Struts2が危険である理由
はじめに 2017年3月、Struts2にまたしても新たな脆弱性(S2-045、S2-046)が見つかり、複数のウェブサイトにおいて情報漏洩等の被害が発生しました。筆者は2014年4月（およそ3年前）に「例えば、Strutsを避ける」という記事を書きましたが、今読み返してみると「やや調査不足の状態で書いてしまったな」と感じる点もあります。今回、良いタイミングなのでもう一度Struts2のセキュリティについてざっとまとめてみたいと思います。 なぜJavaなのにリモートからの任意のコード実行(いわゆるRCE)が可能なのか Struts2はJavaアプリケーションであり、Java製のアプリケーションサーバ上で動作します。Javaはいわゆるコンパイル型の言語であるため、通常はランタイムにおいて任意のコードを実行することはできず、RCEは難しいはずです。 JavaのウェブアプリケーションでRCEが成
Seasar2から卒業しよう - ひがやすを技術ブログ
人は、新たな環境で経験を積んでいくと、少しずついろんなことが出来るようになり、そのうち、その環境では、何でも自分の思った通りに出来るようになります。 「おら、強ぇ」状態。 これは、素晴らしいことなのですが、一つ問題があります。成長が止まってしまうことです。 人は、知らないことを経験したり、つまずきを乗り越えたときに、成長します。知らないことがほとんどなくなったり、つまずくことがなくなったりすると、成長が止まってしまうのです。 Seasar2.4、S2JDBC、SAStrutsと開発してきて、通常のサーバーサイドJavaは、十分にやりきった感がありました。このままこの場所にいるのは、心地いいんだけど、成長が止まってしまうのが不安でした。 人って不思議なもので、一定の能力でとどまるってことが出来ないんだよね。成長が止まると、能力は落ちていく。 自分はどこか、ドラゴンボールの悟空に似ているところ
Strutsを使い続けることの問題点＆現在有力なJava EE、Spring、Play Frameworkの基礎知識とアーキテクチャ
エンタープライズJava開発に従事している方であれば、一度はStruts 1を扱ったことがあるでしょう。Struts 1はJavaのWebアプリケーションフレームワークとして2001年ごろに誕生しました。 MVCモデルに基づいたアーキテクチャと高い生産性から、数年後にはデファクトスタンダードとなるほどの人気を獲得。当時、多くの企業がこぞってStruts 1を使った企業システムを構築しました。筆者自身が業界に入ったのは2004年のこと。最初に参加したプロジェクトがStruts 1を使った企業システムの構築だったことをよく覚えています。 当時に作られたシステムの多くは、今でも現役で稼働しています。最近でもStruts 1ベースの企業システムを改修する話はよく聞きます。しかし、2013年にサポート終了を迎えたため、今後Struts 1を使い続けることは大きなリスクになりました（参考）。つまり、新
JJUG CCC 2015 Spring 「新人エンジニア奮闘記 - Javaって何?からwebサービスを公開するまで -」発表スライド
JJUG CCC 2015 Spring の発表資料。 --------------------------------------------------------------------------------- 私は2014年にITベンチャーにエンジニアとして入社しました。 理系の大学院出身でしたが、学生時代はとにかくプログラミングから逃げるように過ごしてきました。 入社後の研修ではJavaでif文やfor文の書き方を学んでいたという見事な初心者っぷり。 そんなJava初心者の私が、2ヶ月でwebサービスを開発し、公開するというプロジェクトにチャレンジしました。 数々の困難を乗り越え、何とか「ニクリーチ2016」というwebサービスを公開。 当セッションでは 入社後どのような研修を受けたのか ニクリーチ2016ではどのような技術を使ったのか 一人開発プロジェクトを通して感じたこと
Javaのプログラムはどうやって動いているの? JVM編
Yahoo! JAPANのIaaS基盤では200超のOpenStackクラスタが稼働しており、それらのコントロールプレーンをKubernetes上にデプロイしています。IaaSチームで管理している十数のKubernetesクラスタは古いバージョンのまま運用が続けられていたため、現在、段階的にバージョンアップおよびその自動化に取り組んでいます。このようなクラスタ群をメンテナンスする中で、工夫した点や失敗した点、得られた知見を紹介します。 Yahoo! JAPAN Tech Conference 2022は2022年2月3日、4日に開催しました。 https://techconference.yahoo.co.jp/2022/ アーカイブ動画はこちらからご覧ください。 https://youtu.be/F5EQqWOw8So
List list = new ArrayList();と書く理由 ｜トピックアップ Java
List list = new ArrayList();と記述する理由 Tweet インタフェースとクラス Javaの開発現場でよく見かける実装である List list = new ArrayList(); としてインスタンスを取得する記述。 Javaエンジニアでこの記述を見たことがないという方は恐らくいないのではと思います。 どうしてこのような記述にしているのか？ ます結論として、以下を考えています。 Listはインタフェースなので List list = new List(); の記述は不可能 Listインタフェースが持つメソッドで必要十分 ArrayListでインスタンスを取得するのは ArrayListの使い方（単純にaddして取り出す）が多いから 以下、解説していきます。 答えというよりは考え、程度でご覧いただければ。 まず、Listはインタフェースなので List list
java：Javaコーディング標準：命名規則｜てんねんのSE備忘録
てんねんのSE備忘録 てんねんのためのSE備忘録 間違い指摘いただけると助かります また、拍手なんかしていただけると喜びます ●今回は以下のJavaコーディング標準より「３．命名規則」について http://objectclub.jp/community/codingstandard/CodingStd.pdf ●命名規則とは… 各パッケージ名やクラス名などの名前の付け方 ●パッケージ名 「.」で区切られる ●ファイル名 public クラス名のとき、クラス名.javaとなる ●クラス名 先頭大文字・区切りを大文字 例：public AddValueToIt{} ●例外クラス名 最後にException 例：public AddValueException{} ●インターフェイス名 基本はクラスと同じで、先頭大文字・区切りを大文字 →クラスと区別したい場合：先頭に「I」を付ける 例：IAd
