WEBプログラマー必見！WEB脆弱性基礎知識最速マスター - 燈明日記
以下は、WEBプログラマー用のWEB脆弱性の基礎知識の一覧です。 WEBプログラマーの人はこれを読めばWEB脆弱性の基礎をマスターしてWEBプログラムを書くことができるようになっているかもです。 また、WEB脆弱性の簡易リファレンスとしても少し利用できるかもしれません。 WEBアプリケーションを開発するには、開発要件書やプログラム仕様書通りに開発すれば良いというわけにはいきません。 そう、WEB脆弱性を狙う悪意のユーザにも対処しないといけないのです。 今回、WEBアプリケーションを開発にあたってのWEB脆弱性を、以下の一覧にまとめてみました。 このまとめがWEBアプリケーション開発の参考になれば幸いです。 インジェクション クロスサイト・スクリプティング セッション・ハイジャック アクセス制御や認可制御の欠落 ディレクトリ・トラバーサル(Directory Traversal) CSRF（
» セキュアなサーバを作るために最低限やっておくこと: エスキュービズム ラボ Blog
Recent Entries セキュアなサーバを作るために最低限やっておくこと Yahooキーワード抽出APIライブラリ テスト駆動開発 （test driven development: TDD） のすすめ GoogleAnalyticsAPI on EC-CUBE 土日で作るコンパイラ OPEN ERPに挑戦３ OPEN ERPに挑戦２ OPEN ERPに挑戦 ERPはたくさんあれど・・・ OpenGLで3D、やってみよう Recent Comments No Responses. Recent Trackbacks テスト駆動開発 （test driven development: TDD） のすすめ 06/11 » Yahooキーワード抽出... みなさんはサーバを管理するときに、何を一番気にしますか？ 人によって程度の差はあるのでしょうが、誰もが気になるのが「セキュリティ」でしょ
Kismetパケットスニッファ入門 | OSDN Magazine
ネットワークセキュリティの専門家にとって欠かせないオープンソースツールの数は増え続けているが、 Kismet もその一つだ。Kismetは「ワイヤレスネットワーク検出/スニッファ/侵入検知システム」で、Windows、Mac OS X、BSDなどPOSIX互換のどのプラットフォームでも利用可能だが、RFMON（モニタモード）対応ドライバの数がもっとも多く存在することからLinuxでの利用が推奨されている。 モニタモードを利用すれば、現在自分が（APを使用している場合には）使用中のAP（アクセスポイント）だけでなくKismetが監視可能なあらゆるパケットの調査が可能になるため、Kismetをフル活用するためにはモニタモードの利用が不可欠だ。またモニタモードでは形跡をまったく残さずにパケットを受動的に傍受/収集することが可能だが、そのことは警察やスパイや悪意あるハッカーにとってとほぼ同じくらい
第11回 スクリプトインジェクションを防ぐ10のTips | gihyo.jp
前回はスクリプトインジェクションがなくならない理由を紹介しました。それをふまえて今回はスクリプトインジェクションを防ぐ10のTipsを紹介します。 デフォルト文字エンコーディングを指定 php.iniには、PHPが生成した出力の文字エンコーディングをHTTPヘッダで指定するdefault_charsetオプションがあります。文字エンコーディングは必ずHTTPヘッダレベルで指定しなければなりません。しかし、デフォルト設定ではdefault_charsetが空の状態で、アプリケーションで設定しなければ、HTTPヘッダでは文字エンコーディングが指定されない状態になります。 HTTPヘッダで文字エンコーディングを指定しない場合、スクリプトインジェクションに脆弱になる場合あるので、default_charsetには“UTF-8”を指定することをお勧めします。サイトによってはSJIS、EUC-JP
MOONGIFT: » SQLインジェクションを防ぐプロキシ「GreenSQL」:オープンソースを毎日紹介
※ 画像は公式サイトデモより。 DBを使ったWebアプリケーションが当たり前になり、その重要性は増す一方だ。万一、データが消失するような事態になったら、ビジネスに与える影響は計り知れない。 SQLインジェクションはDBに対する攻撃の一つだ。システムにバグがなければ良いが、それは起こってみてからしか分からない。予防措置をしいておこう。 今回紹介するオープンソース・ソフトウェアはGreenSQL、SQLインジェクションを防ぐDB用ファイアウォールだ。 GreenSQLはDBとWebサーバとのプロキシとして動作する。そして、その間で行われるSQL文を監視し、問題があるSQLを予め弾いてくれる。 対応しているDBはMySQLのみになる。ただ防ぐだけではなく、危ないものに対してはウォーニングログを残しておいてくれる。ログをチェックする事で、Webアプリケーションの強化も実施できる。 セキュリティ対策
