「クロスサイトスクリプティング対策」でGoogle検索して上位15記事を検証した
昨年の11月にブログエントリ『「SQLインジェクション対策」でGoogle検索して上位15記事を検証した』という記事を書いたところ、非常に好評で、「次はXSSについて書いてください」という要望をいただいておりました。中々XSSについては手がついておりませんでしたが、ようやく書いてみました。以下のURLで検索した結果の上位15位の記事を検証しました。 http://www.google.co.jp/search?q=クロスサイトスクリプティング対策&pws=0 検索結果は変動するため、私が検索した際の結果をEvernoteの公開ノートとして記録しています。 1～10位 11～20位 記事の「正しさ」の検証基準としては、IPAの「安全なウェブサイトの作り方改訂第5版」を参考に、最低限として以下が記述されているかどうかを確認しました。 HTMLのエスケープ処理を行う 属性値はダブルクォートで囲む
あなたのWebアプリケーションは安全か。Google製のセキュリティチェッカー·Skipfish MOONGIFT
SkipfishはSQLインジェクションをはじめWeb向けの脆弱性を発見するソフトウェア。 SkipfishはGoogle製のオープンソース・ソフトウェア。2011年になってセキュリティインシデント関係の話題が飛び交っている。特に大きいのはソニーだろう。あそこまでの規模は相当珍しいが、何も対岸の火事という訳ではない。 オプション セキュリティホールを狙うのは人間に限らない。日々クローラーがWebサイトにアクセスしてセキュリティホールを狙っているのだ。狙われる前にSkipfishを使って自主的にチェックしてみよう。 SkipfishはGoogleが開発したセキュリティチェックソフトウェアだ。ターミナルで動作するソフトウェアで、指定したURLに対してSQLインジェクションやXSSなどWebアプリケーションが狙われやすい脆弱性をついてくる。結果はHTMLベースのレポートとして出力される。 結果は
「Chrome」の徹底的な改修を開始したグーグル--セキュリティ向上を目指す
Googleが「Native Client」と呼ばれる安全性の高い基盤の上で、「Chrome」を徹底的に作り直す作業を開始したとの情報を、米CNETが入手した。 その第1段階の対象は、ChromeブラウザがPDFファイルを読めるようにするために使われている、Chrome内蔵モジュールだ。Chromeチームのエンジニアリング担当バイスプレジデントであるLinus Upson氏は、5月のGoogle I/Oカンファレンスでその計画について明らかにしており、今回、その第1段階が進行しているという証拠が出てきた。 この問題のいくつかは、「Chrome 14」の完成スケジュールでタグづけされている。このことは、そのバグの修正が、開発中であるChromeの次のバージョンに間に合うように行われることを保証するものではないが、修正作業は短期プロジェクトであって、長期的なものではないことを意味している。 「
あなたの位置情報は承諾なしにインターネット利用端末から690メートル以内の精度で特定できます | Token Spoken
先日、 ボストンにて行われたUsenix Symposium on Networked Systems Design and Implementationというイベントで、位置情報の特定手法に関した恐ろしい研究結果が発表されました。発表者は中国成都にある電子科学技術大学の科学者であるYong Wangさんと、アメリカイリノイ州にあるNorthwestern Universityの研究員達です。 日本でも某企業が提供するようなデータベース形式の位置特定サービスは別として、通常IPアドレスベースの特定法では位置情報の精度は35キロメートル内です。 しかし、なんとこの手法を用いると、あなたの位置情報が、あなたが使用している利用端末から690メートル以内の精度で特定できてしまうというのです。しかも、特別な装置や、GPS位置情報も一切必要なく、現在普通にインターネットを飛び交う公開情報だけから位置を
グーグル、Chromeの脆弱性を修正--報奨金1万ドルを支払い
Googleは、同社ブラウザ「Google Chrome」に存在する最近の一連の高リスクな脆弱性に対し、1万ドル以上の報奨金を支払った。 同社は、「Google Chrome 5.0.375.127」をリリースし、9件のセキュリティホールを修正するとともに、1件のWindowsカーネルに存在するバグに対する緩和策を施し、これらの問題を報告したハッカーに報奨金として1万11ドルを支払った。 GoogleのJason Kersey氏は、脆弱性の詳細を次のように説明している。 ［1337ドル］［45400］深刻度：Critical。ファイルダイアログにおけるメモリ破壊。クレジット：Sergey Glaznov氏。 ［500ドル］［49596］深刻度：High。SVGにおけるメモリ破壊。クレジット：team509のwushi氏。 ［500ドル］［49628］深刻度：High。テキスト編集におけるキ
Windowsのヘルプとサポートセンターに脆弱性--報告したグーグル社員に非難の声も
