ログアウト機能の目的と実現方法
このエントリでは、Webアプリケーションにおけるログアウト機能に関連して、その目的と実現方法について説明します。 議論の前提 このエントリでは、認証方式として、いわゆるフォーム認証を前提としています。フォーム認証は俗な言い方かもしれませんが、HTMLフォームでIDとパスワードの入力フォームを作成し、その入力値をアプリケーション側で検証する認証方式のことです。IDとパスワードの入力は最初の1回ですませたいため、通常はCookieを用いて認証状態を保持します。ログアウト機能とは、保持された認証状態を破棄して、認証していない状態に戻すことです。 Cookieを用いた認証状態保持 前述のように、認証状態の保持にはCookieを用いることが一般的ですが、Cookieに auth=1 とか、userid=tokumaru などのように、ログイン状態を「そのまま」Cookieに保持すると脆弱性になります
CookieにログインIDを保存してはいけない
phpproのQ&A掲示板で下記の質問を読みました。 ログインの際に、クッキーにログイン情報を保存し、ログアウトの際には、フォームタグの中でPOSTでログアウトの為の値を飛ばし、値を受け取ったらクッキーの有効期限をマイナスにしてクッキー情報を消すというログアウト処理を作っています。 同一ページでのCookieでのログアウト処理より引用 クッキーにそのままログイン情報を保持するのはよくありませんね。質問を更に読むと、以下のソースがあります。 setcookie("logid",$row["f_customer_logid"],time()+60*60*24); setcookie("point",$row["f_customer_point"],time()+60*60*24);どうも、SQL呼び出しの結果からログインIDを取り出し、それをそのままCookieにセットすることで、ログイン状態
なぜあなたがウェブサイトをHTTPS化するとサイトが遅くなってユーザーが逃げていくのか - 射撃しつつ前転 改
完全に釣りタイトルですけど中身は真面目に書くよ。 近年、ウェブサイトのHTTPS化が流行のようになっている。私の知る限り、Googleの各種サービスやTwitter、Facebookなどが完全にHTTPSで通信を行うようになっている。HTTPS、つまりSSLによる通信の暗号化によって、ユーザにこれまでよりも安全なウェブサイトを提供できる。 しかし、あなたが作っているサイトをふと思いつきでHTTPS化してしまうと、たぶん、これまでよりもサイトが遅くなる。ここでは、HTTPSで通信する場合の問題を解説する。 なぜ遅くなるのか HTTPで通信する場合、クライアントがサーバへと接続するためにはTCP/IPの3ウェイハンドシェイクという手順が必要になる。めんどくさいのでここでは詳しくは説明しないが、要するにクライアントがリクエストを投げる前にパケットを１往復させないといけないのである。パケットの往復
FrontPage - HackingWiki
ハッキング Wiki † ハッキングの関連のあれこれについてまとめてみようと思っているwikiです。悪いことには使わないでください（たぶん使えないと思いますが）。 内容は少しずつ充実させていきたいと思っていますが、wikiの使い方はあまりわかっていないので事故で消えるかもしれません。 硬いので文体を「ですます」にしようと思います。 誰も編集しないので編集できないように戻しました。編集したい人はyamamoto at bogus.jp宛にメールするか、blogにでも書き込むか、電話でもしてください。。 ↑
セッションアダプション脆弱性がないセッション管理が必要な理由
(Last Updated On: 2018年8月18日)徳丸さんから「ブログ読みました。サンプルも動かしました。問題は分かるのですが、セッションアダプションがないPHPだと、何が改善されるのかが分かりません。教えて下さい 」とあったのでツイッターで返信するには少し長いのでこちらに書きます。まだ直していない脆弱性を詳しく解説するのはあまりよくないのですが、今なら影響を受けるアプリはほぼないと思うので構わないでしょう。 まず前提として、Webサーバと同様にJavascriptからもクッキーが設定できます。Javascriptインジェクションに脆弱なコードがサイトに1つでもあると、サイト上のセッションアダプション脆弱性をもつアプリへの攻撃が可能になります。この攻撃を緩和する対策もありますが、それはそれ、これはこれなので省略します。 セッションアダプションに脆弱なセッション管理機構で困る代表的な
WordPress を扱う上で憶えておいて欲しい3つのesc #wacja2012 – Simple Colors
わんばんこ。2012 WordPress アドベントカレンダーの3日目をむゆうさん（ @anticyborg ）と共に担当させていただきます。本当は、アドベントよりおべんｔ（以下略 WordPress で実現系のコードを紹介する記事は、よく目にしますし、セキュリティに関する関心も高いようですが、意外に基本的な所が抜け落ちているケースが多いように感じたので、テーマやプラグイン開発時に憶えておいて欲しい WordPress 関数、esc_html、esc_attr、esc_url について、つらつらと書いてみたいと思います。 この esc_ なんちゃらは、WordPress 2.8 から導入された関数で、それ以前のバージョンでは、wp_specialchars、attribute_escape、clean_urlと様々な名称であったものが、（おそらくは憶えやすいように）統一的な関数名に改名され