LinuxカーネルのIPフィルタを動的制御，DITが不正アクセス防御ルールセットを無償配布
UNIXとインターネットに強いSIベンダーのディアイティは，ネットワーク経由での遠隔ログインによって，ログインIDのパスワード総当たり攻撃からサーバー機を守るためのツール「ブルートフォース防御ルールセット」を，8月31日から無償でダウンロード配布する。パスワード総当たり攻撃の検知をトリガーに，攻撃者からのネットワーク・アクセスを動的に遮断する。 ブルートフォース防御ルールセットは，パスワード総当り方式で遠隔ログインを試みる攻撃に対し，ファイアウォール機能によってアクセスを遮断することで対抗するためのツールである。具体的には，ファイアウォール機能として，Linuxのカーネルに組み込んだIPアドレスによるフィルタ機能を用いる。IPフィルタの動作ルールは，ルールセットと呼ぶ外部設定ファイルによって動的に指示する。 これにより，遠隔ログイン時のパスワード総当り攻撃という不正アクセスの検知をトリガー
フリーソフトまとめ(1)・セキュリティ(2007夏版) - 萌え理論ブログ
説明 情報流出がニュースになる昨今、セキュリティ対策は必須だと言えましょう。セキュリティソフトが全くない、ノーガードのPCをネットにつなげば、確実にウィルスに汚染します。以下では無料のセキュリティソフトを紹介しました。 マイクロソフト まずはWindowsの公式セキュリティから。対策がないよりましですが、必要最低限の機能だけでは心細いので、他のソフトも併用しましょう。 Windows セキュリティ センター 「Windows XP Service Pack 2」を導入するとついてくる。 Windows Defender 無償で配布されているアンチスパイウェア。 無料で利用できるコンピュータの安全なスキャン 「Windows Live OneCare PC セーフティ」が利用できる。 悪意のあるソフトウェアの削除ツール 「Malicious Software Removal Tool」という
Geekなぺーじ：ファイアウォールに関する10の勘違い
「Top 10 Firewall Myths」という記事がありました。 面白かったので要約してみました。 かなり削っているのと誤訳がある可能性があるので詳細は原文をご覧下さい。 1. ファイアウォールがあるから大丈夫だ 多くの企業はファイアウォールを設置しただけでセキュアになったと感じてしまっています。 これにより「我々にはセキュリティリスクは無い」という危険な発想に陥ってしまいがちです。 ファイアウォールは重要です。 しかし、ファイアウォールはそれを設置したネットワークしか守ってくれません。 また、設定された範囲内の項目でのみ守ってくれます。 多くの人々はファイアウォールがウィルス、迷惑メール、クラッカー(普及呼称はハッカー)から守ってくれると思っています。 もちろん、この考えは正しくありません。 2. ファイアウォールはウィルスから守ってくれる いくつかのSOHOファイアウォールにはウ
オンラインで安全なパスワードを生成できる『SafePasswd』:phpspot開発日誌
SafePasswd - Generate Secure Passwords オンラインで安全なパスワードを生成できる『SafePasswd』。 パスワードのタイプ(使う文字の種類)とパスワードを長さを指定して「New Password」ボタンでパスワード生成。 パスワードと共に、パスワードの安全度も表示されます。 安全なパスワードを生成したい時に便利ですね。 関連サイト htpasswd作成ツール
sta la sta - たった1行のJavaScriptコードでInternet Explorerをクラッシュさせる方法
注意！ IEを使用中の方は、リンク先の記事内にクラッシュコードのあるサンプルページへのリンクがあるので、クリックしないようにくれぐれもお気をつけ下さい！ 「you can find the code here」の「here」にあります。クラッシュをテストしたい方は別ですが。 http://www.modernlifeisrubbish.co.uk/how-to-crash-internet-explorer.asp 普段、ネットサーフィンでIEを使用している方にとっては、あまり嬉しくない話だろう。 こちらの記事の方がIEとFireFoxの両方で動作するJavaScriptコードを書く仕事をしている最中に、偶然にも、IEをクラッシュさせるコードを見つけてしまったそうな。 そのコードは複雑怪奇なものではなく、以下のようなたった1行のコードのようだ。 記事内に、上記コードを仕組んだサンプルページ