Googleのエンジニアが米国時間6月10日、「Windows XP」の脆弱性を公表し、さらにそのエクスプロイトコードを公開した。Microsoftは5日間の修正期間しか与えらなかったことに対し、Microsoftや外部のセキュリティ研究者らは、Microsoftが推奨している責任ある開示の慣習に従っていないとして非難した。 Tavis Ormandy氏は5日、顧客にテクニカルサポートを提供するオンラインの「Windowsヘルプ」および「サポートセンター」機能に脆弱性が存在することを、Microsoftに報告した。その後同氏は10日に、「Full Disclosure」セキュリティメーリングリストへの投稿において、脆弱性の詳細を公表し、概念検証用のコードを公開した。 同氏は、「動作するエクスプロイトなしで（本件を）報告すれば、無視されていたであろうことを指摘したい」と記してから、同氏の行動
Google ToolbarやGoogle Chromeで秘密のURLが漏れるといった話 - 最速転職研究会
http://d.hatena.ne.jp/m-bird/20100402/1270190863 とか http://anond.hatelabo.jp/20100403084111 とか ずいぶん適当なこと書いてあるなと思ったので調べた。 見ているページのURLが送られるかという話 ツールバーは使ってないのでChromeについてだけ軽く検証したので書いておく。検証したバージョンはGoogle Chrome 5.0.366.2 devでモニタに使ったのはFiddler。 見ているページのURLを自動で送信する機能はChrome自体には無い。アドレスバーにURLを貼りつければ検索語句の補完機能が動いて送られることがある。 ただしhttpsの場合はホスト名まで、httpの場合はクエリストリング(URLの?以降)は含まれない。 フォームの自動入力を有効にしたらなんかXMLが送られるけど、これは見
グーグル、ウェブアプリの脆弱性検査ツール「skipfish」を公開
Googleは米国時間3月19日、オープンソースのウェブセキュリティスキャナ「skipfish」を公開した。ウェブアプリケーションをスキャンして、セキュリティホールの有無を調べられるものだ。 skipfishでウェブアプリをスキャンすると、ブラインドSQLやXMLインジェクションといった「巧妙な仕掛け」を含む脆弱性の有無が確認できると、Googleの開発者Michal Zalewski氏はskipfishのwikiで述べている。 skipfishは対象サイトへの再帰的クロールと辞書ベースの調査を実行し、その結果を表示したインタラクティブなサイトマップを作成する。脆弱性がある場合には強調表示する。また、skipfishが作成する最終レポートは、セキュリティ評価の判断材料として利用できる。 同様のスキャンツールは、「Nikto」や「Nessus」など、すでに商用でもオープンソースでも複数出回っ
Gmailを乗っ取られてないかどうか確認する方法
これを読んで「恐ろしいなー」と思ったので。 Gmailをのっとられた友達からメール来てだまされそうになった件・・・ – IDEA*IDEA ～ 百式管理人のライフハックブログ Google アカウントを乗っ取られて 勝手にメールを送信されたりパスワードを変えられたりすると思うと 恐ろしくて仕方がないんだけど、 たとえそこまでされないとしても 誰かが勝手にログインして、送受信されたメールを見ている可能性もある。 こちらの方が被害は少ないかもしれないけど 実害が出ないだけに気づきにくいという危険もあるんじゃないだろうか。 そこで、他人が勝手に自分の Gmail を見てないかどうか 手っ取り早く確認する方法を。 ご存知だったらごめんなさいよ。 方法っていうほどエラそうなもんじゃないんだけど Gmail の画面下部にはこういう表示があって 前回このアカウントがどこからアクセスされたかわかる。 これ
中古ドメインでGoogleAppsを使ったら - y-kawazの日記
最近あるドメインを取得したんだが、実はこのドメインは僕が最初に取得したものではなく、前のドメイン所有者が管理放棄したか期限切れになったモノを僕が取得したもののようだ。普通は中古のドメインだからといっても困ることはそうは無いもんだが、今回は珍しいケースに当たったのでネタにしてみる。 中古ドメインだったんだなーと気付いたのはGoogleAppsにドメインを登録しようと、ドメイン名を入力したときだ。 ↓こんなメッセージが出て登録できなかった。 このドメインは既に Google Apps に登録されています。 このドメインで Google Apps を使用する手順については、ドメイン管理者にお問い合わせください。 なんと既に登録されてるとな？すぐに前のドメイン所有者がAppsを使ってたんだなと思い至ったんだがさてどうしたらいいんだろう？ GoogleAppsの管理アカウントを取り戻す手順 既に存在
Google Webmaster Tool、マルウェア検出時の問題コードを特定する機能を追加 ::SEM R (#SEMR)
