PHP と Web アプリケーションのセキュリティについてのメモ
このページについての説明・注意など PHP は、Apache モジュールや、CGI、コマンドラインとして使用できるスクリプト言語です。このページでは、主に PHP における、Web アプリケーションのセキュリティ問題についてまとめています。 Web アプリケーションのセキュリティ問題としては、以下の問題についてよく取り挙げられていると思いますが、これらのセキュリティ問題について調べたことや、これら以外でも、PHP に関連しているセキュリティ問題について知っていることについてメモしておきます。 クロスサイトスクリプティング SQL インジェクション パス・トラバーサル(ディレクトリ・トラバーサル) セッションハイジャック コマンドインジェクション また、PHP マニュアル : セキュリティや、PHP Security Guide (PHP Security Consortium) には、PH
OISF | Community Driven, Open Source
The Open Information Security Foundation is a 501(c)3 nonprofit organization created to build community and to support open source security technologies like Suricata, the world-class IDS/IPS network monitoring engine. The Open Information Security Foundation (OISF) is dedicated to preserving the integrity of open source security technologies and the communities that keep them thriving. Our team a
高木浩光＠自宅の日記 - 日本のインターネットが終了する日
■ 日本のインターネットが終了する日 （注記：この日記は、6月8日に書き始めたのをようやく書き上げたものである。そのため、考察は基本的に6月8日の時点でのものであり、その後明らかになったことについては脚注でいくつか補足した。） 終わりの始まり 今年3月31日、NTTドコモのiモードが、契約者固有ID（個体識別番号）を全てのWebサーバに確認なしに自動通知するようになった*1。このことは施行1か月前にNTTドコモから予告されていた。 重要なお知らせ:『iモードID』の提供開始について, NTTドコモ, 2008年2月28日 ドコモは、お客様の利便性・満足の向上と、「iモード(R)」対応サイトの機能拡充を図るため、iモード上で閲覧可能な全てのサイトへの提供を可能としたユーザID『iモードID』（以下、iモードID）機能を提供いたします。 （略） ■お客様ご利用上の注意 ・iモードID通知設定は
opensc-project.org
The Future of Google: Emerging Technologies and Innovations Google has long been at the forefront of innovation in the tech industry, and the company shows no signs of slowing down. From artificial intelligence and machine learning to quantum computing and virtual and augmented reality, Google is constantly exploring new technologies that could reshape the way we live, work, and interact with tech
0x000000 Hacking & Security
is a totally awesome idea still being worked on. Check back later.
pageant.exe の仕組みと危険性 - てっく煮ブログ
PuTTY で SSH2 接続するとき、毎回パスフレーズを入力するのがめんどくさいという理由で pageant を常時起動してる人も多いのでは。そんな pageant の仕組みと、使っていく上でのリスクが気になったので、ちょっくらソースを読んでみた。プロセス間通信の仕組みPuTTY や WinSCP3 など、pageant を利用するアプリケーションは、何らかの方法で pageant と通信しているはずだ。この通信処理を実装しているのが winpgntc.c であり、PuTTY も WinSCP3 もソースコードに winpgntc.c を含んでいる。リクエスト側細かくなるけど、PuTTY や WinSCP3 がリクエストするときの手順は次のようになっている。pageant の（非表示になっている）ウインドウを FindWindow 関数で探し出す。CreateFileMapping 関数
UTF-7 XSS Cheat Sheet
Countermeasures against XSS with UTF-7 are: Specify charset clearly (HTTP header is recommended) Don't place the text attacker can control before <meta> Specify recognizable charset name by browser. For more information about UTF-7 trick, see "Cross-site scripthing with UTF-7". These XSS patterns are tested on IE6 and IE7. Yosuke HASEGAWA <hasegawa@openmya.hacker.jp> Last modified: 2008-01
Ruby on Rails Security Cheatsheet - Ruby on Rails Security Project
I’m back from the Rails Conference Europe in Berlin. I realize that a 45 minute talk is hardly enough to tell everything which is important to say about Rails security. Moreover, you will never get the level right in a talk about security (or generally): There are Rails newbies, everyday-programmers and even security experts. Anyway, I was referring to this web site quite often as I wanted to prov
yohgaki\'s blog - iptables：間違ったDoS対策
