脆弱性の見つけ方（初心者向け脆弱性検査入門）
WEB系の情報セキュリティ関連の学習メモです。メモなので他情報のポインタだけ、とかの卑怯な記事もあります。 ※2020.9 注記:本ブログの解説記事は内容が古くなっております。OWASP ZAPなどのソフトウェアの解説は現行バージョンの仕様から乖離している可能性があります。 EC-CUBEで脆弱性を見つけたり、mixiの脆弱性報告制度で成果を挙げたりしたせいか、「どうやって脆弱性を見つけてるんですか？」という質問をされることが時折あり、一応手順は説明するのですが、いつも口頭で細かくは説明できなくて申し訳ないので、自分のやり方をまとめてこのブログにアップしておきます。 標準的な脆弱性検査のやり方しか説明していないので、脆弱性検査のやり方を既に把握している人が読んでも得るものは少ないのではないかと思います。今回は脆弱性検査に興味があるが何をどうしたらいいか分からないような初心者向けコンテンツで
全てのWEBサービスでチェックすべきセキュリティ項目
WEBサービスにおけるセキュリティ対策の基礎 近年WEBサービスの脆弱性が騒がれておりますが、果たしてあなたが運用しているサイトのセキュリティは大丈夫でしょうか？以下、チェックしておくべきセキュリティ項目をあげました。 SSL証明書の利用 ユーザのプライベートな情報を送信してもらいサーバに保存するようなサービスではSSL認証は必須の機能と言えるでしょう。SSL認証を行っていないと、大切なユーザの情報が外部の悪いユーザに見られてしまう可能性があります。 ※ちなみにGozal-mediaではプライベートな情報のやり取りは行っていないためhttpで通信を行っています。 【確認方法】 ・ユーザ情報を送受信するページのURLが「https」から始まっている事を確認 ・「https」のページにアクセスした際に「セキュリティ証明書が信頼できない」という用な表示が出てこない事を確認 【導入方法】 導入
503エラーを防ぐ！Web屋が知っておくべき503エラーの原因と対処 | 知らないと損をするサーバーの話
（この記事は2022年9月29日に更新されました） こんにちは。 京都のWebプランニング会社「ウェブライダー」の松尾です。 某社のレンタルサーバーからCPIのサーバーに乗り換えたことがきっかけで、このコラムを書かせていただく機会を得ました。 現在、ウェブライダーでは、CPIの専用サーバーと共用サーバーのふたつを借り、さまざまなWebサイトを運営しています。 さて、このコラムでは、Web集客を成功させるためのレンタルサーバーの選び方について、いろいろな視点からお話ししていきます。 今回は、Webサイトにアクセスが殺到した際、ページが見られなくなる「503エラー」についてのお話です。 あなたはどこかのWebサイトを見ようとした際、「503 Service Unavailable」「Service Temporarily Unavailable」などのエラーメッセージが表示されているのを見たこ
シマンテック、ハッシュアルゴリズム「SHA-1」利用停止までのロードマップを解説
シマンテックは2014年2月5日、Webサイト閲覧を安全に行うために使われる電子証明書で利用されるハッシュアルゴリズムを、現在の「SHA-1」から「SHA-2」へ移行を促すための解説を行った。 WebブラウザーでSSL通信を行うためには、（1）ブラウザーなどにルート証明書を入れること、（2）認証局がSSLサーバー証明書を発行すること、（3）Webサイト管理者が正しくSSLサーバー証明書をインストールすることの3つの条件がそろうことが必要だ。 暗号化通信を始める場合、利用者がブラウザーを使ってWebサーバーにアクセスすると、WebサーバーはSSLサーバー証明書、中間認証局証明書をブラウザーに向け送付する。送付されたSSLサーバー証明書が、シマンテックをはじめとする正しい証明書発行機関のものかどうかを判断するため、ハッシュアルゴリズムを適用し、ハッシュ値を算出する。このとき使われているのが、S
「世界中を探しても見つけることはできません」 WWFジャパンの404エラーページは“絶滅動物図鑑”だった