LINE電話帳問題から考えるAndroidとiOSのセキュリティの”違い” – Zero4Racer PRO Developer's Blog
【注意】LINEが勝手に電話帳を同期して友達を増やすバグアップデートで被害者多数の模様 – Togetter この記事を読んですぐに、「これはおそらくAndroidでの状況だろうな。」と思いました。調べてみると確かにAndroid版でのバグのようです。Android版「LINE」で電話帳データが強制的に同期される不具合 -INTERNET Watch これは、iOSとAndroidのセキュリティの設計思想が関係しています。 わたしは仕事でiOS、Android共にアプリ開発をしていますが、Android開発の際にアプリのパーミッション（権限）で気になる点がありました。Androidのアプリではアプリの設定ファイル(AndroidManifest.xml)に、アプリが使用したい情報を記述します。例えば、”READ_CONTACTS”をONにすると、そのアプリでの連絡先へのアクセスを求めます。
【WordPress.orgにも脆弱性のあるものは存在する】WordPressのテーマやプラグインで脆弱性のある「timthumb.php」を検出する方法｜今村だけがよくわかるブログ
【WordPress.orgにも脆弱性のあるものは存在する】WordPressのテーマやプラグインで脆弱性のある「timthumb.php」を検出する方法 ここ数日WordPressのテーマやプラグインのセキュリティ関連の話題が盛んですかね。 というわけで、今回は「timthumb.php」が使われていないかどうか、検出する方法をご紹介します。 ・・・その前に「timthumb.php」についてからご紹介しますね。 以下、お暇でしたら参考までにご覧下さい。 「timthumb.php」はいったい何がいけないのか前提として知っておく必要があるのが、「timthumb.php」はなんなのか。 「なぜ、脆弱なのか」をおおよそでもいいから理解したほうがいいです。 何も理解せずに「やばいよ、やばいよ」という言葉だけが独り歩きするのが一番本意ではないと思いますので・・・ 最もシンプルに説明されているサ
ヤバイWordPressテーマを見分けるための方法 | Firegoby
前回、”free wordpress themes”って検索してテーマを探すと超ヤバイよ という記事を書きました。 お陰様でとても拡散したんですが、危険なテーマを見わけるための検証方法を伏せたのが裏目でちょっとあれだったので、それについて解説します。 Theme Authenticity Checker (TAC) によるチェック WordPress › Theme Authenticity Checker (TAC) « WordPress Plugins 結論から言いますが、このプラグインによるチェックでは不完全でした。 実際に “free wordpress themes” で Google 検索して出てくる１つ目（苦笑）の ”http://www.themesbase.com/” というサイトのテーマで検証してみましょう。 今回は、このサイトの一つ目で紹介されている Pioneer
OAuthの認証にWebViewを使うのはやめよう
AndroidからTwitterへアクセスするためのライブラリとして，Twitter4Jが有名です． これを使ってみようと，「Android Twitter4J」と検索すると 認証にWebViewを使った例がたくさん出てきます． ・・・いや，ちょっとまて． それはちょっとまずいだろう． そういうわけでもうちょっと賢い方法を探してみました． 何がまずいのさ 「Android Twitter4J」と検索すると，上位にこんなページが出てきます． Twitter4jを使ってOAuth認証をアプリ内で行う方法 Twitter4j-2.2.xを使ったOAuth認証のコーディング例 twitter4jでツイートする Android+Twitter4JでOAuthするためのソースコード 上のサイトでは次の様は方法をとっています． アプリ内にWebViewを貼り付け WebViewでTwitterの認証画面
セキュリティ情報:PHP5.4.8、PHP5.3.18以前にhashdos脆弱性
チェック用スクリプト hashdosの状態を確認するためのスクリプトを作成してみましたので、Webサイトのチェックにご活用下さい。 このスクリプトを任意のファイル名（PHPスクリプトとして実行できる拡張子）でチェック対象Webサーバーに保存して下さい。Webブラウザを用いて、このスクリプトを実行すると、結果が表示されます。JavaScriptを有効にして下さい。チェック終了後はスクリプトを削除して下さい。 <?php if (@$_GET['mode'] === 'check') { header('Content-Type: text/plain'); echo (int)count($_POST); exit; } $max_input_vars = ini_get('max_input_vars'); $postnumber = (int)$max_input_vars + 10;
「WordPressの守りを固める」のまとめの章の訳 – わーどぷれすっ!!
