OWASPが公開している”セキュアではない”Webアプリ「OWASP Juice Shop」を試してみる | DevelopersIO
森永です。 セキュリティ製品の検証などで脆弱性のあるWebアプリが欲しいということがあります。自分で作るのもいいのですが、手軽に使える"セキュアではない"Webアプリがないかを探してみました。Webアプリのセキュリティに関するコミュニティであるOWASP(Open Web Application Security Project)が「OWASP Juice Shop」という脆弱性のあるWebアプリを公開していたので試してみます。 OWASP Juice Shopとは OWASP(Open Web Application Security Project)が公開しているWebアプリです。OWASPはインパクトのある脆弱性をOWASP Top 10として発表しており、その脆弱性をふんだんに盛り込んだものとなっています。これを使ってセキュリティの検証をしたり、ハードニングのトレーニングをすること
JVNVU#98641178: Ghostscript に任意のコードが実行可能な脆弱性
Ghostscript に含まれる .rsdparams には、type confusion の問題があります。細工された .eps ファイルを処理することで -dSAFER オプションが回避され、結果として任意のコードを実行される可能性があります。 なお、本脆弱性を使用した攻撃活動が確認されているとのことです。
FuelPHP » Security Advisories
Reported or discovered security issues. Did you discover one? Use the contact form to report it, so it can be addressed. SEC-CORE-009: Unzip vulnerable to slip-zip attack When extracting a ZIP file using the Unzip class, a prepared zip file could overwrite arbitrary files as the basedir wasn't enforced. All released versions starting with 1.0 are affected. The issue is addressed in release v1.8.1.
Web改ざん | トレンドマイクロ
攻撃者がWebサイトを改ざんする際の攻撃手法としては、以下の2種類があります 脆弱性攻撃による改ざん： Webサーバ上の脆弱性を攻撃することにより、最終的に改ざんを実現します 脆弱性の利用方法として、SQLインジェクション、Stored XSS、などの脆弱性攻撃により直接コンテンツの改ざんを行う方法と、脆弱性攻撃によりバックドアを設置するなどして遠隔操作で改ざんを行う方法の２つがあります 主に、サーバOS、Webサーバ、CMS、管理ツールなどのミドルウェアの脆弱性が狙われます 管理用アカウントの乗っ取りによる改ざん： Webサーバにリモートアクセス可能な管理用アカウントの情報を窃取して乗っ取り、正規の方法でWebサイト操作を行って改ざんします 正規のWebサイト操作方法により改ざんが行われるため、被害に気づきにくい特徴があります 攻撃者の目的により、Web改ざんによる被害も異なります We
JVN#94791545: FuelPHP において任意のコードが実行される脆弱性
FuelPHP は、ウェブアプリケーションを作成するためのフレームワークです。FuelPHP には、Request_Curl クラスの処理に問題があり、任意のコードが実行される脆弱性が存在します。 フレームワークを最新版に更新し、アプリケーションが Request_Curl クラスを使用している場合は対応する 開発者が提供する情報をもとにフレームワークを最新版に更新してください。 更新後、アプリケーション内で Request_Curl クラスを使用しているか確認し、当該クラスを使用している場合は、下記について確認してください。 cURL 呼び出しに対するレスポンスが信用できる場合 autofomatting を有効にすることが可能です。cURL 呼び出しに対するレスポンスが信用できない場合 リクエストを実行した直後にレスポンスを確認するコードを追加する必要があります。確認後、auto fo
あなたのAWSセキュリティ監査状況を採点〜CISベンチマークを読んでみた | DevelopersIO
この記事では、組織のセキュリティを評価して改善するのに役立つCISベンチマークの概要説明と、実際のベンチマークを利用したAWS環境の具体的なチェック項目について、ご紹介します。 西澤です。先日、CIS(Center for Internet Security)よりCIS AWS Foundation Benchmarkが発表されました。CISは、セキュリティの促進を目的とした米国の非営利団体で、専門家により精査されたセキュリティ基準を公開してくれています。今回、公開されたドキュメントを読み解くことで、AWSを利用する上で必要となるセキュリティ設定について理解を深めることができればと目を通してみることにしました。 AWS Security Blog | Security and Compliance in the AWS Cloud CISベンチマークとは？ CISとは下記のような非営利団体
OWASP Testing Guide からはじめよう - セキュリティ診断技術の共有、そして横展開
12. LIMIT 1 UNION ALL SELECT User, Password FROM mysql.user; 診断で困ってます。MySQLの複数行クエリ無効時に 以下のLIMIT句でSQLインジェクションは可能ですか？ SELECT title, content FROM posts ORDER BY date DESC LIMIT $INJECTION; それなら、普通に UNION が使えませんか？ 13. それが、直前に ORDER BY があるので UNION は使えないんです。 LIMIT 1 PROCEDURE ANALYZE (ExtractValue(1,concat(0x2c,user())),1) ; だったら、PROCEDURE ANALYZEはどうでしょう？ で、できました！ありがとうございます！