Google Webmaster Tool、マルウェア検出時の問題コードを特定する機能を追加 グーグル、ウェブマスターツールにてマルウェア検出時の問題コードのスニペットを表示する実験的機能を追加。 公開日時：2009年10月13日 10:47 米Googleは2009年10月12日、サイト管理者向けツール「Google Webmaster Tool」の新機能として、マルウェア検出時に詳細情報を提供する機能を追加した。同機能はLab項目内（ウェブマスター ツール Labs ）に実験的な機能をテストする目的で提供しており、随時変更、中断、提供中止される可能性がある。 Malware details （日本版項目名：不正なソフトウェアの詳細）は、サイト上にマルウェアを配布している恐れがあるサイトを発見した場合に、Google Webmaster Toolから具体的にどのコードが問題かを通知する機
ストリートビューに関する取り組みについて
Google では、Google マップのストリートビューに関して、過日発表した施策を改めてご説明させていただくとともに、本日よりいくつかの施策を追加で実施いたします。これは、利用者の皆様からいただいたフィードバックを受けての施策になりますが、総務省より提示された、個人情報保護およびプライバシー等に対する配慮の要請にも対応するものです。皆様に安心して便利にお使いいただけるようなサービスを目指し、Google は今後も改善を続けてまいります。 撮影態様の配慮等に関して 撮影態様に関しましては、今年５月にご報告したとおり、カメラの高さを 40cm 下げた上での再撮影を開始しております。これまで公開済みのエリアも含め、すべてのエリアにおいて、再撮影を実施いたします。なお、ご連絡を頂戴し公開を停止した画像につきましては、再撮影した場合でも、再度画像が公開されることはありません。 また、公開時におい
メールアドレス漏れ問題の追記 - レジデント初期研修用資料
自分のメールボックス、具体的にはGmail の「アーカイブ」を調べなおしました。 電話をくれた、今回メールアドレスが表示された方は、うちのサイトに対する感想メールを、2年ぐらい前に下さった方でした。 その人とは「ありがとうございました」みたいな時候の挨拶を返したきりで、その後のやりとりはなく、 もちろんお互いの携帯電話番号など交換していないのですが、要するに今回起きたことというのは、 たまたま相手がうちの電話に間違い電話をかけて、その相手が、偶然にも以前、 その人がメールを出したことのある人間だったという、極めてまれな事例を見ていた可能性が高そうです。 お騒がせして申し訳ありませんでした。 その代わり、たとえば自分のメールアドレスは昔からの公開アドレスであり、今の時点ですでに3000人以上、 もはやGmail のページを見ても、アーカイブには「数千人」としか表示されない数のメールがたまって
間違え電話に相手の本名とGmail アドレスがついてきた - レジデント初期研修用資料
携帯電話のことは何一つ分からないので、とりあえずおきたことだけ。 スマートフォンを買った ごく最近、HT-03A という、Docomo のGoogle 携帯電話を買た。 それまで6年間ぐらい使っていたのは、カメラもi モードも使えない機種だったから、 ここ数年間の携帯電話がどんな具合になっているのか、自分はまず、そのへんを全く理解できていない。 間違え電話が来た 昨日の夕方頃、知らない携帯電話からの着信があった。もたもたしてたらベル2回ぐらいで切れて、 結局その電話は取れなかった。 普段仕事に使っている番号は、全部携帯電話の「連絡先」に入れてあるから、 その電話番号はとりあえず、「知らない人」からだとは分かった。 HT-03A の着信履歴にはその電話番号が残っていて、そこにはなぜか、 発信者の名前がカタカナ表記で書かれていて、その人のGmail アドレスが一緒に表示されていた。 最初はSp
高木浩光＠自宅の日記 - やはり「元データは保管していない」は虚偽だった
■ やはり「元データは保管していない」は虚偽だった 今日の朝日新聞朝刊「b4」面に、Google Earthについて米Google, Inc.担当副社長がインタビューに答えた記事が出ているが、この中で、日本のストリートビューについての質問にも応じて、次のように答えている。 ストリートビューについても尋ねた。（略）日本では昨夏始まり、塀越しに自宅が撮影されるなどプライバシーを中心に問題になった。 「道幅の狭さ、塀の中の庭、街のつくりなど、日米の違いをよく認識していなかった。例えば米国の家に表札はない。日本の事情に合わせ、変えるべき点は変えていく」 人の顔にぼかしを入れ、ユーザーから削除を申請された写真は表示されない。こうした写真の元データをグーグルはどうしているのか。 「保存しています。地図の間違いやぼかし技術の点検のためで、一定期間後に消去することになるでしょう。問題のないものは原則として
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
Engadget | Technology News & Reviews
TechCrunch | Startup and Technology News
https://jp.techcrunch.com/2010/11/21/20101120whoa-google-thats-a-pretty-big-security-hole/
FreeBSDいちゃらぶ日記
"Google Wave"を標的としたSEOポイズニング攻撃が発生 - Websense ::SEM R (#SEMR)