ロリポップでWordPressの改竄が拡がった理由
ロリポップでの大規模なWordPressサイトの改竄について http://lolipop.jp/info/news/4149/ ロリポップからのリリースでは、管理パスワードとログインへのアクセス制限の強化を推奨して、パーミッションの変更と全体のウイルスチェックを行うとしている。WordPressそのもののアップデートはマニュアルに方法が記載されているものの、リリースでは触れられていない。 このことから、被害が大きくなったのは、ロリポップの提供していたWordPressのインストール手順に問題があり、wp-config.phpなどのファイルのパーミッションが不適切だったためではないかと推察出来る。 いくつかのアカウントだけWordPressの管理パスワードが突破される、というのであれば、世界中でほぼいつでも起こっている。 もし、あるユーザーの管理パスワードが脆弱で推測することが出来てしまう
「Twitterのアカウントが乗っ取られた！パスワードが盗まれたんだ！」←違います - TEXT/YUBASCRIPT
こういう事件が起きるたびに、よく「パスワードを変更したほうがいい」とアドバイスする人がいるのですが、これは対策として間違っています。なぜならTwitterアプリを経由した乗っ取り被害においては、 からです。つまり全くのムダです。（もちろんセキュリティ的には、パスワード自体は定期的に変更すべきですが） 基本的には、このようなアプリを通じてTwitterパスワードを盗むことはかなり無理です。 パスワードを盗むためには、直接Twitterのサーバーに攻撃を仕掛けるとか （以前そんな事件がありましたね）、 Webページを改ざんしてユーザーのキーボード操作をキャプチャするとか （JINSのクレジットカード流出事件がその例） の、相当にエクストリームな技術を必要とします。 「でもアカウントが乗っ取られたってことは、パスワードが盗まれたってことじゃないの？」と思うかもしれませんが、実は「アカウントが乗っ
5分でできるPHPセキュリティ対策 - ぼくはまちちゃん！
こんにちはこんにちは！！ Webプログラミングしてますか！ よく「PHPはセキュリティがダメ」とか言われてるよね。 でもそれって、べつにPHPが悪いんじゃなくて、 たぶん、セキュリティとかが、まだよくわからない人が多いだけなんじゃないかな。 がんばって勉強しようと思っても、なんだか難しい理屈が並んでいたりするしね…。 なので今日は、セキュリティ対策について、 「これだけやっとけば、わりと安全になるよ」ってことを、初心者むけに、大雑把に書いてみます！ 理屈がわからなくても、最初はコピペでも、 なにもやらないより、やったほうがきっとマシになる！ 1. XSS対策 動的なものを表示するとき、全部エスケープすればokです！ (NG) あなたの名前は <?= $name ?> ですね！ ↓ (OK) あなたの名前は <?= htmlspecialchars($name, ENT_QUOTES) ?>
SE・プログラマが知ってると便利な脆弱性チェックツール 5 つ | バシャログ。
東京ラーメンショー2011 いきてーーー！みなさんこんにちは、nakamura です。 今日はプログラマだったりサーバ管理者だったり（もしくはその両方だったり）する方にお勧めしたいサイトとツールをいくつかご紹介します。細かい脆弱性のチェック等どうしても手間が掛かるものが多いですが、今回ご紹介するツールをうまく使うとその辺りだいぶ効率よくできると思いますよ！ WEB アプリケーション関連 XSS Me XSS Me :: Add-ons for Firefox XSS のテストをある程度自動化してくれる Firefox のアドオンです。残念ながら Firefox3.0.* 系の頃に開発が止まってしまっているようですが、僕の環境では install.rdf の書き換えで問題なく動作しています。（Windows7 64bit + Firefox7.0.1） SQL Inject Me SQL I
本当は怖いパスワードの話 ハッシュとソルト、ストレッチングを正しく理解する － ＠IT