パンダのマークでおなじみの「世界自然保護基金ジャパン（WWFジャパン）」。野生生物や森林などを守る活動をしている同団体の公式サイトの404エラーページがとても悲しいとネットで話題になっています。 「404 File not found」の表示とともに掲載されているのは、絶滅してしまった生き物のイラストです。「リョコウバトは、1914年に絶滅しました。世界中を探しても見つけることはできません」――そんな切ないメッセージが現れます。 リョコウバト以外には、ドードー（1681年絶滅）、オオウミガラス（1840年代または1850年代に絶滅）、カロライナインコ（1918年絶滅）の少なくとも3種類あるようです。404ページにこっそり用意されていた絶滅動物図鑑がこれ以上増えてしまわないよう願うばかりですね。 advertisement 関連記事 ゲームが遊べる404エラーページが遊び心ありすぎ ただのエ
カネと時間考えるならPHPやっとけ。たぶｎ：村上福之の「ネットとケータイと俺様」：オルタナティブ・ブログ
あー、 PHPとかいう糞言語 おまえは正しいよ。すげー正しい。 イエス・キリストの16777216倍くらい正しいよ！ そして、俺はすべてにおいて、間違ってるよ。 いっておくが、おれはプログラマとしては3流というか256流くらいだ。 クソだ。 最近、まともなコードも書いてないし、書けねーよ。 俺に生きている価値なんか１ピコグラムもねえよ。 けどな、言語的にクソかどうかなんかで、メシは食えねえんだ。言語がクソでも、手っ取り早くメシが食えるなら、それを優先しなきゃいけねえ。 ポインタ実装とかどーでもいいよ。 「書いたように動かない」とかいう奴はカネもらってやる仕事じゃねえよ。カネもらってコード書くなら、「動くように書く」んだよ。 PHPがクソだって？ いいんだよそれで。 エンジニアはつねにクソ食ってるんだ。 WebのプログラマなんてスカトロAV女優みてーなもんなんだよ。 クソ食って、毎日クソみた
SPDY Protocol - Draft 3 日本語訳
この文書は「SPDY Protocol - Draft 3」の日本語訳です。 原文の最新版 は、この日本語訳が参照した版から更新されている可能性があります。 この日本語訳は参考情報であり、正式な文書ではないことに注意してください。また、翻訳において生じた誤りが含まれる可能性があるため、必ず原文もあわせて参照することを推奨します。 公開日: 2013-02-11 更新日: 2013-08-21 翻訳者: Moto Ishizawa <[email protected]> 翻訳協力: Shigeki Ohtsu 1. 概要 HTTP 実装のボトルネックの1つに、並列処理のために複数コネクションを必要とすることがあります。これは、接続確立のために追加で発生するラウンドトリップや、スロースタートによる遅延、そして1つのサーバーに対して複数の接続をおこなうことを避けるためのクライアントによるコネクシ
朝日新聞デジタル：２ちゃんねる創設者を書類送検 麻薬特例法違反の疑い - 社会
インターネット掲示板「２ちゃんねる」上の違法な情報を放置したとして、警視庁は２０日、２ちゃんねるの創設者の西村博之・元管理人（３６）を麻薬特例法違反（あおり、唆し）幇助（ほうじょ）の疑いで書類送検し、発表した。
激震走る! あなたの会社は大丈夫? 馬鹿系SEO業者がしでかすこんなこと!｜More Access! More Fun
はっきりいっときますが、今日のブログは激震です。 大企業、有名企業の名前まで出てきます。ほんとですから。 実は先日、ある会社のコンサルを依頼されて打ち合わせに行ってきました。とりあえず集客の立て直しから始めるのですが、１年半にわたりSEO業者に月5万円払い続けているのに全く効果が無いので契約打ち切りたいとのこと。いまでこそ外部リンクはほとんど効果無くなりましたが、ちょっと前ならとりあえずは効果あった。全くないのはおかしい。本当に外部リンクつけていたのか、とWebmasterツールから外部リンクをダウンロードし、友人のSEO専門家に精査してもらいました。 結果・・・ 「ひどいです。びっくりしました。これほどモラルのない業者はなかなか見ないです。」 中国の悪質業者からリンクを買って、中国のサイトにリンクをつけさせていたのです。 中国の悪徳制作会社が、勝手にクライアントのサイトに隠しリンクを埋め