ネットワークプログラミングの基礎知識
ネットワークプログラミングの基礎知識 ここでは IP アドレスやポート番号、クライアントとサーバの役割などを説明し、 perl・C言語・Java などでソケット (Socket) を使った HTTP クライアントや POP3 クライアント、簡単なサーバを作成してみます。 要はネットワークプログラミングをやってみよう、ということです。 このページのサンプルプログラムは、RFC などの規格に準拠した「正しい」プログラムではありません。 また、全体的にエラー処理が不十分です (今後改善する予定です)。 あくまでも概要を理解するためのサンプルととらえてください。 もし本気でしっかりとしたクライアントやサーバを書きたいなら、このページを読んだ上で、 さらに RFC を熟読し、そして wget・Apache・ftp コマンドなどのソースを参考にしてください。 このページに間違いを見付けたら、掲示板 で
趣味プログラミングの勧め：仕事しながら1週間で作ったサービスを紹介してみる - 今日学んだこと
2019/1/1追記：メンテの気力もなくなり、でもサーバー代はかかっており・・・という状況なのでクローズしました １週間ほどブログの更新をサボっていたんですが、何をしていたかというと新しいWebサービス作ってました。 作ったもの http://www.programmerprofile.net/ ソースも公開しちゃうよ！ nakazye/ProgrammerProfile · GitHub 何コレ？ プログラマーのツイッターアカウントを言語毎に並べ立てるサービスです。コンセプトだったり作ったきっかけだったり諸々あるんですが、それは正式リリース時にとっておきます（Topに書いてある通り、まだα版の位置づけ） 趣味プログラミングのススメ ここからが本題。 デザインが酷いとか、コードが投げやりとか、色々意見はあるかと思うんですが、一応動いてます。 コレ、2/1(日)の23時から開発始めたので、休
マンガで分かる Java入門講座 - マンガPG
「マンガで分かるJava入門講座」は、Javaというプログラム言語を、じっくりと時間を掛けてマンガで解説していくという入門者向けの講座です。 架空の高校生たちに教える形式で、Javaの基礎から順に解説していきます。一通りのマンガを読めば、Javaのオブジェクト指向の概念について学べます。 以下、内容の数値データです。 マンガありの話数：95話 マンガなしのコラム：9話 合計Webページ数：104ページ マンガの総ページ数：832ページ ソースコードは、ダウンロード ページ から入手できます。 PDF版はこちらから入手できます。kindle版はこちらから入手できます。 このマンガは「箱人形マンガ(Box Comic) 」で作成しています。 公開開始：2013/04/20 第1部完結：2013/06/09 第2版完成：2015/08/18 最終更新：2018/03/01 作成：クロノス・クラウ
Javaエンジニア養成読本が出ます！ - Challenge Engineer Life !
11月11日に「Javaエンジニア養成読本」が出版されます。 この本は、Javaの最新動向を踏まえつつ、開発現場で役に立つような実践的内容を含むことを目標に企画されました。幅広い内容を6名の著者による共著で執筆したものです。 新人エンジニアの方や、最新のJavaを採用検討している方、開発現場へツールの導入検討される方など、様々な方々に読んで頂ければ幸いです。 私はJava EEのパートを担当させて頂きました。今年の7月くらいからブログが全く書けなかったのは、こちらに集中していたためでした(^^; Javaエンジニア養成読本 [現場で役立つ最新知識、満載!] (Software Design plus) 執筆している当時、ちょうど仕事で新人さん(プログラミング経験はない方)のOJT担当をしていたのですが「この書籍を使えば幅広くまとまってて楽に教えられるのに…」と思っていました。そんな使い方も
新人研修でドヤ顔で披露したらウケたEclipseのショートカット集 - Qiita
最近新人研修（プログラミング未経験者・大学で専攻など、ごちゃまぜ）に関わることがありました。 適当なタイミングでEclipseのショートカットキーを教えていたのですが、実演してあげると食いつきがよかったです。 ウケがいい≒新人から需要があるといえそうですし 教えるほうも教わるほうもモチベーションを保ちやすいです。 その点で、ウケるかどうかは大切な視点のひとつだと思います。 なので、ウケのよさランキングの形式で、ショートカットを紹介したいと思います。 環境は、WindowsでPleiadesのやつ（http://mergedoc.sourceforge.jp/ ）を使って、Javaを教えていました。 第20位 ctrl + alt + k スネークケースとキャメルケースの切り替え 変数名やメソッド名を選択した状態でctrl + alt + k 教えていたのはJavaなのですが、C言語のように
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
オブジェクト指向できていますか？
[PDF] ゴールドマン・サックスの Javaへの取り組み![[PDF] ゴールドマン・サックスの Javaへの取り組み](https://cdn-ak-scissors.b.st-hatena.com/image/square/9fde5984be827ed36f2451eca8d64f2306a86f21/height=288;version=1;width=512/https%3A%2F%2Fopengraph.githubassets.com%2F3c3b508c74a73793c07443269fd131d667ded6f9e1bc497639e5e40743c72ca5%2Feclipse%2Feclipse-collections)
ファイルをコピーする - Javaちょこっとリファレンス
プログラマーの“宿命”？ ファイル操作に関する常識
設定
アメリカのプログラマーの言語別年収ｗｗｗｗｗｗｗｗｗ : キニ速