PSN侵入の件から始めよう 今年のセキュリティの話題の中でも特に注目されたものとして、4月20日に起こったPSN侵入事件があります。5月1日にソニーが記者会見をネット中継したことから、ゴールデンウィーク中にもかかわらず多くの方がネット中継を視聴し、感想をTwitterに流しました。もちろん、筆者もその1人です。 このときの様子は、「セキュリティクラスタまとめのまとめ」を連載している山本洋介山さんが、Togetterでまとめています。 Togetterのまとめを読むと、漏えいしたパスワードがどのように保護されていたかが非常に注目されていることが分かります。Togetterのタイムラインで、14:48ごろにいったん「パスワードは平文保存されていた」と発表されると、「そんな馬鹿な」という、呆れたり、驚いたりのつぶやきが非常に多数流れます。 しかし、15:03ごろに「パスワードは暗号化されてなかっ
忘れたパスワードを問い合わせられるシステムなんて作っちゃいけない | 初代編集長ブログ―安田英久
今日は、ちょっとしたシステム構築を発注するときに重要なポイントとなる、顧客情報管理の話題を。テーマは「お客さんのパスワードをどう保存するか」です。 御社には、たとえばECサイトの会員や顧客向けSNSなどの、お客さんがユーザー登録をしてパスワードでログインするようなシステムがありますか？ あるとしたら、そのシステム内で、お客さんそれぞれのパスワードはどんな風に管理されているか把握していますか？ または、システム構築の発注時に、どんな風にパスワードを管理するような仕様にしましたか？ クレジットカード情報や個人情報の管理には注意していても、パスワードの保存方法は、あまり気にしていないのではないでしょうか。しかし、それではまずいのです。システム構築時に正しい仕様で発注しないと、何かセキュリティ問題が発生したときに、思いがけぬ大きな範囲に影響する問題になってしまいかねないのです。 結論からいうと、お
PDFにまつわるセキュリティの問題とは？ (1/2)
本稿執筆時、あの東日本大震災からちょうど3カ月が経過しました。震災がもたらした被害は何よりも被災地の皆様の生活に多大なる影響を与え、いまなお復旧に向けて戦っていらっしゃいます。筆者個人としても、会社としても一日も早い復興に向けて応援するとともに、つねにできうる支援をしてまいりたいと考えております。 東日本大震災では、東京電力の福島第一原子力発電所の事故による農作物や海産物、酪農に関する出荷制限と風評被害が発生し、この夏の節電の問題等も連日報道されています。一方で、情報処理推進機構（IPA）や各セキュリティベンダーからたくさんのブログ記事などがポストされた通り、災害情報や被曝情報、計画停電に関する情報を装ったウイルスを含む日本語のメールが飛び交うなど、IT業界や企業システムにも大きな影響が出ました。 エフセキュアでは、このウイルスメールの解析を行ないました。すると、攻撃の多くは特定のユーザー
本当は怖い文字コードの話 記事一覧 | gihyo.jp
運営元のロゴ Copyright © 2007-2024 All Rights Reserved by Gijutsu-Hyoron Co., Ltd. ページ内容の全部あるいは一部を無断で利用することを禁止します。個別にライセンスが設定されている記事等はそのライセンスに従います。
aguse.jp: ウェブ調査
あやしいサイトや知らないサイトを訪れる前に、URLを入力するだけでサイト背景情報を調査したり、迷惑メールの送付経路を表示したりすることが出来ます。
aguse Gateway
ウェブ メール ゲートウェイ バーを固定(F2) リンク表示 文字表示 フォーム表示 ウィルス検知 最長 分待つ ダウンロード お知らせ よくある質問 使い方 aguseについて お問い合わせ
ログインしてください：日経クロステック（xTECH）
会員限定サービスです 有料会員（月額プラン）は初月無料！ お申し込み 会員の方はこちら ログイン 日経クロステック TOPページ
エフセキュアブログ : ガンブラー対策「.htaccess」にも注意！
ガンブラー対策「.htaccess」にも注意！ 2010年03月01日13:00 ツイート hiroki_iwai オフィシャルコメント by：岩井 博樹 お隣の１１９チームのSEKI隊員の呟きによると、、、 新型ガンブラーに攻撃されたサイトを複数確認したようです。 具体的には、FTPのアカウント情報を盗用され、「.htaccess」ファイルをアップロードされます。 どうやら、JavaScript以外でのリダイレクトの方法に切り替えてきている模様。（現在、詳細確認中・・・） ウェブサイト管理者様は、ウェブコンテンツ以外にサーバー等の設定ファイルの確認もしておいた方が良さそうです。 アップロードされた .htaccess の内容 ----- # HostRule RewriteEngine On RewriteCond %{HTTP_REFERER} .*google.*$ [NC,OR
