高木浩光＠自宅の日記 - 三菱図書館システムMELIL旧型の欠陥、アニメ化 - 岡崎図書館事件(7)
■ 三菱図書館システムMELIL旧型の欠陥、アニメ化 - 岡崎図書館事件(7) 21日の日記で示したMELIL/CS（旧型）の構造上の欠陥について、その仕組みをアニメーションで表現してみる。 まず、Webアクセスの仕組み。ブラウザとWebサーバはHTTPで通信するが、アクセスごとにHTTP接続は切断される*1。以下のアニメ1はその様子を表している。 このように、アクセスが終わると接続が切断されて、次のアクセスで再び接続するのであるが、ブラウザごとに毎回同じ「セッションオブジェクト」に繋がるよう、「セッションID」と呼ばれる受付番号を用いて制御されている。 なお、赤い線は、その接続が使用中であることを表している。 次に、「3層アーキテクチャ」と呼ばれる、データベースと連携したWebアプリケーションの実現方式について。3層アーキテクチャでは、Webアプリケーションが、Webサーバからデータベー
ぐて～blog: ASP実験、Session_OnStartのオブジェクト生成失敗を無視する処理
2010年7月29日木曜日 ASP実験、Session_OnStartのオブジェクト生成失敗を無視する処理 webサーバ～DBサーバ間のDBセッションをSession_OnStart（on errorで失敗スルー）で行い、ASPページにおいてDynaset生成（on error無しでASPエンジンでのトラップ）のパターンでの実験結果。 自前のログもOnStartの実行（通過）も採取してますので一緒に添付。 結果ログ及びASPファイル(zip圧縮) このサイト外に置いてます(@nifty) 投稿者 gutei 時刻: 18:49 メールで送信 BlogThis! Twitter で共有する Facebook で共有する Google バズで共有する 0 コメント: コメントを投稿
ぐて～blog: 2010年7月22日木曜日岡崎市立図書館の件のサーバ側挙動の擬似環境下再現実験（その２）
2010年7月24日土曜日 2010年7月22日木曜日岡崎市立図書館の件のサーバ側挙動の擬似環境下再現実験（その２） 実験環境は推定でしか無いのは全くその通りですが、別な実装で実験を続けています。 実験環境及び実験その１的結果 ASPにはglobal.asaと言うASPアプリケーション上唯一一つこの名前のファイル名を指定出来るようです。 ※ASPアプリケーションは複数登録は出来ます。同時に稼動させる方法は知らないので、いつもどれか一つで実験してます。 global.asaを使っての実験その１ コードの解説はある程度わかる方を対象とさせてください。 そして私自信はASPに精通してるわけでは無く、勘違いやケアレスミスをしてる可能性もありますのでご指摘いただけると助かります。 global.asa+実験ASP+ログ(zip圧縮)別サイトに配置 投稿者 gutei 時刻: 21:55
サーバ管理者日誌 シリーズ・クロールとDoSの違いと業務妨害罪と(5) - その後の念力デバッグ
多くの方の尽力によって、少しずつ色々な情報が明らかになって、当て推量で「ではないか」と書いていた部分を外せそうなところも出てきたし、逆に、これは間違っていたという部分も出てきた。 最近では、一部では語感が好評だった 念力デバッグ[http://www.nantoka.com/~kei/diary/?20100714S1#T201007141S3] のデバッグから。 情報が少ないからこそ、一次情報は貴重で、より正しいと思われる情報を集めるところから始めるのが、念力デバッグの鉄則なのに、その部分で手を抜いた罰が当たった。 DB接続をCookieに基づくセッションによって管理する作りになっている。 Cookieを食わないクライアントからリクエストを受けると、リクエスト毎にDB接続が生成される。 DB接続を含めたサーバリソースは、タイムアウトによってセッションが破棄されるまで解放されず、確保された
asahi.com（朝日新聞社）：ソフト会社、図書館側に不具合伝えず アクセス障害問題 - 社会
愛知県岡崎市立図書館のホームページにサイバー攻撃をしたとして男性（３９）が逮捕された後、朝日新聞の取材で図書館のソフトの側に攻撃を受けたように見える不具合があることが発覚した問題で、ソフトを開発した三菱電機インフォメーションシステムズ（ＭＤＩＳ）は、２００６年の段階で不具合を解消した新しいソフトを作っていたことがわかった。 同社は岡崎の図書館には不具合の情報を伝えていなかった。旧ソフトを使い続けた図書館側は、攻撃を受けたと考えて県警に被害届を提出。男性の逮捕につながっていた。 逮捕され、起訴猶予となった男性は自作プログラムで図書館のホームページから蔵書の新着情報を集めていた。旧ソフトは、蔵書データを呼び出す電算処理を継続したままにする仕組みで、アクセスが集中するとホームページが閲覧できなくなり、サイバー攻撃を受けたように見える不具合があった。 ＭＤＩＳは０６年、不具合を解消した新ソフ
