプロセス論だけでなく、要件定義などの上流工程の品質改善にも役立つので注意。 Le
Kanatoko (@kinyuka) | Twitter
最高品質のウェブセキュリティサービスをお届けする。ScutumとVAddyの中の人でつ。
高木浩光＠自宅の日記 - CSRF対策に「ワンタイムトークン」方式を推奨しない理由
水色の四角は画面を表し、白抜き実線枠の四角はボタンを表す。 これを、Webアプリという実装手法を選択する場合に特化すると、図2のような遷移図が描ける。 実線矢印はブラウザが送信するHTTPのrequest（ヘッダおよび、POSTの場合はボディを含む）を表し、黄色の丸がサーバ側での1アクセスの処理を表し、点線がその処理結果を返すHTTPのresponse（ヘッダおよび、HTML）を表す。responseの上の文はHTMLの内容を説明するものである。黄色の丸の中の文は処理内容の説明であり、ここから複数のresponse矢印が出ている場合、処理の結果によって遷移先の画面が異なる場合であることを表し、破線の白抜き四角がその分岐の条件を概説している。 この図で例に用いているのは、ECサイトやblogサービスなどに見られる典型的な「登録個人情報変更」の機能である。「メインメニュー」画面の「登録情報変更
高木浩光＠自宅の日記 - クロスサイトリクエストフォージェリ（CSRF）対策がいまいち進まなかったのはなぜか
■ クロスサイトリクエストフォージェリ（CSRF）対策がいまいち進まなかったのはなぜか 4月27日の日記「クロスサイトリクエストフォージェリ（CSRF）の正しい対策方法」で、 「クロスサイトリクエストフォージェリ」がにわかに注目を集めている。古くから存在したこの問題がなぜ今まであまり注目されてこなかったかについて考えているところだが、引越しやら転勤やらでいまひとつ日記を書く時間がない。 と書いた。あれから2か月以上が経ってしまったが、今書いておく。 端的に言えば、「CSRF対策は所詮、荒らし対策にすぎない」 と考えられてきたためではないか。 荒らし対策をするしないは運営者の自由 あるサイトに脆弱性を発見した者が、その運営者に対してその脆弱性を直して 欲しいと希望することが、どのくらい妥当かというのは、その脆弱性によって 生じ得る危険性の種類によって異なる。 たとえば、IPA の脆弱性届出状
おさかなラボ - CSRF対策法と効果
自分でもう一度整理するために、他のサイトに倣って現在挙げられているCSRF対策法とその効果を列挙してみる。ざっと書いたので多分ツッコミどころ満載だと思うがとりあえず公開。現在思いつく最善解は一番下に書いた。あとは順不同。 POSTを用いる 推奨: とりあえず 効果: あり 回避法: あり(Javascriptによる自動Submitなど) 実装: 簡易 副作用: なし 確かにPOSTでのCSRFを破る手法は存在するが、だからといってこの対策に全く効果がないわけではない。完了画面への直接リンクでのCSRFの発生は抑制できる。実装が簡単な上、副作用が特にないので実装しておいて別に損はない。 リファラ(Referer: ヘッダ)をチェックする 推奨: ケースバイケース 効果: 大 回避法: 特になし 実装: やや難(コードに汎用性を持たせるのが難しい) 副作用: ブラウザ
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
HTML5 Security Cheatsheet
html5security - Project Hosting on Google Code
http://blog.monoweb.info/article/2012021823.html