ビッグデータツールチェインのセキュリティはビッグリスク、あるいは、誰もHadoopをスクラッチからビルドする方法を知らない件について
ビッグデータツールチェインのセキュリティはビッグリスク、あるいは、誰もHadoopをスクラッチからビルドする方法を知らない件について The sad state of sysadmin in the age of containers コンテナー時代のシステム管理者の惨状 システム管理は惨劇に見舞われている。現状は悲惨だ。 筆者は昔気質のシステム管理者に不満はない。システムの稼働を維持し、アップデートし、アップグレードする方法を知っている者達だ。 この憤りは、コンテナーと構築済みVMと、それらがもたらす、「信頼」や「アップグレード」の欠如による悲惨な惨劇に対するものだ。 例えば、Hadoopを見てみろ。誰もHadoopをスクラッチからビルドする方法を知っているようには見えないぞ。依存性とバージョンとビルドツールが悲惨なほどに絡まりあっている。 この手のイケてるツールの中で、古典的なmake
米Yahooがパスワードを廃止！「Yahoo Account Key」を発表 - iPhone Mania
Yahooは現地時間15日、パスワードの代わりにプッシュ通知で受け取ったコードを利用して、携帯端末からYahooアカウントにサインインできる「Yahoo Account Key」を発表しました。 パスワードはもういらない Yahooは今年初め、「オンデマンドパスワード」を導入、パスワードを記憶しなくても、SMSコードを使ってYahooアカウントにサインインできるようにしました。 新しい「Yahoo Account Key」はこれをさらに一歩進めたもので、プッシュ通知で受け取ったコードを利用して、携帯端末から自分のYahooアカウントにアクセスできるというものです。 携帯で受け取ったAccount Keyだけでサインイン Yahoo Account KeyはAppleが採用している2ファクタ認証と似ています。ただし2ファクタ認証がパスワード入力をメインとし、認証コードをサブとしているのに対し
お宅の車、キーレスですか？ あ、そうですか…。（ヤバいよ、簡単にロック解除できちゃうよ）
お宅の車、キーレスですか？ あ、そうですか…。（ヤバいよ、簡単にロック解除できちゃうよ）2015.08.12 22:0011,068 SHIORI ちなみに、車種はどちらですか？ これを聞いてしまったらきっとあなたは、今すぐドアに鍵をかけて、大切な物を隠して、もう家から一歩も出たくないと思うようになるかもしれません。どんなセキュリティーも打破してしまうことで有名なセキュリティー研究者兼ハッカーのSamyKamkar氏が、キーレスの車やガレージのドアのロック解除コードを傍受できるというなんとも恐ろしいデバイスを開発してしまいました。しかもその費用はたった32ドル（約4,000円）。 ラスベガスで行われたハッカーの一大イベントDEFCONにて、Kamkar氏がお披露目したのはRollJamという名前のデバイスで、既製の部品を使って組み立てられた物だそうです。このデバイスで何ができるのかというと
ついに！ 10分で脆弱性検査が体験できるVAddy簡易クロール機能をリリース - クラウド型Web脆弱性診断ツール VAddyブログ
VAddyでは、テスト対象のサーバの登録とクロールデータの生成を行った後に脆弱性検査を開始します。 クロールデータとは、スキャン対象のURLやパラメータを記録した物で、これを元にVAddyのスキャナーがサイトの構成を学んで検査を行います。 クロールデータの生成方法は、ブラウザのプロキシ設定でIPとポートをVAddyの指定のものに変更して、その後、検査対象のWebサイトをユーザが操作していきます。 VAddyを本格的に使うために、このようなクロールデータの生成が必要なのですが、まずは簡単にスキャンを試してみたいというユーザからすると手間がかかるイメージがありました。 そこで、プロキシ設定の変更も不要で、VAddyの画面からURLを入れてクロールデータを生成する簡易クロール機能をリリースしました。 これにより、本格的にVAddyを使う前にまずはVAddyの検査がどういったものかということが簡単
日本年金機構の情報漏えいについてまとめてみた - piyolog
2015年6月1日、職員PCがマルウェアに感染したことにより、情報漏えいが発生したことを日本年金機構が発表しました。ここでは関連情報をまとめます。 公式発表 日本年金機構 2015年6月1日 (PDF) 日本年金機構の個人情報流出について 2015年6月3日 (PDF) 個人情報流出のお詫び - 日本年金機構 理事長 水島藤一郎 (平成２７年６月２日) 2015年6月3日 (PDF) 個人情報流出の報道発表を悪用した不審な電話等にご注意ください！ 2015年6月3日 (PDF) 日本年金機構の個人情報が流出したお客様へのお詫びについて 2015年6月6日 (PDF) 日本年金機構ホームページの一時停止について 2015年6月8日 (PDF) 日本年金機構ホームページの暫定対応について 2015年6月22日 (PDF) 日本年金機構の個人情報が流出したお客様へのお詫びについて 2015年6月
Oracle Java SE サポート･ロードマップ
