httpoxy
Recommended reading Summary What Is Affected Immediate Mitigation Prevention Interesting, but once you’ve mitigated How It Works Why It Happened History of httpoxy CVEs A CGI application vulnerability (in 2016) for PHP, Go, Python and others httpoxy is a set of vulnerabilities that affect application code running in CGI, or CGI-like environments. It comes down to a simple namespace conflict: RFC 3
68user's page
UNIX/Linux の部屋 に、bash の内部コマンド select コマンド を追加しました。メニュー形式の選択肢を提示し、ユーザに選ばせることができるコマンドです。
第18回 Amon2によるWebアプリケーションの高速開発（1） | gihyo.jp
本連載では第一線のPerlハッカーが回替わりで執筆していきます。今回は普段Webアプリケーションの開発を行っているtokuhiromさんで、テーマはWebアプリケーションフレームワークAmon2です。 Amon2とは？ こんにちは。tokuhiromです。本稿では、筆者が中心となって開発を進めているAmon2というWebアプリケーションフレームワークについて説明します。 Amon2は、次のような特徴を持つWebアプリケーションフレームワークです。 PSGI/Plackベース Amon2はHTTP::Engine/PSGI/Plackの開発／制定に初期のころから関わっている筆者が作成したWebアプリケーションフレームワークです。そのため、Plackの部品をできる限り利用することにより、少ないコードベースでWebアプリケーションフレームワークを実現しています。これにより学習コストが低くなってい
Spidering Hacks
毎日欠かさずチェックしているウェブページがありますか？ウェブ上のデータを二次利用したくありませんか？ウェブサービスを駆使してみたくないですか？そう思ったことがあるのなら、この本を読むべきです。本書は、ウェブを横断して情報を自動収集するプログラム、スパイダを自由自在に操り、目的の情報を取り出す方法を詳しく解説しています。また、各Hackを積極的に日本語化し、訳書版独自のHackや日本語処理の注意点（付録）を収録するなど、至れり尽くせりの内容です。スパイダ通のテクニックが満載！ 関連ファイル サンプルコード 正誤表 ここで紹介する正誤表には、書籍発行後に気づいた誤植や更新された情報を掲載しています。以下のリストに記載の年月は、正誤表を作成し、増刷書籍を印刷した月です。お手持ちの書籍では、すでに修正が施されている場合がありますので、書籍最終ページの奥付でお手持ちの書籍の刷版、刷り年月日をご確認の
bashにおける脆弱性「Shellshock」について
2014/09/26 コース：元祖こってり 「元祖こってり」記事はネットエージェント旧ブログ[netagent-blog.jp]に掲載されていた記事であり、現在ネットエージェントに在籍していないライターの記事も含みます。 bashにおける脆弱性「Shellshock」について LinuxやMac OS XなどのUNIX系OSで広く使用されているbashに見つかった脆弱性(Shellshockと呼ばれています)が先日から話題になっています。 弊社でもこのbashの脆弱性について調査を行いました。 ■概要 環境変数に特定の文字列を設定するだけでその環境変数内の文字列をシェルが関数として実行してしまいます。 シェルを通じてコマンド等を実行する幅広い環境で影響がありますが、特に顕著に影響を受けるのはCGI等のWebアプリケーション環境です。 CGIをはじめとするWebアプリケーションではWebブラ
BASHの脆弱性でCGIスクリプトにアレさせてみました
