「クロスサイトスクリプティング対策」でGoogle検索して上位15記事を検証した
昨年の11月にブログエントリ『「SQLインジェクション対策」でGoogle検索して上位15記事を検証した』という記事を書いたところ、非常に好評で、「次はXSSについて書いてください」という要望をいただいておりました。中々XSSについては手がついておりませんでしたが、ようやく書いてみました。以下のURLで検索した結果の上位15位の記事を検証しました。 http://www.google.co.jp/search?q=クロスサイトスクリプティング対策&pws=0 検索結果は変動するため、私が検索した際の結果をEvernoteの公開ノートとして記録しています。 1～10位 11～20位 記事の「正しさ」の検証基準としては、IPAの「安全なウェブサイトの作り方改訂第5版」を参考に、最低限として以下が記述されているかどうかを確認しました。 HTMLのエスケープ処理を行う 属性値はダブルクォートで囲む
あなたのWebアプリケーションは安全か。Google製のセキュリティチェッカー·Skipfish MOONGIFT
SkipfishはSQLインジェクションをはじめWeb向けの脆弱性を発見するソフトウェア。 SkipfishはGoogle製のオープンソース・ソフトウェア。2011年になってセキュリティインシデント関係の話題が飛び交っている。特に大きいのはソニーだろう。あそこまでの規模は相当珍しいが、何も対岸の火事という訳ではない。 オプション セキュリティホールを狙うのは人間に限らない。日々クローラーがWebサイトにアクセスしてセキュリティホールを狙っているのだ。狙われる前にSkipfishを使って自主的にチェックしてみよう。 SkipfishはGoogleが開発したセキュリティチェックソフトウェアだ。ターミナルで動作するソフトウェアで、指定したURLに対してSQLインジェクションやXSSなどWebアプリケーションが狙われやすい脆弱性をついてくる。結果はHTMLベースのレポートとして出力される。 結果は
Google ToolbarやGoogle Chromeで秘密のURLが漏れるといった話 - 最速転職研究会
http://d.hatena.ne.jp/m-bird/20100402/1270190863 とか http://anond.hatelabo.jp/20100403084111 とか ずいぶん適当なこと書いてあるなと思ったので調べた。 見ているページのURLが送られるかという話 ツールバーは使ってないのでChromeについてだけ軽く検証したので書いておく。検証したバージョンはGoogle Chrome 5.0.366.2 devでモニタに使ったのはFiddler。 見ているページのURLを自動で送信する機能はChrome自体には無い。アドレスバーにURLを貼りつければ検索語句の補完機能が動いて送られることがある。 ただしhttpsの場合はホスト名まで、httpの場合はクエリストリング(URLの?以降)は含まれない。 フォームの自動入力を有効にしたらなんかXMLが送られるけど、これは見
メールアドレス漏れ問題の追記 - レジデント初期研修用資料
自分のメールボックス、具体的にはGmail の「アーカイブ」を調べなおしました。 電話をくれた、今回メールアドレスが表示された方は、うちのサイトに対する感想メールを、2年ぐらい前に下さった方でした。 その人とは「ありがとうございました」みたいな時候の挨拶を返したきりで、その後のやりとりはなく、 もちろんお互いの携帯電話番号など交換していないのですが、要するに今回起きたことというのは、 たまたま相手がうちの電話に間違い電話をかけて、その相手が、偶然にも以前、 その人がメールを出したことのある人間だったという、極めてまれな事例を見ていた可能性が高そうです。 お騒がせして申し訳ありませんでした。 その代わり、たとえば自分のメールアドレスは昔からの公開アドレスであり、今の時点ですでに3000人以上、 もはやGmail のページを見ても、アーカイブには「数千人」としか表示されない数のメールがたまって
間違え電話に相手の本名とGmail アドレスがついてきた - レジデント初期研修用資料