以下は、Locking Down WordPress（CC BY-NC-SA 3.0, 2012）のまとめの章、”TL;DR: Our Collaborators’ Advice in Short Shots -要約: 協力してくれた方々のアドバイスの簡潔なまとめ”をPHP祭り2012のハッカソン中に訳したものです。その訳はAzure上に作ったWordPressに置いていたのですが、お試し用に貸していただいていた場所なのでこちらに移しました。 この「まとめ」以外の中身の訳と、これを（生涯初の）LTで発表してスライドごと大失敗に終わってしまった顛末はまたの機会にｗ。 あらためて、Azureを紹介してくださった廣瀬 一海（デプロイ王子）さんとPHP祭り青年団のみなさんお礼申し上げまする。 PHP祭り2012、レガシーズのみなさん 要約: 協力してくれた方々のアドバイスの簡潔なまとめ あなたの仕
アカウント乗っ取りを防げ！Google２段階認証プロセスを設定する全手順
今朝、懐かしい方からメールがあって私はiPhoneをまじまじと見つめてしまいました。それはこのブログにも以前登場した「一流の研究者」の、私の師匠です。 しかしメールの内容はおかしなものでした。「いま海外にいるのだが、同行していた人が急病になってしまい、手術にお金が必要なので送ってくれないか」という内容で、つまりは詐欺メールです。 シグネチャまでも真似ていますが、誰かが師匠のメールアドレスを乗っ取ったのです。### ２段階認証を使おう 師は周囲にコンピュータのウィザードが大勢いますのできっと適切に対応がとられているものと思います。 しかし一度アカウントが乗っ取られると、住所録も含めて奪われてしまいますのでいつまでも自分の名前を騙って友人、親戚にこうした詐欺メールが送られるリスクが続きます。 私の周囲でも今年に入ってGmailが乗っ取られてこうした詐欺メールが飛んできたというケースが複数ありま
葉っぱ日記
在宅生活が本格化してからは多い時では1日10杯以上コーヒーを飲んでいたけど、さすがに飲みすぎなので1日1杯に減らした話。 2年以上ぶりにブログを書いてるんだけど、ほんとに個人的などうでもいい話です。このブログにはテクニカルな話は今後もほとんど書くことはないと思うので、テクニカルな話が読みたい人は会社のエンジニアブログを読んでください！（それもあんまりテクニカルな内容じゃないけど） もともとコーヒーが好きで、あんまり覚えてないんだけどたしか小学校3,4年生くらいのころから日常的にコーヒーを飲むようになったような気がする。親が飲んでたコーヒーがいい香りだったのでわけてもらって飲み始めたのがきっかけだったような記憶が。 で、コロナ禍以前はオフィスで自分で淹れたりバリスタの研修を受けた同僚に淹れてもらったりで毎日6,7杯は飲んでた。朝起きてコーヒー飲んで、会社についたら1杯、午前中にもう1杯、ラン
ウェブシャークの顧客情報流出はなにが問題なのか
【追記有り】ウェブシャークの社長からメールをいただき、詳細が判明。わたし、かなり誤解をしていました。というか、メール、わかりにくすぎ!! もっとわかりやすく説明してくれたらこんな大騒ぎにならなかったのに・・・ということで最後までお読みください まずはウェブシャークの代表の木村さんのコメントを掲載 （株）ウェブシャーク代表取締役の木村です。私から直接永江さんにメールをお送りさせていただいた事をきっかけに数十通にも及ぶメールのやり取りをいたしました。その中で無事、永江さんが抱いていた誤解を解くことができました。「電脳卸」という商品アフィリエイトASPをきっかけに創業して12年。おかげさまで弊社アフィリエイトと連携しているショッピングモール「ストアミックス（ドクタートニー含む）」のユニーク購入者数は100万人を超えております。そこに中国からの不正アクセス事件が発生し、一部のお客様の個人情報（クレ
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
bogus.jp
Ibexa DXP: A Symfony DXP with GraphQL and REST APIs
ezpedia.org
地獄のJavaScriptセキュリティ
https://jp.techcrunch.com/2012/11/12/jp20121112gehirn-web-services/