環境変数に仕込まれたコードを実行してしまうBASHの脆弱性が CGIスクリプトに影響を与えるか試してみたら結果は悲惨な感じに Tweet 2014年9月25日 嶋田大貴 この記事は2014年のものです 朝から Bash specially-crafted environment variables code injection attack なるもので騒ぎになっていたので、さっそく手元の Apacheで試してみました。 /hoge.cgiというURIで実行されるように、一行のメッセージを出力するだけの CGIスクリプトを設置します。いっけん、なんの入力もクライアント側から受け付けていないため危険のありようもなく見えます。 #!/bin/sh echo "Content-type: text/plain" echo echo "Hi! I'm an ordinary CGI script w
イントラネット向け、PHP+MySQLのタイムテーブル型予約システム
イントラネットで使う会議室予約みたいなのが欲しくて、作ってみたものです。WordPressでも（一応）実装は可能です。PHP初心者が唸りながら書いたものなので、どうぞ参考程度にご覧ください。 目指したもの かばの遊べるCGI こちらで紹介されている「会議室予約」のようなシステムがほしくて、仕様やレイアウトを真似して、PHPで作らせていただきました。既にサイトは閉鎖されており、上記リンクは有志の方による復元サイトのようです。この場にて、厚く御礼申し上げます。 前置き 実は当初、WordPressに組み込んで使おうと企てました。現状、非常に優秀で柔軟性の高いツールやグループウェアがいっぱいあるなか、あえてのWP…(;´Д`) そもそもの依頼の前提が「冒頭の既製品に近いもの」だったことと、使用予定のWebサーバにWordPressを入れるつもりだったことから「これWPのDB使えないかな！ 組み込
CGI版PHPに対する魔法少女アパッチマギカ攻撃を観測しました
昨夜に、魔法少女アパッチ☆マギカ攻撃を観測しました。魔法少女アパッチ☆マギカとは、PoCのソースコードに Apache Magica by Kingcope とコメントされていることに由来しています（というか、私がそう訳しましたw）。 これは10月29日にPoCが発表されたPHP-CGI攻撃(CVE-2012-1823)の変種です。従来のPHP-CGI攻撃は、CGI版PHPが動作する環境で、PHPスクリプト（中身はなんでもよい）に対する攻撃でしたが、魔法少女アパッチマギカの方は、/cgi-bin/に置かれたPHP処理系（php-cgiなど）に直接攻撃するものです。 CGI版PHPを設置する方法は複数ありますが、よく使われる方法としてApacheのリダイレクトによりPHPスクリプトをPHP処理系に実行させる方法があります。この場合、/cgi-bin/php-cgiなどとしてPHP処理系を公開
モダンPerl入門増補改訂版（仮）
※本ページは『モダンPerl入門 増補改訂版（仮）』の特設サイトです。商品紹介のほか、電子書籍版の早期ディスカウント販売（β版を先行提供）などを予定しています。今後の更新情報は「CodeZine Books」のFacebookページなどで配信していきます。 本書の内容 本書は、Perl言語でプログラミングする上で、筆者の経験を基に日々の仕事で使えそうなティップスやベストプラクティスを集めた本です。基礎知識は身につけている読者を想定して、Perlの基本文法やプログラミングの基本は意図的にカバーしていないため、プログラミング初心者にとって本書は難解かもしれません。 2009年に刊行した初版では、いまだに根強い「Perl＝CGI」「Perl＝オブジェクト指向ができない」「Perl＝開発が止まっている」といった間違った思い込みを正したいという当時の筆者の思いから、筆者が使っている最新ツールやモジュ
窓の杜 - 【NEWS】手軽に導入できるフリーで多機能なWebグループウェア「GSMoN」
共有スケジュールや設備予約、回覧など多くの機能を備えるWebグループウェアCGI「GSMoN」v1.0が公開された。個人・法人やユーザー数を問わずフリーソフトとして利用可能で、現在ベクターのライブラリページからダウンロードできる。なお、本ソフトを利用したサービスを第三者へ提供するなど、商用目的の場合はフリーソフトとして利用できず、作者への問い合わせが必要。 本ソフトはWebサーバー上でPerl言語によるCGIとして動作し、外部のデータベースエンジンなどを必要とせず手軽に導入できるのが特長。編集部にて、Windows XP上の「Apache」v2.2.4または「04WebServer」v1.86と、「ActivePerl」v5.8.8.820の環境で動作確認した。また、画面はCSSスタイルシートによりデザインされているため特定のWebブラウザーに依存せず、表示も軽快だ。そのほかデータをテキス