エレクトロニック・サービス・イニシアチブのWebシステムのコンサルタントのブログです。Webシステムを対象としたセキュアコーディング／セキュアプログラミング、SAMM、ソースコード検査、Webシステム開発、パフォーマンスチューニングの技術支援、コンサルティング、セミナー開催、書籍などの執筆、PROVE for PHPの開発、PHP4.x/5.xレガシーPHPセキュリティパッチサービスなどを行っています。 ブログのサブタイトルを「書かない日記」としているのは、ブログを始めた時にあまり書かないつもりで始めたのでこのサブタイトルになっています。 氏名：大垣 靖男 私が記述したブログ中のコードは記載が無い場合はMITライセンスです。その他のコードは参考リンクなどのライセンス情報を参照ください。 ご依頼・ご相談は info@es-i.jp まで。
BastilleでLinuxシステムのセキュリティ設定を強化する | OSDN Magazine
システム管理者は、各自が担当するシステムに充分なセキュリティ設定を施す必要があるが、あまりに制限を厳しくするとシステムの実用性を損なうことになってしまう。そして本稿で紹介するBastilleは、Linuxシステムについてのセキュリティ設定を簡単化するためのツールである。実際このソフトウェアを実行すると、各種ロックダウン用のオプションが提示されるので、ユーザは各自のセキュリティ要件に応じて必要なものを選択すればいい。つまり、Linuxシステムのセキュリティを強化する際には多種多様なオプション設定をする必要があるのだが、このツールではそうした設定変更用の諸機能が1つのパッケージにまとめられているのである。 Bastilleの実体は一連のPerlスクリプト群であるが、その実行時には、システムセキュリティの強化設定プロセスをインタラクティブに行う1つのプログラムとして動作するようになっている。スク
ここギコ！: 携帯サイトで位置情報の詐称を許さない方法
Web2.0ワークショップで紹介したように、様々なケータイやPHSでユーザの現在位置が取れるようになってきていて、それを使っていろいろアプリケーションが作れるようになってきている。 その中には、実用アプリだけでなく、私も前管理人をしていたアンテナ奪取や、ケータイ国盗り合戦、Ittemiaのようなエンタメアプリも考えられるわけですが、その際に問題になってくるのが「現在位置の詐称」問題です。 ケータイ、PHSでの位置取得は、SoftBank簡易位置情報のようにHTTPヘッダ、DoCoMoのiエリアのようにPOST等で返ってくる場合もありますが、多くの場合、GETのクエリストリングとして返ってきます。 なので、一旦URLを得てしまえば、クエリストリング中の経緯度を書き換えさえすれば、簡単に詐称できてしまうのです。 実用アプリならば、飽くまで位置情報はユーザの調べる位置を現在位置とするため
Just Racing | Horse, Greyhound and Harness Racing News, Tips and Bets
*Palmerbet 2nd Racing bet. Excl NSW & WA. T&C’s apply.
Windows XP(SP2) / 2003(SP1) / Vista / 2008 / 7 Ultimate / 8 ProfessionalでDEPの状態を確認するコマンド - Eiji James Yoshidaの記録
DEP関連を調べているときに「あれ？今はDEPが有効だっけ？無効だっけ？」と悩むことが多いので"Living Through Another Cuba(XTC)"を聴きながら調べてみた。 How to determine that hardware DEP is available and configured on your computer(support.microsoft.com) プロセッサがDEPに対応しているか確認する方法 [コマンド プロンプト]を起動する。 "wmic OS get DataExecutionPrevention_Available"と入力してEnterキーを押す。（入力する際に「"」は不要） "TRUE"と表示されれば対応、"FALSE"と表示されれば非対応。 起動中のOSでDEPが有効か確認する方法 [コマンド プロンプト]を起動する。 "wmic O
SSH パスワード認証に対する総当たり攻撃への対抗ツール
SSH のパスワード認証に対する総当たり攻撃 (辞書攻撃) への対応については付録 G にあるとおりなのですが、この中で パスワード認証の無効化 ポート番号の変更 についてはできかねる、という場合も多々あろうかと思います。また最近は、キーボードを用いた対話的な認証に対しても攻撃が行われています。 そのような場合には、パケットフィルタなどと組みあわせて、複数回ログインに失敗した場合にはアクセスを禁止する、ようにすると効果的です。 このためのツールが複数存在します。 Block brute force password attempts via SSH。 Advanced Policy Firewall が必要です。 BlockHosts。tcp_wrapper に対応した SSH が必要です。 BlockSSHD。 Linux と BSD に対応しています。BSD の場合は FreeBSD
無料でデジタル証明書を取得する - @IT
プログラムや重要な業務メールなどは、その出所を証明するためにデジタル証明書を付加している場合が多い。メーラの多くは、証明書のツリーをルート証明書までたどり、問題のないデジタル署名がなされているかチェックしている。 ファイルやメールの出所の確実性を保証するデジタル証明書だが、個人で利用するには、取得するための費用や手間の問題で、なかなか利用に踏み切れない場合が多いだろう。デジタル証明書が必要だがコスト面で導入できない、あるいはデジタル証明書の利用テストを行いたいというなら、個人向けのデジタル証明書を無料で発行してくれる認証局を利用すればよい。 Thawte Inc.[英語] Thawte Inc.は、デジタル証明書のプロファイルに一部制限があるものの、メール(S/MIME)に無料で利用できる「Personal E-mail Certificates」を提供している。Thawte Inc.の認
仕様から学ぶOpenIDのキホン － ＠IT
にわかに注目を集めている、URLをIDとして利用する認証プロトコル、OpenID。本連載ではこのプロトコルの仕組みを技術的に解説するとともに、OpenIDが今後どのように活用されていくのかを紹介する（編集部） OpenIDってなんだろう？ 現在、国内外でにわかに注目されつつあるOpenIDという仕組みを聞いたことがあるでしょうか？ これはユーザー中心の分散ID認証システムですが、まだ日本での普及は進んでいない状況です。 これにはいくつか原因が挙げられるでしょうが、筆者はOpenIDが正しく理解されていないことが原因だと考えます。 本連載ではOpenIDの現行仕様、およびその拡張仕様とともに、実装を例に取りつつOpenIDとは何かということを明らかにしていきます。最終的にはOpenIDが切り開く未来を見るため、現在策定中の次期仕様についても触れていきたいと思います。 広がりつつあるブラウザベ
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
https://www.powerfuzzer.com/
Troubleshoot LDAP over SSL connection problems - Windows Server
自分監視用ツール - $ dropdb 人生
http://www.codeandcoffee.com/2007/06/27/how-to-make-a-password-strength-meter-like-google/