携帯電話事業者に学ぶ「XSS対策」 - ockeghem's blog
NTTドコモとソフトバンクモバイルは、フィーチャーフォン（いわゆるガラケー）にてJavaScriptの対応を始めています。JavaScriptに対応すると、クロスサイト・スクリプティング(XSS)脆弱性の懸念が高まりますが、両社は独自の手法によりXSS対策をしている（しようとしている）挙動が観測されましたので報告します。この内容は、オレ標準JavaScript勉強会でネタとして使ったものです。 NTTドコモに学ぶ「XSS対策」まず、サンプルとして以下のようなXSS脆弱なスクリプトを用意します。 <?php session_start(); ?> <body> こんにちは<?php echo $_GET['p']; ?>さん </body>これを以下のURLで起動すると、IE7では下図のような表示になります。 []http://example.com/xss01.php?p=山田<scrip
ログイン - はてな
パスワードを忘れた方はパスワードの再設定を行ってください。 うまくログインできない方はお問い合わせをご覧いただき、Cookieの設定をご確認ください。
フェースブックがあなたの人生をぶち壊す
借金取りに追われ、就職できず、鬱になりやすい？──ユーザー５億人を突破した世界最大のＳＮＳに潜む10の落とし穴 ７月21日、フェースブックの登録者数が５億人を突破した。この節目は重要だが、無意味でもある。世界最大のソーシャル・ネットワーキング・サービス（ＳＮＳ）の巨大さを世界に思い起こさせるニュースではあるが、そもそもそんなことを思い出す必要はないのだから。 フェースブックが多くのアメリカ人の日常生活の一部になっているのは間違いないが、日常生活にどんな影響を及ぼしているかはまだ未知数。もちろん、健康を増進したり、人付き合いから写真の共有まで生活のあらゆる側面を便利にしてくれることはわかっている。 だが、その一方でユーザーの個人情報がフェースブックの提携企業に流出しているという疑惑をはじめ、さまざまな負の側面もある。フェースブックが私たちの生活にもたらしかねない10の弊害を挙げた。 1）生み
DBに保存されたクレジットカード情報が流出するリスクに対して、１人日で対処できる暫定対策
Webサービスのユーザー情報のテーブルにクレジットカードなどの流出したら困る情報を保存するのはとても怖いことです。 そんな情報は保存しないことが望ましいわけですが、ビジネス的な事情でカード情報を保存せざるを得ないケースも当然あります。 少なくともWEBサーバから直結してるサーバーに、そんな情報は置きたくないところで、最低限カード情報サーバは裏側に専用のapiサーバを置いて、SQL文なんぞで一発で全員の情報にアクセスできないような状態にはしておきたいところですが、昨今情報が流出してしまった老舗ECサイトのように、既に稼働していて簡単には直せないぞ！というシステムで、もし万が一、そういうDB情報が流出してしまったとして、流出したDB情報から、カード番号などの重要情報が特定されるまでの期間を多少なりとも延ばすために、１人日で応急措置ができる暗号化方法について記述してみます。 ■やり方 ・可逆な暗
脆弱性：ウェブサイト関連が83％--大半がクロスサイトスクリプティング
情報処理推進機構セキュリティセンター（IPA/ISEC）は7月22日、第2四半期（4〜6月）のソフトウェア等の脆弱性関連情報に関する届出状況を発表した。 第2四半期のIPAへの脆弱性関連情報の届出件数は、ソフトウェア製品に関するもの34件、ウェブアプリケーション（ウェブサイト）に関するもの120件で、合計154件となっている。届出受付開始（2004年7月8日）からの累計は、ソフトウェア製品に関するもの1084件、ウェブサイトに関するもの5218件の合計6302件となっている。 ソフトウェア製品の脆弱性の処理状況では、JPCERTコーディネーションセンター（JPCERT/CC）が調整し、製品開発者が脆弱性の修正を完了し、JVNで対策情報を公表したものが20件（累計426件）、製品開発者が個別対応したものはゼロ件（同17件）、製品開発者が脆弱性ではないと判断したものは1件（同39件）、告示で定