Oracle Java SE Supportロードマップ (更新しましたOctober 15、 2024) オラクルは、メンテナンスとサポートのオプション、関連するタイムラインを把握していただくために、このOracle Java SE Supportロードマップを公開しています。Oracleから最新の無料JDKリリースをお探しの場合は、oracle.com/javadownloadまたはオープン・ソース・ライセンス(jdk.java.net)を参照してください。 このロードマップにおいて、各用語を以下の意味で使用しています。 オラクルのお客様とは、アクティブな（1）Java SE Subscription製品、（2）Oracle Java SE Advanced、Oracle Java SE Advanced Desktop、Oracle Java SE Suite、Java SE Sup
皮膚下の血流まで!?超音波で指紋認証する「Sense ID」 偽造しにくく、高度なセキュリティを実現 | Techable(テッカブル)
多機能で便利なスマートフォン。毎日のように携帯して多用している人も多いだろう。スマートフォンの中にはプライベートな情報が満載。そこで気になるのがセキュリティの問題だ。ちょっと目を放した隙に、誰かに操作されたり、盗まれて悪用されたり……。そんなことにならないように、注意深くありたいもの。 Qualcommが開発中の、超音波による指紋認証 これまでにも指紋認証によるログイン機能などが実装されてきたが、さらに一歩進めた認証方法がQualcommによって開発中のようだ。「Sense ID 3D Fingerprint Technology」というもので、超音波を使ってユーザーの指紋を読み取る。既存の指紋認証センサーに比べても、より高い正確性とセキュリティ性を実現する認証方法だという。 この「Sense ID」には、Nok Nok Labs社のS3 Authentication Suiteという技術
GHOST 脆弱性は如何様に使うのか | Webシステム開発／教育ソリューションのタイムインターメディア
先日 GHOST と呼ばれる glibc の脆弱性が発表された。なんでも、「リモートから任意のコードを実行できる可能性がある」らしいではないか。しかも様々なプログラムで利用されているライブラリ部分の問題とあって、影響範囲がとても広い。なかなか厄介なことである。 はて、しかし一体全体どうやってリモートから任意のコードを実行しようというのだろう？ 話を聞くに、たかが数バイトの情報を範囲外のメモリに書き込める可能性があるだけだという。実際それだけのことでサーバーの乗っ取りなどできるものなのだろうか。そんなわけで、その疑問に答えるべく、本記事では以下の URL で解説されている実際の攻撃方法を若干端折って紹介してみようと思う。 http://www.openwall.com/lists/oss-security/2015/01/27/9 なお、本記事はこの脆弱性そのものに対する緊急度などについて言
プライバシーモードでもiPhoneでも追跡? エンジニアが知っておくべき「HSTS Super Cookies」 | DevelopersIO
プライバシーモードでもiPhoneでも追跡? エンジニアが知っておくべき「HSTS Super Cookies」 こんにちは、せーのです。 みなさんは数日前から軽く話題になっているクッキーについてご存知でしょうか。その名も「HSTS Super Cookies」と言います。このクッキーは通常のブラウザモードはもちろん、クッキーなどを残さない「プライバシーモード」果ては同一iCloudアカウントのiPhoneまで追跡できる、というではないですかなにそれこわい。 ということで今日はこの「HSTS Super Cookies」とは何者で、どういう仕組みでこうなっているのか、現時点での対応状況をご紹介します。 まずは見てください。 まずは百聞は一件に如かず、ということでこちらを御覧ください。 何か数字と文字が合わさったパスワード的なものが出てきていますでしょうか。これがいわゆる「HSTS Supe
とある診断員とSQLインジェクション
7. 通常のWebサーバとの通信 <html> <body> <form action=“register” method=“POST”> 氏名:vultest<BR> メールアドレス:vultest@example.jp<BR> 性別:男<BR> （以下略） </html> POST /confirm.php HTTP/1.1 Host: example.jp （以下略） Cookie: PHPSESSID=xxxxxxxxxx name=vultest&mail=vultest%40example.jp&gender=1 HTTP Response HTTP Request 8. 色々いじってみてどういう応答があるか確認 POST /confirm.php HTTP/1.1 Host: example.jp （以下略） Cookie: PHPSESSID=xxxxxxxxxx name
安全なPHPアプリケーションの作り方2014
2. 徳丸浩の自己紹介 • 経歴 – 1985年京セラ株式会社入社 – 1995年京セラコミュニケーションシステム株式会社(KCCS)に出向・転籍 – 2008年KCCS退職、HASHコンサルティング株式会社設立 • 経験したこと – 京セラ入社当時はCAD、計算幾何学、数値シミュレーションなどを担当 – その後、企業向けパッケージソフトの企画・開発・事業化を担当 – 1999年から、携帯電話向けインフラ、プラットフォームの企画・開発を担当 Webアプリケーションのセキュリティ問題に直面、研究、社内展開、寄稿などを開始 – 2004年にKCCS社内ベンチャーとしてWebアプリケーションセキュリティ事業を立ち上げ • 現在 – HASHコンサルティング株式会社代表http://www.hash-c.co.jp/ – 独立行政法人情報処理推進機構非常勤研究員http://www.ipa.go.
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
JPドメイン名を標的とした“DNS水責め攻撃”を確認、JPCERT/CC定点観測レポート 
https://jp.techcrunch.com/2014/11/19/20141118mozilla-eff-and-others-band-together-to-provide-free-ssl-certificates/