PHPで安全なセッション管理を実現する方法
_ 残り容量が数十Mバイトになっていた PCがなんかくそ遅いなーと思ってふと空きディスク容量をみたら、残り数十Mバイトまで減っていた。Folder Size for Windowsで各ディレクトリ単位のディスク使用量をながめてみたところ、 Thunderbirdでimapでアクセスしているアカウントのデータフォルダに、なぜか1GバイトオーバーのINBOXファイルがあった。なにこれ？ 削除したけど別に動作には支障はなし。 puttyのlogが無限に追記されたよ……。数Gバイト。 昔ダウンロードしたCD/DVD-ROMのisoイメージファイルが、そこかしこに消されず残ってたよ。10Gバイトオーバー。 あと、細かいテンポラリディレクトリの中身とか消したら、30Gバイトくらい空いた。そこまでやって久しぶりにデフラグを起動したら、表示が真っ赤（ほとんど全部断片化されている）だったので、最適化実行中。
【PHPカンファレンス2006】PHPで書かれた実際のアプリケーションに潜む危険なコード
「（PHPで書かれたアプリケーションには）アバウトなコードが多い」。エレクトロニック・サービス・イニシアチブの大垣靖男社長は，2006年8月19日に開催されたPHP関連イベント「PHPカンファレンス2006」の講演「危険なコード」で，PHPで書かれたアプリケーションに存在する危険なコードを指摘した。講演の中では，実際に存在するアプリケーションの名前を出し，そのソースコードからセキュリティ上危険な個所を挙げていった。「安全なコードを書くには悪い例も知っておかなければならない」というのが同氏の主張である。 大垣氏はまず，「セキュリティのリスクはサブシステムとの境界の部分で発生する」と指摘した。サブシステムとは，データベース，メール・システム，ユーザーのWebブラウザといった外部のシステムのこと。「境界で入力時にきちんとバリデーション，出力時にきちんとエスケープ処理（フィルタリング）を行えば，か
米IBM，開発者向けセキュリティ・ツールを無償提供
米IBMは米国時間6月22日，開発者向けに2種類のセキュリティ・ツールを無償で提供することを発表した。ツールは，データの自動暗号化とJavaアプリケーションのセキュリティを強化するもの。同社Webサイト「alphaWorks」からダウンロードできる。 無償提供されるのは，「IBM Secure Shell Library for Java」と「Security Workbench Development Environment for Java（SWORD4J）」。IBM Secure Shell Library for Javaは，ファイルに保存されたパスワードや情報を含め，コンピュータ間でやり取りされるデータを自動的に暗号化するもの。同ツールにより，企業はサーバー間で大量のデータを安全に転送できる，と同社は説明している。 SWORD4Jは，Javaアプリケーションのセキュリティ強化を支
【レビュー】手軽にないしょのフォルダを実現 - Microsoft Private Folder (MYCOMジャーナル)
Microsoft Private Folder。ロックされた状態(左)とアンロックされた状態(右)のMy Private Folder Microsoftが提供する「Microsoft Private Folder 1.0」(以下、MPF)は、大切なファイルをパスワードにより保護するアドインツール。セキュリティ機能として見たときの目新しさは少ないものの、自分だけの"ないしょのフォルダ"を安全に、しかも手軽に維持管理できるという点では、他に類を見ないものだ。このたび「Windows Genuine Advantage Special Offers」として無償配布が開始されたこのツール、早速レポートしてみよう。 ありそうでなかった"ないしょのフォルダ" Windows NTの系譜に連なるWindowsには、ファイル/フォルダ単位でアクセス権を設定可能なファイルシステム「NTFS」が採用されて
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
http://cgi36.plala.or.jp/tera5/v/security/webap_sec2/chap01.html
連載：なぜPHPアプリにセキュリティホールが多いのか?｜gihyo.jp
http://eside.homeip.net/columns/non-admin.html
A. WEBプログラマコース
サイトの危険度を赤・黄・青で示すツールバー「SiteAdvisor」が日本語対応
Webアプリケーション脆弱性チェックツール:Chorizo:phpspot開発日誌