PHP5.4.24、PHP5.5.8以降で、__autoloadのクラス名チェックが実装されることに
また、is_a関数（元々はis_subclass_of関数）が、クラス未定義の場合に__autoloadを呼び出す仕様がそもそも余計なおせっかいと思いますが、仮に__autoloadを呼び出すのであれば、クラス名（識別子）としての妥当性を確認すべきでしょう。現状では、クラス名として「1」や「/var/data/evil」など（クラス名にできない文字列）を指定しても、そのまま__autoloadが呼び出されます。 このため、PHP利用者側で取れる対策としては、__autoload関数側でクラス名の妥当性チェックをするのがよいと思いますが、本来は、PHP側で対策すべきと考えます。 PHPのis_a関数における任意のコードを実行される脆弱性(CVE-2011-3379)とは何だったかから引用 この箇所ですが、 PHP-5.4.24RC1およびPHP-5.5.8RC1以降で、上記クラス名の妥当性検
インジェクション対策、基礎の基礎
(Last Updated On: 2018年11月12日)インジェクション攻撃には様々な手法があります。メモリ管理をプログラマが行うC言語などではメモリにインジェクションするバッファローオーバーフロー／アンダーフロー、テキストベースのインターフェースではテキストインジェクション（JavaScriptインジェクション、SQLインジェクションなど）があります。 これらのインジェクション脆弱性はなぜ発生するのでしょうか？ 今回は「インジェクション対策、基礎の基礎」の話です。 インジェクション脆弱性の原因 インジェクション脆弱性が発生する原理は非常に簡単です。インジェクション脆弱性は 命令とデータの分離 に失敗した場合に発生します。命令とデータとは何でしょうか？ 脆弱性が発生する仕組みと対策が単純なSQLを例に解説しますが、この考え方はプラットフォームや出力先に関係なく全ての出力先に利用できます
はてなグループの終了日を2020年1月31日(金)に決定しました - はてなの告知
はてなグループの終了日を2020年1月31日(金)に決定しました 以下のエントリの通り、今年末を目処にはてなグループを終了予定である旨をお知らせしておりました。 2019年末を目処に、はてなグループの提供を終了する予定です - はてなグループ日記 このたび、正式に終了日を決定いたしましたので、以下の通りご確認ください。 終了日: 2020年1月31日(金) エクスポート希望申請期限:2020年1月31日(金) 終了日以降は、はてなグループの閲覧および投稿は行えません。日記のエクスポートが必要な方は以下の記事にしたがって手続きをしてください。 はてなグループに投稿された日記データのエクスポートについて - はてなグループ日記 ご利用のみなさまにはご迷惑をおかけいたしますが、どうぞよろしくお願いいたします。 2020-06-25 追記 はてなグループ日記のエクスポートデータは2020年2月28
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
処理を実行中です
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