asahi.com（朝日新聞社）：なぜ逮捕？ネット・専門家が疑問も 図書館アクセス問題 - 社会
自作のプログラムを使っていたら、突然警察に逮捕された。図書館ホームページからの情報入手を巡る事件では、ＩＴ技術者から不安や懸念の声が上がっている。逮捕の背景には、図書館がコンピューターの管理をメーカー任せにしている問題があるほか、捜査当局のＩＴの知識を疑問視する声も上がっている。 ある自治体の図書館で働く職員は「図書館はシステム面で当事者意識が乏しすぎる」と図書館側の問題を指摘する。指定管理者制度で一般企業から図書館に入ったが、引き継ぎ時にシステムの仕様書がなかった。「文系が多く、メーカーに『難しいことはわからないからやっておいて』という態度が目立つ」という。 事件の舞台になった岡崎市立図書館と同じソフトを使う別の図書館では、朝日新聞が不具合を指摘したのに対し、「システムのことは全部メーカーに任せている。その件でもきちんとやってくれると思う」と回答した。 日本図書館協会の松岡要事務局
asahi.com（朝日新聞社）：図書館ＨＰ閲覧不能、サイバー攻撃の容疑者逮捕、だが… - 社会
愛知県内の男性（３９）が、自作プログラムで図書館ホームページから新着図書の情報を集めたところ、サイバー攻撃を仕掛けたとして逮捕された。しかし、朝日新聞が依頼した専門家の解析によると、図書館ソフトに不具合があり、大量アクセスによる攻撃を受けたように見えていたことが分かった。同じソフトを使う全国６カ所の図書館でも同様の障害が起きていたことも判明。ソフト開発会社は全国約３０の図書館で改修を始めた。 この問題は同県岡崎市立図書館で起きた。ソフトには、蔵書データを呼び出すたびに電算処理が継続中の状態になり、電話の通話後に受話器を上げたままのような状態になる不具合があった。一定の時間がたつと強制的に切断されるが、同図書館では１０分間にアクセスが約１千件を超えると、ホームページの閲覧ができなくなり、大量アクセスを受けたように見えたという。 男性はソフトウエア技術者で、岡崎市立図書館から年に約１００冊
岡崎市立中央図書館のサービスが停止した理由 | 水無月ばけらのえび日記
更新: 2010年8月26日0時30分頃 朝日の報道と前後して、高木さんからも情報が出ていますね……「Anonymous FTPで公開されていたGlobal.asaが示すもの 岡崎図書館事件(6) (takagi-hiromitsu.jp)」。 福岡県の篠栗町立図書館のサイトにFTPサーバが立っていて、Anonymous FTPでソースコードらしきものが取得できたというお話のようで。今どきFTPのポートが開いているというだけでも驚きますが、Anonymous FTPは物凄いですね。 ※私の記憶では、Windows 2000 ServerのFTPサービスはデフォルトで匿名アクセスが有効になっていたような気がします。Windows Server 2003ではFTPを使おうと思ったこと自体がないので、最近どうなっているのかは良く分かりませんが。 ※2010-08-26追記: デフォルト設定どころ
サーバ管理者日誌 続・クロールとDoSの違いと業務妨害罪と
と書いたのだが、他の図書館でも、一度タイムアウトすると、同じCookieを持ってアクセスすると応答がなくなるという同様の現象が発生するところが見つかった。 気づいたのはたまたまだったのだが、 岡崎市立図書館と同じ、MELILを採用している図書館のリストが、 日本のソフト別OPACリスト[http://www.asahi-net.or.jp/~gb4k-ktr/indexjv.htm#melil] にあり、この中で検索ページが.aspになっているものでは同じ現象が発生する様で、発生条件もかなり緩く、 検索などでのタイムアウト発生 応答が遅かった場合のキャンセル 検索結果ページを閲覧していて、画面内の戻るボタン以外でページ遷移を行った場合 に、以降の応答がなくなるという症状が発生する様だ。 検索ページが.aspxになっているものでは、確認した範囲では発生を見ていないので、これは後に改修されたの
情報処理推進機構：情報セキュリティ：脆弱性対策：安全なウェブサイトの作り方