開発メモ#3 : レガシーなCGIアプリケーションのリファクタリング - naoyaのはてなダイアリー
開発メモその3です。今回は Perl のおはなし。 何年も前に作ったウェブアプリケーションのコードを開いてみたら黒歴史なコードが出てきて憂鬱な気分になる、そんな経験ありませんか。私はあります。ずっとそんな現実から目を背けて生きてきました。 さて、先日 Perl + CGI で書いて Apache::Registry で高速化している、実行環境が Apache に癒着した CGIアプリケーションを発見しました。おえ〜っ。一から作り直したい気持ちをぐっと堪えて、これを Plack 化したりとリフォームしていくとしましょう。その過程を以下記します。劇的ビフォア・アフター! ･･･とかは期待せず、地道な変更を積み重ねていくのがコツです。 方針 いきなりコードをがりがり書き換えていくというよりは、試行錯誤のしやすい環境に移行させていきながらリフォームを進めます。遠回りですが、結果的にその後の運用が楽
Drk7jp
奥さんが東京にいる間に迎賓館に行きたいっ！と申すので、奥さんに丸任せで日帰り旅行の旅程を組んでもらった。その結果、「迎賓館赤坂離宮 本館内部見学と東京プリンスホテルのブッフェ」というコース名のはとバスツアーに行くこととなった。迎賓館赤坂離宮なんかは自分ではチョイスしない行き先なので、人任せにして旅を楽しむのも意外と良いかもしれないと思ったりした。 奥さんが以前から行きたいと言っていた益子にでも行ってみるかなとの考えに至った。調べてみると、栃木県益子町では例年、春のゴールデンウィークと秋の11月3日前後の年二回、町をあげての一大イベントとして益子陶器市が開催されていることを知った。県内外から春には約40万人、秋には約20万人が訪れ、益子焼を求める人々で賑わうとのことです。益子焼の陶器が欲しいなら、このイベントを逃す手はありません。朝早くから頑張ってお出かけしてきました！ 家計を１つのクレジッ
facebookにPHP CGIの脆弱性を試してみたら面白い対策がされていた！！ - cakephperの日記(CakePHP, Laravel, PHP)
PHPに新たな脆弱性が見つかって、CGIモードで動作するPHPの場合コマンドライン引数がHTTP経由で渡せてしまうため、-sオプションを渡すとPHPのソースコードが丸見えになるというのが話題になってます。(-sオプションはhtmlでシンタックスハイライトまでしてくれてコードが見やすくなる) そこでFacebookに向けてこれを試してみると・・・ https://www.facebook.com/?-s こんな情報が！！ <?php include_once 'https://www.facebook.com/careers/department?dept=engineering&req=a2KA0000000Lt8LMAS'; このURLにアクセスすると、セキュリティエンジニアの求人情報ページに行きます :) おしゃれー
Perlメモ
複数のプロセスでロック状態が異常であると判断し，そのうちの 1つがロックを解除したことにより，別のプロセスがロックしたにもか かわらず，先ほどロック状態が異常であると判断したプロセスによってこの正常なロッ クを解除されてしまう可能性があります． この方法の問題点は，異常なロック状態を解除する操作が正常なロック状態をも 解除できてしまうことにあります．逆に言えば，異常なロック状態を解除する操作に よって正常なロック状態を解除できなければ問題ないわけです．そのためにはどうす ればよいのか？ 答えはロック状態が常に変化していけば よいということです．そして，これを実現するのに都合がよいのが rename による方法になります． 最初のスクリプトで説明しますと，ロックファイルが lockfile という 名前のときがロックが解除されている状態で，lockfile987654321 のよう に後ろに
ランダムパスワード生成CGI
国税庁の電子申告（e-Tax）用の暗証番号を作る為に作成したCGIです。 4～50桁のランダムな文字列を生成することができます。（デフォルトは8桁） 自由に使っていただいて構いませんが、結果については自己責任でお願いします。
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
cakes（ケイクス）
小説形態素解析CGI - E.N.Nach
Abi-Station
Perl基礎入門 : KENT-WEB
Perfume - Desktop Disco - Global HP Motion Graphics Vol 3
