正規表現によるバリデーションでは ^ と $ ではなく \A と \z を使おう
正規表現によるバリデーション等で、完全一致を示す目的で ^ と $ を用いる方法が一般的ですが、正しくは \A と \z を用いる必要があります。Rubyの場合 ^ と $ を使って完全一致のバリデーションを行うと脆弱性が入りやすいワナとなります。PerlやPHPの場合は、Ruby程ではありませんが不具合が生じるので \A と \z を使うようにしましょう。 はじめに 大垣さんのブログエントリ「PHPer向け、Ruby/Railsの落とし穴」には、Rubyの落とし穴として、完全一致検索の指定として、正規表現の ^ と $ を指定する例が、Ruby on Rails Security Guideからの引用として紹介されています。以下の正規表現は、XSS対策として、httpスキームあるいはhttpsスキームのURLのみを許可する正規表現のつもりです。 /^https?:\/\/[^\n]+$/
CSRF 対策用トークンの値にセッション ID そのものを使ってもいい時代は終わりつつある - co3k.org
CSRF 脆弱性対策には攻撃者の知り得ない秘密情報をリクエストに対して要求すればよく、そのような用途としてはセッション ID がお手軽でいいよねという時代があったかと思います。 いや、もちろん、 CSRF 対策の文脈だけで言えば今も昔も間違いというわけではありません。セッション ID が秘密情報であるのは Web アプリケーションにおいて当然の前提ですので、 CSRF 対策としてリクエストに求めるべきパラメータとしての条件はたしかに満たしています。 たとえば 『安全なウェブサイトの作り方』 改訂第6版では以下のように解説されています。 6-(i)-a. (中略) その「hidden パラメータ」に秘密情報が挿入されるよう、前のページを自動生成して、実行ページではその値が正しい場合のみ処理を実行する。 (中略) この秘密情報は、セッション管理に使用しているセッション ID を用いる方法の他、
empiricism: 流行中のマルウェア Flashbackの感染をチェック
流行中のマルウェア Flashbackの感染をチェック エフセキュアブログ ”（Mac）Flashbackはあるか？” より 今日、Javaのセキュリティアップデートがリリースされましたが、このリリースで修正された脆弱性を狙ったマルウェアに感染してないかチェックしてみました。 対象となるマルウェアはFlashbackです。感染時に表示される画面がFlashのインストーラーを真似ているところから、この名前が付いたそうです。 元ネタの記事に詳しい説明がありますが、感染チェックの為にやることは２つです。感染タイプ毎にチェック方法があります。 ターミナルからコマンドを実行して確認します。（以下をターミナルへコピペしても実行できます。） 感染タイプ1： 確認コマンド Safariの場合 defaults read /Applications/Safari.app/Contents/Info L
SPモードメール障害は設計ミス - とある技術屋の戯言
SPモードメールで、メールの発信者が別の人のメールアドレスにすげ替えられてしまうというトラブル。 加入者に強くひも付いたシステムになってるはずなのになんでこんな不思議なことが起きるのか理解できなかったのですが、記者会見での詳細が幾つかのニュースサイトに出ていました。 「あってはならない」個人情報流出の可能性も――ドコモがspモード不具合の経緯を説明 - ITmedia +D モバイル ドコモ、“他人のメアドになる”不具合は解消――10万人に影響 - ケータイ Watch 加入者はIPアドレスで識別されていて、そのひも付けが伝送路障害をきっかけに混乱した、ということのようです。加入者とのひも付けは全然強くない…というか恐ろしいほど弱いシステムでした。 まず、「IPアドレスで加入者を識別する」という思想がかなりやばいと言わざるを得ません。初期iモード時代は無線ネットワークと一体になっていたシ
無料セキュリティソフト「AVG Anti-Virus」小規模企業向けに提供
株式会社コージェンメディアは8月12日、AVG Technologiesが開発した無料セキュリティソフト「AVG Anti-Virus Free：Small Business Edition 8.5」を小規模企業向けに提供すると発表した。対応OSはWindows Vista/XP。企業内で最大5台のPCにインストールできる。 AVG Anti-Virus Free：Small Business Edition 8.5は、ウイルス対策やスパイウェア対策を行う無料セキュリティソフト。Googleなどの検索結果ページに対して、リンク先ページの危険度をチェックする「リンクスキャナ」機能なども搭載する。 利用までの手順としては、コージェンメディアのページからダウンロードしたプログラムを実行した上で、専用フォームにメールアドレスを入力する。その後、同社からメールで送られてくるライセンスキーを登録すれば
Firefoxで危険性の高いWebページの閲覧をブロックする － ＠IT
検索結果などのリンクを開くと、誤って悪意のあるプログラムが仕掛けられたWebページなどにアクセスしてしまうことがある。 インターネット上には有益な情報やプログラムだけでなく、さまざまな悪意を持ったプログラムなども置かれている。無料の広告ブロック・ソフトウェアに見せかけて、実際にはそのプログラム自体にウイルス（バックドア）が仕込まれていたという例も報告されている。また悪意のあるWebページへのリンクを掲示板など書き込み、そのWebページに誘導するといった攻撃手法も一般化しつつある。詐欺を働くショッピング・サイトや大手クレジット・カード会社を偽装したフィッシング・サイトなどもあり、攻撃の仕掛けは年々巧妙になっている。 こうした攻撃や詐欺の被害に遭わないようにするには、危険性の高いWebサイトを開かないことだが、実際には攻撃が巧妙になっているだけに難しい。Firefoxには、こうした危険性の高い
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
まとめよう、あつまろう - Togetter
文字コードに起因する脆弱性とその対策
ソフマップ、物理的に壊すデータ消去「ハードディスク破壊サービス」
より軽量・高速になった「AVG Anti-Virus Free Edition 日本語版」v9.0が公開
Gmail、「信頼できる相手」からのメール画像は自動表示に