知らなかったらNGなWEBアプリケーション脆弱性一覧 : mwSoft blog
先日、AmebaなうがCSRFという非常にポピュラーな脆弱性を披露したかと思ったら、ここ数日はセブンネットショッピングでXSSの脆弱性と、ID推測による他ユーザの個人情報閲覧の問題が発生しているという噂が流れています。 ユーザの情報を預かっておきながら、基本的なセキュリティの対策もできていないというのは、銀行に例えるなら、お金を預けようとした時に「お金は預かります。ちゃんと保管します。でも警備はあまりしないので盗まれたらスイマセン」と言われるようなものだと思う。 警備に穴があったというのではなく、まともに警備してませんでした、というのはさすがにありえないことです。 そこで、野良WEBプログラマである私が知っている脆弱性を列挙してみた。 私はプログラマであってセキュリティの専門家ではないです。しかも今年の春辺りからずっと外向けのWEBプログラムは組んでません。 その人間が知っているものを並べ
＠IT - ＠IT：BINDで作るDNSサーバー
印刷するページの URL が判別できませんでした。 このエラーは、次のような場合に、印刷対象の URL が判別できないために発生します。 プリンタ用ページの URL を直接入力した場合 ブラウザのキャッシュ用ファイルや、ブラウザから保存したファイルなど、お手元のディスクの中にあるコピーのHTMLファイルにある「印刷用バージョン」ボタンをクリックした場合 検索エンジンのキャッシュなど、＠IT以外のサイトに保存されているページにある「印刷用バージョン」ボタンをクリックした場合 ＠ITサイト上のページにある「印刷用バージョンを表示」ボタンをクリックしてください。 ブラウザの設定で JavaScript の使用を禁止してあり、かつ、ブラウザやプロキシの設定で Referer データの送信を禁止している場合にも、このエラーが発生します。ご確認ください。
匿名Webプロキシサーバを職場から一掃する方法
企業は社内のWebブラウザ利用をコントロールする目的で、セキュリティゲートウェイ技術戦略の一環としてWebフィルタを使うことがある。しかし、中にはどうしてもフィルタをかわして制約なしにWebを使い続けたいと思う従業員もおり、Webフィルタをだまして不適切なサイトへのアクセスを許可させる「匿名Webプロキシ」の利用で対抗してくる。本稿では、Web匿名化がシステムへの不正侵入を招きかねない実態に触れ、コンテンツフィルタリングのプロセス強化の手段を紹介する。 匿名Webプロキシの弊害 まず、匿名プロキシソフトを使ったWeb閲覧を許すことの危険性をはっきりさせておきたい。社内ネットワークでユーザーがこれを使っていたら、少なくともユーザーの一部が規則を破っているのは間違いない。ポルノサイトやギャンブルサイト、あるいは個人ブログ、MySpace.com、YouTubeといった禁止サイトを閲覧しているか
404 Not Found
実名などの個人情報を公開することは大変危険です。 実名さえ分かれば、住所や電話番号などを調べることが可能なのです。 TELECOREというテレコア株式会社が運営する個人情報紹介サービスをご存知ですか。 このサイトを利用すれば、あなたの住所や電話番号を調べることができてしまうかもしれません。 私の住所や電話番号は簡単に検索することができてしまいました。 TELECORE（テレコア）無料電話番号検索サービス ■TELECOREで個人情報を検索する方法 「無料検索ログオン」と書かれたボタンをクリックすると、個人情報を検索するページへ移動します。 このサイトで個人情報を調べる方法は、大きく分けて3つあります。 1. 都道府県と市区町村を入力し、苗字を入力し、検索ボタンを押す。 2. 都道府県と市区町村を入力し、苗字と名前を入力し、検索ボタンを押す。 3.