ファーストサーバーがデータ初期化の大惨事！被害者の状況と損害賠償（約款）について調べてみた。 - すしぱくの楽しければいいのです。
公開日：2012年6月21日 カテゴリ：アレな話題 ホームページが障害で表示されないとか、アクセス過多で重たすぎる程度なら許容の範囲ですけども、サーバーのデータが初期化されましたという、Web屋としては笑えない、むしろ笑うしかない状況が発生しましたよ。 それも稼働率100％保証のファーストサーバーさんというのも驚きでございます。 今回サーバーデータ初期化事故に遭遇してしまった X_urara_X さんに状況を取材させていただきながら、損害の保証はされるのかどうか、規約（約款）を確認してみました。 【2012.6.25追記】 中間報告が掲載されたので記事を書きました。ファーストサーバーの事故原因がほぼ人災だった。その概要と今後についてまとめてみました。｜楽しければいいのです。 信頼のファーストサーバーがまさかの・・・ Web屋にとって顔面蒼白な事故（障害）がございましたねー。 ファーストサー
街撮りは『違法行為』でした （全10回） その① - 東京ストリートガールズBlog -
突然ですが『逮捕』されてしまいました（笑） 今思えば『それこそが当然の結果』であると実感しました（笑） 長い間「2ちゃんねる」では『街撮り』に対して様々な論争が繰り広げられていますが、この際はっきりと「自分が身をもって体験した結果」を書いていきますね・・・。 文章だけでも寂しいので『合法に撮影された制服JC＆JK画像』を掲載しながら、全10回に渡って『街撮り』という『他人の写真を勝手に撮ってWEB上で掲載または販売する行為』について、私なりの意見を綴っていこうと思います。 華が無いのでサクッと画像を貼っておきますね（汗）15歳の現役女子中学生ちゃんでございます～。 さてさて、最近では街中で勝手に女性の姿を撮影しちゃう行為を『街撮り』って言うんですけど、そもそもの意味って全然違うんですよね～っ。いわゆる「街中で撮影した写真（建物や動物や物など）」のコトを『街撮り写真』って言うんですけど・・・
虚構新聞は誰でもなくインターネットに殺された。
楠木坂コーヒーハウスの人が書いている。 そもそも虚構新聞って、記事のリンクを開いて虚構新聞だったときのガッカリ感、逆に「これは虚構新聞だろう」と思って開いて本当にそうだったときの勝ち誇った感を味わうような、僕と読者との一種のゲームだったのですよね。昔なら「くそー、釣られたー」か、「虚構新聞余裕でした」の反応をちまちま見ながらほくそ笑んでいたのだけど、最近は人が増えたせいか、本気で怒り出す人が「虚構新聞つぶれろ」とか「死ね」とか言い出すようになって、気持ちが滅入ってしまうことも多かったです。 俺はそういうメディアが虚構新聞だけであるならば、別に「虚構新聞にまた引っかかったー」で済んでいたと思うんだけど、実際はそうじゃなくなった。２ちゃんねるまとめサイトや、他のネットニュース関係の奴等がPV欲しさにそういうタイトルを付けまくっている。虚構新聞は、いちおうソースが「嘘」だと明示してあるだけまだマ
HTMLやCSSでのプロトコル表記（http:、https:）の省略について
HTMLやCSSではプロトコル表記（http:、https:）の省略が可能です。 ということで、プロトコル表記の省略に関することを色々調べてみましたので、本エントリーで紹介致します。 このエントリーは、「「Google HTML/CSS Style Guide」を適当に和訳してみた」の以下の部分に対しての便乗記事です。 埋め込みリソースからプロトコル表記（http:,https:）を省略する。 <!-- Not recommended --> <script src="http://www.google.com/js/gweb/analytics/autotrack.js"></script> <!-- Recommended --> <script src="//www.google.com/js/gweb/analytics/autotrack.js"></script> １．プロトコ