「安全なウェブサイトの作り方」は、IPAが届出(*1)を受けた脆弱性関連情報を基に、届出件数の多かった脆弱性や攻撃による影響度が大きい脆弱性を取り上げ、ウェブサイト開発者や運営者が適切なセキュリティを考慮したウェブサイトを作成するための資料です。 「安全なウェブサイトの作り方」改訂第7版の内容 第1章では、「ウェブアプリケーションのセキュリティ実装」として、SQLインジェクション 、OSコマンド・インジェクション やクロスサイト・スクリプティング 等11種類の脆弱性を取り上げ、それぞれの脆弱性で発生しうる脅威や特に注意が必要なウェブサイトの特徴等を解説し、脆弱性の原因そのものをなくす根本的な解決策、攻撃による影響の低減を期待できる対策を示しています。 第2章では、「ウェブサイトの安全性向上のための取り組み」として、ウェブサーバの運用に関する対策やウェブサイトにおけるパスワードの取扱いに関す
今夜こそわかる安全なSQLの呼び出し方 ～ 高木浩光氏に聞いてみた
「安全なSQLの呼び出し方」というSQLのセキュリティに焦点を当てたドキュメントが、2010年3月にIPA（独立行政法人情報処理推進機構）から公開された。 これは2006年1月から提供されている、Webサイト開発者や運営者向けのセキュアWebサイト構築のための資料「安全なウェブサイトの作り方」の別冊として書かれたものである。「安全なウェブサイトの作り方」が92ページなのに対して、SQLインジェクションについてだけで40ページもの分量がある。なぜこんなに分厚いのだろうか。 このドキュメント作成に協力したという、独立行政法人産業技術総合研究所 情報セキュリティ研究センターの高木浩光氏にお話を伺うことができた。高木氏は個人ブログ「高木浩光＠自宅の日記」で、セキュリティ関連の問題を追求する論客としても知られている。筆者も以前、この連載の「今夜わかるSQLインジェクション対策」の回（2006年11月
WebアプリとDBが危ない！
Webアプリケーションへの攻撃がますます激化している。ガンブラーをはじめとするマルウェアによる感染やWebサイトの書き換えなど非常に深刻な被害が出ている。また、データベース（DB）からの情報漏えい事件も大きな問題だ。2009年は大手金融機関や保険会社などでの情報漏えい事件が立て続けに起こり、セキュリティの大きな課題となった。本特集では、WebアプリケーションとDBの危険とその対策についてまとめてみた。 2010年02月01日 09時00分 TECH ISMSとはなにが違うの？ 情報セキュリティのプロが語る「PCI DSS、はじめの一歩」 1月29日、ネットワンシステムズのグループ会社ビジネスアシュアランスは、クレジットカード会員情報保護のためのセキュリティ規格「PCI DSS」のプレス向け勉強会を開催。社長の山崎文明氏が、PCI DSSの最新動向や国内での普及状況、さらに同規格を一般企業や
Oracle 運用術 ： これだけでほぼ十分。運用監視スクリプト
一応こんな感じのレポートがあがって来るというサンプルです。結果は仮想的な環境を想定したもので、内容はでたらめにしてあります。 =================== ora_perf_report.sh 2007/06/11 20:43:48 HostName: dev1 Database: testdb =================== /*---------------------------------------------------------------------------*/ // 最低限必要な shared_pool_sizeの測定 /*---------------------------------------------------------------------------*/ SHARED_POOL_SIZE ---------------- 29
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
高木浩光＠自宅の日記 - Anonymous FTPで公開されていたGlobal.asaが示すもの 岡崎図書館事件(6)
安全な実装方法を解説、IPAが「安全なSQLの呼び出し方」公開 
https://blogs.oracle.com/jsecurityworld/2009/11/post_9.html
[LAC]ラックのデータベースセキュリティ研究所が提供するデータベース安全ガイド![[LAC]ラックのデータベースセキュリティ研究所が提供するデータベース安全ガイド](https://cdn-ak-scissors.b.st-hatena.com/image/square/f56929744b18665abe82c2f039aa259a251e6a46/height=288;version=1;width=512/https%3A%2F%2Fwww.lac.co.jp%2Fcommon%2Fimg%2Fimg_ogp01.jpg)