携帯電話のことは何一つ分からないので、とりあえずおきたことだけ。 スマートフォンを買った ごく最近、HT-03A という、Docomo のGoogle 携帯電話を買た。 それまで6年間ぐらい使っていたのは、カメラもi モードも使えない機種だったから、 ここ数年間の携帯電話がどんな具合になっているのか、自分はまず、そのへんを全く理解できていない。 間違え電話が来た 昨日の夕方頃、知らない携帯電話からの着信があった。もたもたしてたらベル2回ぐらいで切れて、 結局その電話は取れなかった。 普段仕事に使っている番号は、全部携帯電話の「連絡先」に入れてあるから、 その電話番号はとりあえず、「知らない人」からだとは分かった。 HT-03A の着信履歴にはその電話番号が残っていて、そこにはなぜか、 発信者の名前がカタカナ表記で書かれていて、その人のGmail アドレスが一緒に表示されていた。 最初はSp
Google Chrome OS のご紹介
Google が Google Chrome ブラウザを発表してから刺激的な 9 ヶ月がたちました。今や 3,000万人以上の方が、日々このブラウザを利用しています。Google Chrome はウェブで日常生活を行っているような方々のためにデザインされています－－情報を検索したり、メールをチェックしたり、ニュースを読んだり、買い物をしたり、あるいは気軽な友人とのやり取りなど。しかし、ブラウザを走らせるオペレーティング・システムは、ウェブのない時代に設計されたものです。そこで本日、Google は Google Chrome を拡張させたプロジェクト －－ Google Chrome オペレーティング・システムを発表いたします。これはオペレーティング・システムがどのような形であるべきかを再考する試みです。 Google Chrome OS はオープンソースの軽量オペレーティング・システムで
ちょｗｗｗｗGoogleJapan大丈夫かｗｗｗｗｗ - 太一の悪ふざけ
来る、2009/6/9。 Google Developer Day 2009 が開催されるらしいでつ。 「ご登録」ってリンクをクリックしたワケ。 そうするとだ、こんなページに遷移すんのよ。 全文引用しちゃった…ﾃﾍ Google Developer Day とは、Google のデベロッパー向けの製品を学んでいただくための場です。講師は基本的に Google や関係各社、コミュニティのエンジニアになります。イベントの内容は、セミナーや、"office hour" と呼ばれるインタラクティブなディスカッションの場で構成されています。Google Maps, OpenSocial, Android, AJAX API, Google Chrome, Google Web Toolkit のような Web テクノロジーがテーマとなっています。 現在、ご登録は開発者の方を優先しております。 過去1
高木浩光＠自宅の日記 - 東京都情報公開・個人情報保護審議会を傍聴してきた
■ 東京都情報公開・個人情報保護審議会を傍聴してきた 2月15日補足：日付を間違えていた。「今日は」とは2月3日のこと。2月3日の日記として書いたつもりが、2月4日で登録してしまっていた（書き始めたのは2月3日だが書き上がったのは2月4日の朝だった）。既にあちこちからリンクされているので変更はしない。 ストリートビューについてグーグル社との意見交換があるというので、今日は休暇をとって、東京都情報公開・個人情報保護審議会の傍聴に行ってきた。録音も撮影もOKとのことで、公開の場であることが強調されていたので、今回はメモはとらず、会話は録音して、会場の様子を写真やビデオに収めてきた。 グーグル社からは、執行役員で広報部長の舟橋義人氏とポリシーカウンセルの藤田一夫氏が出席し、主に藤田氏が説明と質疑への応答にあたった。事務局から前回議事録等への補足の後、藤田氏から25分ほどのプレゼンテーションがあり
高木浩光＠自宅の日記 - 当事者になって認識する「ストリートビュー」問題