Windowsのパスワードをわずか数分で解析する「Ophcrack」の使い方 - GIGAZINE
Windowsの各種ユーザーアカウントのパスワードを解析して表示することができるオープンソースソフト「Ophcrack」を使ってみました。Windows Vistaにも対応しており、総当たりで解析するのではないため、非常に素早く解析できるのが特徴。数分程度の時間で解析できてしまいます。今回の実験ではジャスト3分でAdministratorのパスワードが表示されてしまいました、ショック。 通常はISOイメージをCDに焼いてCDブートで起動するのですが、今回はUSBメモリから起動してみました。実際に起動してから終了するまでの様子のムービーもあります。 というわけで使い方などの解説は以下から。 ※あくまでも自分のパスワードの弱さをチェックするためのソフトなので、使用する際には自己責任でお願いします Ophcrack http://ophcrack.sourceforge.net/ ダウンロードは
SSLが破られる -- ハッカーがMD5の衝突を利用してCA証明書の偽造に成功
文：Ryan Naraine（Special to ZDNet.com） 翻訳校正：石橋啓一郎 2009-01-06 14:15 米国と欧州のハッカーのグループが、200台からなるPlayStation 3のクラスターの計算能力と、約700ドル相当のテスト用の電子証明書を使い、既知のMD5アルゴリズムの脆弱性を標的にして偽の証明機関（CA）を作る方法を発見した。これは、すべての最新のウェブブラウザによって完全に信用されている証明書を偽造することを可能にするブレークスルーだ。 この研究は、現地時間12月30日にドイツで開かれていた25C3カンファレンスでAlex Sotirov氏とJacob Appelbaum氏が発表したものだ。この研究は、最新のウェブブラウザがウェブサイトを信頼する方法を事実上破り、攻撃者がほぼ検知不可能なフィッシング攻撃を実行する方法を提供する。 この研究が重要なのは、
P2P調査結果・資料
P2P利用状況調査 当社では定期的に国内利用者数の多いP2Pネットワークの利用状況を調査し、発表しております。 2018年P2P利用状況調査結果 2015年P2P利用状況調査結果 2014年P2P利用状況調査結果 情報漏えい対応ガイド 今までのP2P調査で培ったノウハウと実績のもと、『情報漏えい対応ガイド【Winny・Share編】』(PDFファイル)を作成しましたので、ここに公開いたします。 Winny、Share、Perfect Dark、およびLimeWire/Cabosなどといった、P2Pネットワークを利用したファイル共有ソフトによって様々な驚くべき情報がネットワーク上に流出してしまう事件・事故は、残念ながら現在も終息する気配がありません。 こうした情報漏えい事件・事故において、その事件が起きた企業や団体は金銭的にはもちろん、社会的信用の失墜など大きな損害をこうむる被害者でもありま
ゼロデイは序の口？ ユーザーもベンダーも知らないWebからの脅威
不正プログラム（マルウェア）対策について現在多くの企業が直面している1つの課題は、「未知の脅威（ウイルスなどの悪意のあるプログラムやその活動）にいかに対抗するか」であろう。その背景には、Webからの脅威（後述）による亜種ウイルスの大量発生、特定の対象を狙った攻撃の増加により、セキュリティベンダーがパターンファイルを作成するスピードが新種ウイルスの出現スピードに追い付かず、未パッチの脆弱性を狙うゼロデイ攻撃が発生するケースや、迅速にウイルス検体を入手できないケースが急増していることが挙げられる。その結果、従来のパターンマッチングのみに頼った不正プログラム対策の有効性が低下し、企業において不正プログラム対策が後手に回る状況が発生しつつある。 本稿では企業が直面する未知の脅威ならびに既存の対策での問題点を取り上げるとともに、具体的に現在どのような対策があるのかを見ていく。 「未知の脅威」とは何な
［はまちちゃんのセキュリティ講座］ここがキミの脆弱なところ…！ 記事一覧 | gihyo.jp