iptablesでできるDoS／DDoS対策
はじめに 今回はDoS／DDoS対策を紹介します。今回はiptablesを使った方法とともに、Linuxのカーネルパラメータを使った方法も紹介します。 関連リンク： →Linuxで作るファイアウォール［パケットフィルタリング設定編］ http://www.atmarkit.co.jp/flinux/rensai/security05/security05a.html →連載記事 「習うより慣れろ！ iptablesテンプレート集」 http://www.atmarkit.co.jp/flinux/index/indexfiles/iptablesindex.html →連載記事 「習うより慣れろ！ iptablesテンプレート集 改訂版」 http://www.atmarkit.co.jp/flinux/index/indexfiles/newiptablesindex.html DoS／
図書館クロール補足 - 最速転職研究会
なんか技術的におかしなことを言っている人がいたら追記していくかも知れません。 クロール頻度が妥当かどうかの話 ウェブサーバーはマルチスレッド、マルチプロセスなどで複数のリクエストを同時に処理できるようになっているのが一般的であるため「前回のリクエストが完了してから、次のリクエストを投げる」実装になっている限りは「サーバーの性能を100%使いきって他の利用者が利用できない状態」になることは、通常起きません。 例外的なケースもあります。 ウェブサーバーがリクエスト完了後に何らかの処理を行うような実装になっていて、リクエストのペースによっては処理が溜まっていって追いつかなくなる。 ロードバランサ、リバースプロキシを使ったフロントエンド/バックエンドの構成になっているサーバーで、フロントエンドがタイムアウトと判断して早々にエラーを返したが実際はバックエンドで処理が続いている。 例えば1秒で処理が終
法と技術とクローラと私 - 最速転職研究会
こんにちは、趣味や業務で大手ポータルサイトのサービスで稼働しているいくつかのクローラの開発とメンテナンスを行っているmalaです。 さて先日、岡崎市立中央図書館Webサイトをクロールしていた人が逮捕、勾留、実名報道されるという事件がありました。 関連URL: http://librahack.jp/ 電話してみた的な話 http://www.nantoka.com/~kei/diary/?20100622S1 http://blog.rocaz.net/2010/06/945.html http://blog.rocaz.net/2010/07/951.html この件につきまして法的なことはともかくとして技術者視点での私見を書きたいと思います。法的なことは差し置いて書きますが、それは法的なことを軽んじているわけではなく、法律の制定やら運用やらは、その法律によって影響が出る全ての人々の常識
うさんくさいサービスを回避するためのチェックポイント
先日、ペニーオークションについてまとめてみたが、自分の目から見て明らかに危険なサービスなのに、お金を払ってしまう人が一定の割合で存在しているのはどうしてだろうと考えていた。これは信頼できるサイトかどうかの判断基準が人によって大きく違うのではないだろうか？ というわけで、自分がよくチェックしている箇所をリストアップしてみたので参考にするか、ネットストーカーキモいとつぶやいてください。 ここで上げたチェックポイントをすべて使用するケースはほとんどないと思うが、このあたりを確認しておけばネットで変な悪徳商法には引っかかりにくいよ、というまとめだ。普段から詳しく確認しておくようにしておけば、うさんくさいサービスに対する嗅覚が鍛えられてすぐに危険度を察知できるようになる。実際、ここまで詳しく調べる必要に迫られることはほとんどない。 運営者情報は掲載されているか？ ・なし→問題外 ・あり→掲載されてい
ぼくがPDOを採用しなかったわけ(Shift_JISによるSQLインジェクション)