■ 当事者になって認識する「ストリートビュー」問題 9月9日から14日にかけて、はてなのアンケートシステムを使用して、ストリートビューに対する意識調査を行った。その結果を以下にまとめる。アンケートは2回に分けて行った。 「ストリートビュー」に否定的ですか、肯定的ですか 1回目のアンケートでは、ストリートビューに対して「否定的」か「肯定的」かと、抽象的に問いかけた。「否定的」「肯定的」の定義は人それぞれだと思われる。回答総数は1000件。 Googleマップの「ストリートビュー」についてお尋ねします。「ストリートビュー」に否定的ですか、肯定的ですか。, 人力検索はてな, 2008年9月9日〜11日 その回答を円グラフで示すと図1のようになる。「否定的」が 33% で「肯定的」が 47% となっているが、この値自体はあまり重要ではない。母集団が変わればこの値は変化すると考えられ、はてなアンケー
高木浩光＠自宅の日記 - グーグル社がゲートのある敷地内に進入して撮影した事例 その2
これは「誤って入った」というものではなかろう。撮影されている通路は一筆書きのできない経路であり、積極的な意思を持って全部の道を辿ったようにしか見えない。 このようなゲートがあるところに入って撮影するという神経がよくわからない。撮影作業員はいったいどんな指示を受けていたのだろうか。迷路に入り込んだマイクロマウスのように、ひたすら路側づたいに走れとでも言われたのだろうか。 ただし、病院と特別養護老人ホームの承諾を得て撮影した可能性がないとは限らず、病院への確認はしていない。 高槻市公園墓地の事例 上の事例の周辺地域をぼんやりと見ていたら、他にも墓地に進入している事例を見つけた。 立て札に何と書かれているかは残念ながら読み取れず、確認はまだしていない。 30日追記：高槻市公園墓地管理事務所に電話で聞いた。ここの道路は「敷地内道路」であり、たとえば自動車が事故を起こしても駐車場内と同様に警察は対応
メールボックスをスッキリさせたい - ぼくはまちちゃん！
こんにちは！ 買い物してますか！ 通販とか！ ぼくも買いまくりですよ！ でも、ネットの通販で買い物したり、いろんなサービスに登録したりしてると、 どんどんダイレクトメールで溢れて、メールボックスがぐちゃぐちゃになっちゃうんだよね…！ これ、もうちょっとスッキリしないかなーと思って、自分なりにやってるやり方を書いてみますね！ 誰かの参考になれば！ 1. まずは、おかいもの用メールを作ろう！ とりあえず GMail とかで「おかいもの専用メールアカウント」作っておくと便利だよってお話です！ 古くから持ってるメールアドレスでお買い物しまくっちゃってる人も、今からでも…！ 時代は変わっちゃったね…！ ちょっと前までは、どこ行っても「フリーメールはだめなんです」「プロバイダのメールでおねがいします」なんて言われたものだけど、 いまやフリーメールはあたりまえ！ そもそも、プロバイダにメールついていなか
高木浩光＠自宅の日記 - 「LOCATION VIEW」のプライバシーへの配慮状況
（引用時、一部略） なるほど、これはプライバシーへの配慮だろうか。 ロケーションビュー社にプライバシーへの配慮状況について問い合わせてみた。 件名: 住宅地映像のプライバシー保護に関する公開質問 株式会社ロケーションビュー個人情報保護方針問い合わせ窓口御中 貴社の「LOCATION VIEW」サービスにおけるプライバシー保護へのお取り組みについて質問いたします。 「LOCATION VIEW」が公開している映像には、住宅地で撮影されたものも含まれていますが、その映像を一般公開するにあたって、貴社では何らかのプライバシー上の配慮に取り組まれていますか。特に以下の2点についてお答えいただけましたら幸いです。 (1) 撮影視点に関する方針 住宅地を撮影するにあたり、カメラの視点の高さについての規定あるいは方針はありますか。またその理由は何ですか。 (2) 撮影する道路の幅員等に関する方針 住宅地
「ストリートビュー問題」をセキュリティ観点から整理する
■ 「ストリートビュー問題」をセキュリティ観点から整理する ※以下の文章はブルース・シュナイアー『 セキュリティはなぜやぶられたのか』の受け売りなので、未読の人はとっとと買って読んだ方がよっぽどためになります。 要約 Googleマップの「ストリートビュー」機能に関する議論の多くは、これをプライバシー問題として捉えているが、ほとんど議論がかみ合っていないばかりか、なぜかみ合っていないのか当人たちもわかっていない。この問題をセキュリティの観点から捉えなおすと、守るべき資産価値やリスクの算出方法が個人個人の主観をよりどころにしていることがわかり、なぜ議論がかみ合わないのかが明らかになり、ネットでの議論よりも有効なアクションが見えてくる。 セキュリティとは 『セキュリティはなぜやぶられたのか』によれば、人生はセキュリティの連続である。旅行に使う交通機関を選ぶのもセキュリティだし、賞味期限切れ牛乳
