「サニタイズ言うなキャンペーン」私の解釈
高木浩光さんの「サニタイズ言うなキャンペーン」 という言葉自体はずいぶん前から存在したのだが、 続・「サニタイズ言うなキャンペーン」とはにて高木さん自身がいくつも誤解の例を挙げているように、 そしてまた最近も 駄目な技術文書の見分け方 その1にて「まだわからんのかね」と言われているように、 「わかりにくい」概念なんだろうとは思う。 そこで、僭越ながら、「サニタイズ言うなキャンペーン」について、 私なりの解釈を書いてみようと思う。 もっともこれが正解であるという保証はないのだが、 間違っていたらどなたかツッコミいただけることを期待しています(_o_) そもそも何のせいで「エスケープ」しなければならないのか たとえば住所氏名を登録させるWebアプリケーションは珍しいものではないと思う。 そこで、私が「Taro&Jiro's castle サウスポール」 とかいう恥ずかしい名前のマンション(?)
AAで図解!ずばり一目で全く解らないコンピュータセキュリティ
最終更新日: Wednesday, 29-Nov-2006 02:46:05 JST Webバグ CSRF (Cross Site Request Forgeries) DoS (サービス拒否) サニタイズ オレオレ証明書 Cookie Monster SQL インジェクション HTTP Response Splitting (レスポンス分割) HTTPのページのフレームにHTTPSのページを表示 バッファオーバーフロー フィッシング Forceful Browsing (強制ブラウズ) クロスサイトスクリプティング ゼロデイ(0day)攻撃 ディレクトリトラバーサル セッションハイジャック 権限昇格 OS コマンドインジェクション オープンプロキシ Webバグ ＼ __ ／ ＿ （ｍ） ＿ビーコーン |ミ| ／ ｀´ ＼ ('A`
高木浩光＠自宅の日記 - 暗黙的に形成する事実標準の話と回避策の話を混同してはいけない
■ 暗黙的に形成する事実標準の話と回避策の話を混同してはいけない 「ぼくはまちちゃん」 ――知られざるCSRF攻撃, 上野宣, @IT, 2005月4月27日初版、2006年11月8日修正版 ●リファラーで発信元をチェック HTTPリクエストを受けたとき、そのリクエストがどこのWebページから発行されたものかを示すリファラー（REFERER）と呼ばれる情報を得ることができる。この情報を活用し、本来意図したWebページ以外からのリクエストを拒否することで、CSRFによる外部からのリクエストを防ぐことができる。 ただし、ユーザーがリファラー情報を出力しないブラウザを使っている場合、このチェックを導入すると正当な操作でも受け付けなくなってしまう。 懸念されるリファラー情報偽装に対する問題だが、以前はリファラー情報を発行するのは攻撃を踏んでしまった自分自身なので、リファラー情報を偽装する動機がなく
無料のウイルス検出／除去ツール（Windows Live OneCare PC セーフティ）を活用する － ＠IT
PCセーフティの主要な特徴をまとめると次のようになる。 ■ウイルス検出／除去、不要ファイルの削除、ディスク・デフラグメントが可能 画面から分かるとおり、PCセーフティでは、ウイルス検出／除去以外にも、ハードディスク内の不要なファイルの削除（クリーンアップ）、ディスクのデフラグメント（チューンアップ）などが行える。トップページにある「フル スキャン」ボタンをクリックすれば、すべての機能を一括して実行できる。 ■すべての機能は無料で利用可能。ただしマニュアルでのWebアクセスが必須 これらすべての機能は無料で利用できる。ただし利用にあたっては、上記のページをマニュアルでアクセスしなければならない。ユーザーとしては、自動的にウイルス検出などを実施したいところだが、自動化はできない。これを可能にするには、Windows Live OneCareとしてマイクロソフトが現在開発中の有償サービスを利用す
SQLインジェクション再現デモムービー:phpspot開発日誌
0-DAY - SIMPLE SQL INJECTION あるオープンソースのCMSのセキュリティホールを探る際のFlashムービー。 映画のイントロのように始まり、怪しげな音楽と共にムービーが再生される等、あやしい雰囲気たっぷりに作られています。 IRCチャットで依頼が始まり、ソースのDL〜grepしてSQLインジェクションの脆弱性を見つけ、実際にIDとpassを取り出すまで。 こういう手口で脆弱性が発見されるんだな、というのがハッキリと分かります。 もちろん、ソースなど見なくてもURLから類推したりその他のパターンも多数あると思いますが、オープンソースの場合はこんな感じでソースをgrepされたりするんでしょうね。 SQLインジェクション対策の参考に。