補足 この記事は旧徳丸浩の日記からの転載です。元URL、アーカイブ、はてなブックマーク1、はてなブックマーク2。 備忘のため転載いたしますが、この記事は2010年7月1日に公開されたもので、当時の徳丸の考えを示すものを、基本的に内容を変更せずにそのまま転載するものです。 補足終わり PHPのデータベース・アクセス・ライブラリPDOは、DB接続時の文字エンコーディング指定ができないため、文字エンコーディングの選択によっては、プレースホルダを使っていてもSQLインジェクション脆弱性が発生します。 追記(2011/06/19) ここに来て急にブクマが追加されはじめていますが、このエントリを書いてから状況が改善しています。PHP5.3.6(2011/03/17)にて、PDOでもデータベース接続の文字エンコーディングを指定できるようになりました。この版で、UNIX版のPHPでは解決しましたが、Win
いい人の脆弱性 - レジデント初期研修用資料
今は誰もがネットワークでつながっていて、自分がどれだけ気をつけたところで、つながりを持った誰かから、漏れてはいけない情報は、簡単に漏れてしまう。 情報が漏れたところで、そもそもそれが問題にならないような振る舞いをしていれば大丈夫なはずなんだけれど、「漏れた」という事実を受け取る側も、やっぱりネットワークでつながっているものだから、「こんな話を聞いた。御社は一体どうなっているのか」なんて、攻撃者が、別の誰かにそのことを告げたときに、その人が、ネットでの自分の振る舞いを、額面どおりに受け取ってくれるとは限らない。 知らない人ほど恐怖する ネットに疎い人は、ネットを気持ち悪いと思うし、ネットの評判を必要以上に怖がる。 掲示板での叩きみたいなものは、たいていの場合は他愛のない悪口で、笑い飛ばせば、話はそれで終わる。よしんばそれが、犯罪性を持ったものであったとしても、ネット世間は忙しい。黙って口をつ
岡崎市立中央図書館事件 #librahack について愛知県警に電話して聞いてみた | [ bROOM.LOG ! ]
ニコニコPodder iPhone/iPod/iPad対応ニコニコ動画簡単インポートツール aggregateGithubCommits GitHubレポジトリでのコミット数をAuthor/期間別に集計します probeCOCOATek 新型コロナ接触確認アプリCOCOAが配布するTEKを表示・集計 連日Twitterでは #librahack ハッシュが大盛況だが、個人的には事実関係でよく分からないことも多く明白にしたいことではあったので、直接愛知県警に電話して事情を聞いてみました。岡崎署ではなく愛知県警なのは、そちらが事件捜査の主体的な役割を担っただろうと判断したからです。 対応して頂いたのは生活経済課の方。お名前は出しません。愛知県警ではこの課がサイバー犯罪を担当しているそうです。 担当して頂いた方は割と若めで理路整然と話したいクールなタイプ。多少警戒されて話されていたのが印象によく
今夜こそわかる安全なSQLの呼び出し方 ～ 高木浩光氏に聞いてみた
「安全なSQLの呼び出し方」というSQLのセキュリティに焦点を当てたドキュメントが、2010年3月にIPA（独立行政法人情報処理推進機構）から公開された。 これは2006年1月から提供されている、Webサイト開発者や運営者向けのセキュアWebサイト構築のための資料「安全なウェブサイトの作り方」の別冊として書かれたものである。「安全なウェブサイトの作り方」が92ページなのに対して、SQLインジェクションについてだけで40ページもの分量がある。なぜこんなに分厚いのだろうか。 このドキュメント作成に協力したという、独立行政法人産業技術総合研究所 情報セキュリティ研究センターの高木浩光氏にお話を伺うことができた。高木氏は個人ブログ「高木浩光＠自宅の日記」で、セキュリティ関連の問題を追求する論客としても知られている。筆者も以前、この連載の「今夜わかるSQLインジェクション対策」の回（2006年11月
XSSの攻撃手法いろいろ - うなの日記