首相官邸ホームページ、４５００万円かけリニューアル - MSN産経ニュース
首相官邸のホームページ（ＨＰ）が２日、リニューアルされた。「さまざまな政策情報をより分かりやすく発信する」（藤村修官房長官）ため、各省庁が個別に発信していた政策情報を一括検索できる機能や、子供向けサイトを新設した。岡田克也副総理が新聞・雑誌の購読中止にいそしむ中、ＨＰ更新に要した費用は約４５００万円という。
PHPより気軽に、Rubyで簡単ウェブ開発 - m.igrs.jp
元旦に rack-server-pages というものをリリースしました。 元旦リリースしました。僕からのお年玉です。 > rack-server-pages j.mp/uNthnL #ruby — Masato Igarashi (@migrs) January 1, 2012 実は数年前からずっと作りたいと思っていたもので個人ToDoリストに長らく居座っていたものがやっと着手できた。 Ruby で WEB開発といえば Ruby on Rails というデファクトスタンダードを筆頭に MVCフレームワークを利用するのが一般的ですが、現状フレームワークを利用しないという選択肢がほとんど無いんですよね。 フレームワークというキーワードを聞くだけで「よく分からない」「プログラマの為のもの」 感覚になってしまう人も多いはずです。 たとえシンプルで軽量といわれている Sinatra ですら。 PH
ついにRFCに登場！Webサーバとの双方向通信を実現する「WebSocket」 - builder
次世代のWebアプリケーションの中核を担う技術として「HTML5」に注目が集まっているが、それと並んで期待されている技術に「WebSocket」がある。 IETFとW3Cによって仕様の策定が進められており、最初の提案以来幾度もの改訂を経て、2011年12月11日にそのプロトコル仕様がRFCのProposed Standard（RFC 6455）となった。 AjaxからComet、そしてWebSocketへ WebSocketはウェブサーバとブラウザが直接コネクションを張って双方向通信するための技術規格である。HTTPとは異なる独自の軽量プロトコルによって通信を行うため、オーバーヘッドが小さく、長時間に渡って通信する場合でもHTTPコネクションを占有する必要がないというメリットがある。 WebSocketが生まれた背景には、サーバとブラウザがもっとリアルタイムに通信して情報の配信や更新を行え
Webアプリケーションに対する広範なDoS攻撃手法(hashdos)の影響と対策
28C3(28th Chaos Communication Congress)において、Effective Denial of Service attacks against web application platforms（Webプラットフォームに対する効果的なサービス妨害攻撃）と題する発表がありました（タイムスケジュール、講演スライド）。 これによると、PHPをはじめとする多くのWebアプリケーション開発プラットフォームに対して、CPU資源を枯渇させるサービス妨害攻撃(DoS攻撃)が可能な手法が見つかったということです。この攻撃は、hashdos と呼ばれています。 概要PHPなど多くの言語では、文字列をキーとする配列（連想配列、ハッシュ）が用意されており、HTTPリクエストのパラメータも連想配列の形で提供されます。PHPの場合、$_GET、$_POSTなどです。 連想配列の実装には
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
Webフレームワークのパフォーマンス比較
総務省、国民が悪性サイトにアクセスしようとしたら注意画面を表示 
VIPPERな俺 : HTML難しすぎワロタｗｗｗｗｗｗｗｗｗｗｗｗ