高木浩光@自宅の日記 - WinnyのDownフォルダをインターネットゾーンにする
■ WinnyのDownフォルダをインターネットゾーンにする いくつかの国々では、貧困層に薬物乱用が蔓延し、注射器の回し打ちで悪性の感染症が広がっているとき、無料で注射セットを配布するのが正義なのだという。 ニートにWinny乱用が蔓延し、Downフォルダのダブルクリックで悪性のトロイの被害が広がっているとき、私達にできることといえば、せめて安全なファイルの開き方だけは伝えていくことではないだろうか。どうしてもWinnyを使いたいならDownフォルダをインターネットゾーンにして使え、と。 Vector Softライブラリに、「ZoneFolder.VBS」というVBスクリプトのパッケージがある。 この中にある「インターネットフォルダ.VBS」を実行すると、作成するフォルダ名を入力するよう求められるので、できるだけランダムな名前を入力する。
Webサイトにおけるクロスサイトスクリプティング脆弱性に関する情報
最終更新日：2004年 3月19日 変更履歴 Webサイトにおけるクロスサイト スクリプティング脆弱性に関する情報 - ユーザーのセッションが奪われる可能性 - 情報処理振興事業協会 セキュリティセンター 2001年10月23日 現在稼動中の多くの webサービス(ショッピングサイト、銀行など)におけるクロスサイト スクリプティング脆弱性の問題に対する対策が不十分なため、これを 攻略する攻撃の可能性が指摘されています。 クロスサイト スクリプティング脆弱性は 2000年 2月に CERT/CC と Microsoft社により報告されたアドバイザリ(※注)により広く知られるものとなっています。 しかし、依然として多くのサイトにおいて対策が取られていない現状にあることが、産業技術総合研究所 高木 浩光 氏らの調査により明らかになりました。 この脆弱性を用いることにより、対策のとら
IPA セキュア・プログラミング講座 「Webアプリケーション編」に「Web関連技術」を追加
本ページの情報は、2016年10月時点のものです。2023年10月に再構成をいたしました。 なお、内容に変更はありません。 2016年10月版 2002年2月に「Webプログラマコース」と「製品プログラマコース」、2007年の6月に「Webアプリケーション編」、9月に「C/C++編」と分けて公開してきた講座のうち、原則を中心として共通的なものをまとめて2016年10月に再編しました。 なお、資料内の参照先はすべてサイトリニューアル前のURLであるため、リダイレクトを設定しています。 セキュア・プログラミング講座(2016年10月版／2017年6月一部修正)(PDF:2.3 MB) 2007年版 「ソースコード検査技術の脆弱性検出能力向上のための研究」（注釈1）を実施した一環として取りまとめた内容を、2002年から公開していたセキュア・プログラミング講座（旧版）の改訂版（2007年版）として
ネットで実名を出すと天変地異が起きるぞ論
?B：Yahoo!ニュース - 共同通信 - 実名でのネット活用促す 総務省「悪の温床」化防止 例によって「ネットで実名を出すと天変地異が起きるぞ論」が大噴出していますが、実名系ブログや芸能人ブログを見て何も思わないのか。人気絶頂期の木村拓哉だってふつうに顔を出して街中を歩いていたんだけど。そういうこと、知らないのかな。 ちなみに、私は本名でもブログを開設しています。また私の本名は whois.jp で調べられます（注：参考情報1と参考情報2を熟読のこと）。 私の本名を Google で検索すると、住所・収入・勤務先までわかります。私が公開しているからです（もともとは 2ch 管理人・西村博之さんの真似）。けれども、いたずら電話などの被害はありません。それは奇跡ではなく、ふつうはそういうものなのです。例えばネットショップを運営している個人事業主は、みな法の規定に基づいて本名・住所・連絡先を
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
データベース・セキュリティ・コンソーシアム（DataBase Security Consortium） 成果物
http://www.trusnet.com/secinfo/docs/webprog1/index.html