html5securityのサイトに、XSSの各種攻撃手法がまとめられているのを発見せり!ということで、個人的に「お!」と思った攻撃をサンプルつきでご紹介します。 1. CSS Expression IE7以前には「CSS Expressions」という拡張機能があり、CSS内でJavaScriptを実行できたりします。 <div style="color:expression(alert('XSS'));">a</div> 確認 @IT -［柔軟すぎる］IEのCSS解釈で起こるXSS で詳しく解説されていますが、CSSの解釈が柔軟なことともあいまって自前で無害化するのはなかなか困難。以下のようなコードでもスクリプトが実行されてしまいます。 <div style="color:expr/* コメントの挿入 */ession(alert('XSS'));">a</div> 確認 <div s
高木浩光＠自宅の日記 - 今こそケータイID問題の解決に向けて
■ 今こそケータイID問題の解決に向けて 目次 ソフトバンクモバイル製のiPhoneアプリがUDIDを認証に使用していた件 Web開発技術者向けの講演でお話ししたこと 研究者向けの講演、消費者団体向けの講演でお話ししたこと 総務省がパブリックコメント募集中 ソフトバンクモバイル製のiPhoneアプリがUDIDを認証に使用していた件 6月初めのこと、ソフトバンクモバイルが「電波チェッカー」というiPhoneアプリを直々に開発して、iTunesストアで配布を始めたというニュースがあったのだが、それを伝えるITmediaの記事で、「取得された電波状況情報はiPhoneのUDIDとともにソフトバンクモバイルに報告される」と書かれているのが気になった。*1 「電波チェッカー」で検索して世間の反応を探ったところ、ソフトバンクモバイル社のCTO（最高技術責任者）の方が、Twitterで直々に市民と対話な
Windowsのヘルプとサポートセンターに脆弱性--報告したグーグル社員に非難の声も
Googleのエンジニアが米国時間6月10日、「Windows XP」の脆弱性を公表し、さらにそのエクスプロイトコードを公開した。Microsoftは5日間の修正期間しか与えらなかったことに対し、Microsoftや外部のセキュリティ研究者らは、Microsoftが推奨している責任ある開示の慣習に従っていないとして非難した。 Tavis Ormandy氏は5日、顧客にテクニカルサポートを提供するオンラインの「Windowsヘルプ」および「サポートセンター」機能に脆弱性が存在することを、Microsoftに報告した。その後同氏は10日に、「Full Disclosure」セキュリティメーリングリストへの投稿において、脆弱性の詳細を公表し、概念検証用のコードを公開した。 同氏は、「動作するエクスプロイトなしで（本件を）報告すれば、無視されていたであろうことを指摘したい」と記してから、同氏の行動
【レポート】"かんたんログイン"のセキュリティ問題とは何なのか? - WASForum 2010 (1) 「かんたんログイン」で指摘される問題性 | ネット | マイコミジャーナル
Webアプリのセキュリティを検討する「Webアプリケーションセキュリティフォーラム(WASForum)」が5月22日、認証と認可に関するイベントを開催した。その中で携帯電話の「かんたんログイン」のセキュリティに関して講演が行われた。 WASFは、もともとPCの一般的なインターネットのセキュリティを対象にしていたが、昨今のスマートフォンの流行などで携帯電話からも通常のインターネットが頻繁に利用されるようになったことから、今回のような考察が行われたという。 かんたんログインに関して講演をしたのは、HASHコンサルティングの徳丸浩氏と、産業技術総合研究所(産総研)の高木浩光氏。 パンドラの箱を開いたキャリア 携帯電話のWebサイト(携帯Web)で一般的に利用される「かんたんログイン」は、iモード(NTTドコモ)やEZweb(au)、Yahoo!ケータイ(ソフトバンクモバイル)で利用されているログ
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
IDEA * IDEA
Good night, Posterous
ホワイトハウスとクレムリンの直通電話はツイッター？：Obama Jokes Twitter May Replace Kremlin Red Phones