ログインしてください：日経クロステック（xTECH）
会員限定サービスです 会員の方はこちら ログイン 有料会員（月額プラン）は初月無料！ お申し込み 日経クロステック TOPページ
無料でPCセキュリティ対策、ガンブラー対策とFTP関係の総まとめ - 三等兵
ガンブラーの話題を機にセキュリティ見直しました。いろいろ試したのでまとめておきます。と軽い気持ちでやってたらあれこれ付け加わって大変面倒なことになって、アホみたいに長くなった。分けようと思いましたが、もういいや。 概要は、大きなものが３つ。PCのセキュリティ（アンチウィルスソフト、ファイアウォール等）、ガンブラー対策と情報、FTPセキュリティ、に関することです。 情報がまとまっている人は、クソ長い文章読まなくてここだけみとけばいいかと。 セキュリティ | So-net (ソネット) メジャーなFTPクライアントはほぼ全滅ですが、PCのセキュリティをしっかりして感染さえしなければまず抜き取られることはないのでPC死守。 連日、サイト改ざんの報告があります。 セキュリティ | So-net (ソネット) 以下長いコンテンツ。こうした方がいいよお前それだめだろお前とかそりゃ貸しビル最高だろお前と
にょろぷにらん | FFFTPパスワード漏れ対処版作ってみた
えーっと，すいません．さくらのレンタルサーバでアクセスログONにしていたことを忘れてディスクが容量不足になって肝心の記事が消えました．(最後にコメント入れてくれた人，消えちゃいました．ごめんなさい) FFFTPの対策パッチです． その前に，FFFTPを入れているだけで危ないと誤解している人がいるようなので ライフハッカーのFFFTPに関する誤報 この文章を普通に読めば、ffftpには「マルウェア感染する」と「ID・パスワード・ホスト先の情報を抜かれる」の2つの危険性がある多くの人が思うことだろう。「および」でつながっているのだから当然だ。つまりffftpを使っているとマルウェアに感染するのだ、と。 しかしこれは間違いであり、それもかなり初歩的な間違い、日本語の言い回しの解釈の間違いなのだ。 あと，何となく怖いからやっぱり乗り換えようと思っている人は，こちらも 10 FTP Clients
8080（Gumblar）はFFFTPも狙うのだそうです。 — (n)
life is penetration. geeks cheer. geeks be ambitious.仕事始めから間も無くして世間を騒がせている。そんな、Gumblar(便宜上こう呼びます)。 情報が出尽くしてきた感もあったのですが ここにきてFFFTPは危ないよーという話題がでてきているようです。 危ないと言われている理由は 「暗号化されたパスワードがシステム内に保存されてしまっている。」 ということだそうです。 日本中が、少しずつ出てくる情報に振り回されている感が満載なので ボクも振り回されてみることにしました。 というわけで「FFFTP」をインストールしてどのようにパスワードが保存されているのか。 どうすればシステム内から消えるのかという確認をしてみました。 # ボクの自宅の環境下で手前味噌な検証なので # みなさんの環境でも同じかどうかの確証はないです。す
FTPソフトに加えIE6では「オートコンプリート」のアカウント情報も流出 JPCERT/CCがGumblarによる情報流出に注意喚起 − ＠IT
2010/02/03 JPCERT/CCは2月3日、いわゆる「Gumblar（8080系）」ウイルスへの感染によって、コンピュータ内に保存されているアカウント情報が盗み取られる危険性について、改めて注意を促した。Gumblarに感染すると、FTPクライアントソフトが保存する情報に加え、Internet Explorer 6のアカウント管理機能を用いて保存されているID／パスワード情報も、盗み取られる危険にさらされる。つまり、GmailやTwitterなど、さまざまなWebサービスを利用するためのアカウント情報が盗み取られる恐れがあるということだ。 Gumblarは、脆弱性のあるPCを攻撃して侵入するマルウェアだ。既存のWebサイトを改ざんし、見た目は変わりなくともバックエンドで悪意あるサイトに誘導して感染させるため、ユーザーがそれと気付くのは難しい。いったん侵入すると、次々に新しいマルウェ
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
PHPでセキュリティを真面目に考える
So-net セキュリティ通信
Good night, Posterous