運営元のロゴ Copyright © 2007-2024 All Rights Reserved by Gijutsu-Hyoron Co., Ltd. ページ内容の全部あるいは一部を無断で利用することを禁止します。個別にライセンスが設定されている記事等はそのライセンスに従います。
ログインしてください：日経クロステック（xTECH）
会員限定サービスです 月額プランが10月末まで無料 お申し込み 会員の方はこちら ログイン 日経クロステック TOPページ
憤りを感じさせられるプロプライエタリなFirefoxエクステンション
フリーソフトウェアとフリーでないソフトウェアが拡張機能という形で区別なくFirefoxの中に滑り込んでくることに無自覚になっているのは、危険な兆候ではないか――コンピュータ分野のジャーナリスト、ブルース・ベイフィールドがこの疑問に切り込む。 定期的にFirefox Add-onsサイトをのぞいているわたしは、この1年間で明らかに激増したプロプライエタリなエクステンションに手を焼いている。単にフリーライセンスのエクステンションの中にはわたしが興味を感じるものがなくなってしまったせいなのかもしれないが、最近面白そうに見えるエクステンションはプロプライエタリなものばかりのような気がする。特にお勧めとして取り上げられているものはそうだ。もちろんMozillaのプライバシーポリシーや免責事項には、プロプライエタリだからというだけの理由でプロプライエタリなエクステンションを禁止するような文言はないのだ
［セキュリティ］偽サイトに偽ソフト，洗練進むだましのテクニック
「セキュリティ対策が進んだ結果，ウイルス対策ソフトをかたる偽ソフトが横行した」。セキュリティ・ベンダーのラックサイバーリスク総合研究所先端技術開発部の新井悠部長は，偽ソフトが多数出現した2008年をこう振り返る。Windows VistaのUAC機能は，ユーザーが意図しない操作を警告する。UACの対象とならない正規のインストール手順をふませるために，偽ソフトが横行した。3位の偽画像，4位の偽Gooogle，6位の偽ウイルス対策ソフト，15位の偽PDFと，ユーザーが警戒心を解く瞬間をウイルス作者が狙う傾向を示したニュースがランクインした。 やっかいなのは，狙われていることをユーザーに気づかせないウイルスやボット・ネットワークが営利目的で売買されていることだ（関連記事）。売買する価値があるマルウエアは，ユーザーに気づかれることなくパソコンを乗っ取る。ユーザーにとっての兆候は，ランキング1位の「
＠IT編集者が選ぶ2008年必読記事：「Security＆Trust」編 － ＠IT
2008/12/24 ＠ITには1年間に多数の技術解説、動向解説の記事が掲載されます。重要ながら見落とされてしまった記事もありますし、いまあらためて読むと別の見方ができる記事もあります。そこで年末年始企画として、＠ITの各フォーラム編集者が推薦する「2008年必読記事」を紹介！ 最初はSecurity＆Trustフォーラムです。 Security＆Trustフォーラムがお勧めする2008年の必読記事、まずは「DNSキャッシュポイズニング」関係の記事です。＠ITニュースの関連記事「DNSアタック、技術者がまずすべき3つの対策」は「2008年7月、インターネットの世界を根幹から揺るがす大きな問題が公開された」との書き出しで、DNSキャッシュポイズニング攻撃の深刻さを表現しています。 技術的な解説はSecurity＆Trustフォーラムの「DNSキャッシュポイズニングの影響と対策 前編」と同「後
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
無防備のWindows 2000 SP4をネットにつないでみた
2008年にアクセスが多かった上位10エントリー一覧 | 情報セキュリティニュース | 情報セキュリティブログ | 日立システムアンドサービス
2008年に最も「参考になった」上位10エントリー一覧 | 情報セキュリティニュース | 情報セキュリティブログ | 日立システムアンドサービス
犯罪発生マップ ：警視庁
犯罪情報マップ リニューアル
連載：なぜPHPアプリにセキュリティホールが多いのか?｜gihyo.jp
「MS08-067」攻撃の被害続く、トレンドマイクロが詳細分析