グーグルが収集している280項目以上のユーザーデータ一覧／グーグルのダークサイド?（後編） | Moz - SEOとインバウンドマーケティングの実践情報 | Web担当者Forum
就職したい企業・業種ランキング、トップ20は国内企業が独占【リスクモンスター調べ】 4月13日 6:30
【ハウツー】もう試しましたか? Googleの脆弱性発見ツール「ratproxy」 (1) XSS問題などを検出可能 | エンタープライズ | マイコミジャーナル
Webアプリケーション開発者にとって切っても切れない問題――それがセキュリティ対策だ。日増しに複雑になっていく要件・機能に対する脆弱性検査に悲鳴をあげているデベロッパ/テスターも多いことだろう。そのような中、あのGoogleが、社内でも活用している脆弱性発見ツールをオープンソース化して公開した。同ツールは脆弱性検査の新しい決め手となるか。以下、基本的な使い方や主要機能について紹介していこう。 Google社内で現役の脆弱性検知ツール - ratproxy Googleは1日(米国時間)、Webアプリケーションのセキュリティ監査を実施するツール「ratproxy」をリリースした。ratproxyはプロキシサーバとして動作するオープンソースソフトウェア。同ソフトウェアを経由してWebアプリケーションを操作することで、XSS(Cross Site Scripting)問題や不適切なXSRF(Cr
GT Nitro: カーレーシング・ドラッグレーシングゲーム - Google Play のアプリ
GT Nitro: Car Game Drag Raceは、典型的なカーゲームではありません。これはスピード、パワー、スキル全開のカーレースゲームです。ブレーキは忘れて、これはドラッグレース、ベイビー！古典的なクラシックから未来的なビーストまで、最もクールで速い車とカーレースできます。スティックシフトをマスターし、ニトロを賢く使って競争を打ち破る必要があります。このカーレースゲームはそのリアルな物理学と素晴らしいグラフィックスであなたの心を爆発させます。これまでプレイしたことのないようなものです。 GT Nitroは、リフレックスとタイミングを試すカーレースゲームです。正しい瞬間にギアをシフトし、ガスを思い切り踏む必要があります。また、大物たちと競いつつ、車のチューニングとアップグレードも行わなければなりません。世界中で最高のドライバーと車とカーレースに挑むことになり、ドラッグレースの王冠
Google，Webアプリ用試験ツール「ratproxy」をオープンソースとして公開
米Googleは米国時間2008年7月1日，Webアプリケーションの安全性を確認できるツール「ratproxy」をオープンソースとして公開した。同社のWebサイトから無償ダウンロード提供している。 同ツールは，これまで同社が社内でWebアプリケーションを試験する際に使っていた。プロキシ・サーバーとして作動し，クロスサイト・スクリプティングに悪用される恐れのあるコードや，情報漏えいにつながる問題などを調べられる。従来のセキュリティ・ツールと違い，意識することなく利用でき，オーバヘッドも小さいという。 ソフトウエア・ライセンスはApache License 2.0。現在のバージョンは「1.51ベータ」。Linux/FreeBSD/Mac OS Xと，Windows向け疑似UNIX環境Cygwin用に開発した。 [GoogleのMichal Zalewski氏によるブログ投稿記事] この記事の目
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
TechCrunch | Startup and Technology News
FreeBSDいちゃらぶ日記
Site Under Maintenance