DeNA Engineering - DeNAエンジニアのポータルサイト技術を活かし、新しい価値を創造する DeNAのエンジニアは、想像を超えるDelightを届けるために何ができるかを考え、技術力と発想力で新しい価値を生み出しています。 多様な専門性を持ったエンジニアが切磋琢磨し、互いに刺激し合える環境や制度がさらなる成長へとつなげます。
さくらのVPSに来る悪い人を観察する その２
さくらのVPSにアタックしてくる人たちを、ハニーポットなど使いながらその行動を観察した記録です。観察日記。 今回のネタは以下2つです。 ＊SSH honeypot(Kippo)を使った悪い人の行動観察、アンケート ＊/cgi-bin/php (Apache Magica攻撃)の観察 なおこのスライドは、2013年12月7日のSecurity Casual Talks(すみだセキュリティ勉強会)での発表資料です。 http://ozuma.sakura.ne.jp/sumida/ またスライド中、動画は以下のURLで閲覧できます http://youtu.be/gp3SBjZNWHURead less
高木浩光さんへ、しっかりしてください - 最速転職研究会
技術者としての良心に従ってこの記事を書きます。俺はセキュリティとプライバシーの人ではなく、JavaScriptとUIの人である。法律の勉強だって自分の生活と業務に関わりのある範囲でしかしないだろう。しかし少なくともJavaScriptやブラウザが絡むような部分については、確実に自分のほうが理解していると思っている。高木浩光さんが、あからさまに間違ったことを書いたり、おかしなことを書いていたりしても、徐々に誰も指摘しなくなってきたと思う。おかしなこと書いていたとしても、非技術者から見たときに「多少過激な物言いだけど、あの人は専門家だから言っていることは正論なのだろう」とか、あるいは技術者から見た時でも、専門分野が違えば間違ったことが書かれていても気付けないということもあるだろう。 もう自分には分からなくなっている。誰にでも検証できるような事実関係の間違い、あるいは、技術的な間違いが含まれてい
非技術者のためのOAuth認証(?)とOpenIDの違い入門【2023年版】
昔から、「OpenIDは認証でOAuthは認可だ」などということが言われます。しかし、その言語の意味を取り違えている方が結構多い気がしています。「もうOpenIDなんていらね。OAuthだけでいいじゃん」というような言説がよく流れてくるのがその証拠だと思います。OAuth認証というのもその類ですね。 そこで、今日はOAuthとOpenIDの違いを考えてみたいと思います。 Youtube版 OpenIDは紹介状、OAuthは合鍵 まずはOpenIDの概要の復習です。「OpenIDは認証」という言葉の内容をまずは復習してみましょう。 「認証」とは大変広い言葉でいろいろな場面で使われますが、「OpenIDは認証」という使い方の時は、「OpenIDは、いま来ている人の身元を認証」（ユーザ認証）という意味です。図にすると図1のような流れになります。 この例では、有栖さんがお客としてサービス提供をして
ヤフーにおけるインプットバリデーション「何も信じるな」 (Yahoo! JAPAN Tech Blog)
ヤフー株式会社は、2023年10月1日にLINEヤフー株式会社になりました。LINEヤフー株式会社の新しいブログはこちらです。LINEヤフー Tech Blog こんにちは、R＆D統括本部 開発推進室 セキュリティプラットフォーム技術 セキュリティスペシャリストの戸田 薫です。 今回は、私たちが普段からヤフーのシステムに対する入力にどのような注意を払っているのか、そのいくつかをご紹介致します。 入力とは? Webサイトを運営している場合、どのような入力があるでしょうか？ たとえば、Webサービスには、以下の入力があります。 Cookie URL GET/POSTのデータ ファイルのアップロード その他リクエストヘッダ そのほかにもいくつもあります。 環境変数 設定ファイル クローラが取得したデータ パートナー企業のAPIから取得したデータ（XMLやJSONなど） パートナー企業の入稿用 F
クラッキング
最初にその異常に気がついたのは、インターネットへ接続しているルータを 監視しているモニタ・プログラムだった。 モニタ・プログラムは、定期的にルータが動作しているか、ルータが応答するか どうかを確認している。いわゆる ping による応答確認である。 その日、モニタ・プログラムは、ルータからの応答がないという警告のメールを ネットワーク管理者に送りはじめた。 いつもの通り、H師匠は会社に着くと、メール・チェックを行った。 しかしその日は、ふだんは見かけないメールが幾つも届いていた。モニタ・プログラム からの警告メールである。 時刻は深夜、1時間程度の間、ルータからの応答がなかった ことになる。ルータとモニタ・プログラムが稼働しているサーバは、 同じ スイッチング・ハブ に 接続されており、これは、ルータが本当にダウンしたのでなければ、極めて異常なこと である。ただし、警告のメールは約1時間後
Web Application Firewall 読本 | アーカイブ | IPA 独立行政法人 情報処理推進機構
2019年3月28日に、「Web Application Firewall 読本」の補足資料として、「Web Application Firewallの導入に向けた検討項目」を公開しました。 こちらは、WAFの導入を検討されている方、既に導入済みで運用を見直したい方向けに、WAFにはどのような製品・サービス種類が存在し、どのような特徴があり、 運用の際にどのような体制が必要かを解説しております。 概要 「Web Application Firewall 読本」 「Web Application Firewall 読本」は、ウェブサイト運営者がWAFの導入を検討する際に、WAFの理解を手助けするための資料です。本資料では、KISA(*1)やOWASP(*2)、WASC(*3)などの機関におけるWAFに関する取り組み、WAFの概要、機能の詳細、導入におけるポイント等をまとめました。 第1章では
SQL Injection Cheat Sheet | Invicti
Use our SQL Injection Cheat Sheet to learn about the different variants of the SQL injection vulnerability. In this cheat sheet you can find detailed technical information about SQL injection attacks against MySQL, Microsoft SQL Server, Oracle and PostgreSQL SQL servers. What is an SQL injection cheat sheet? An SQL injection cheat sheet is a resource where you can find detailed technical informati
パスワードの定期変更という“不自然なルール”
しばしば「パスワードは○日ごとに変更しましょう」といわれるけれど、それで本当にクラックの危険性は減るの？ ペネトレーションテストの現場から検証します（編集部） ※ご注意 本記事に掲載した行為を自身の管理下にないネットワーク・コンピュータに行った場合は、攻撃行為と判断される場合があり、最悪の場合、法的措置を取られる可能性もあります。また、今回紹介するツールの中には、攻撃行為に利用されるという観点から、アンチウイルスソフトにウイルスとして検出されるものも存在します。このような調査を行う場合は、くれぐれも許可を取ったうえで、自身の管理下にあるネットワークやサーバに対してのみ行ってください。また、本記事を利用した行為による問題に関しましては、筆者およびアイティメディア株式会社は一切責任を負いかねます。ご了承ください。 今回は久しぶりに、ペネトレーションテストの現場の話から始めよう。 ペネトレーショ
パスワード定期変更云々 - pochi-pの絵日記
「定期的にパスワードを変更」すべきか否か、セキュリティの話でたびたび繰り返されるテーマです。 だいたいの話は徳丸浩さんが昨年書かれたエントリで完結してると思います。 （私も定期的に変更するのはあまり意味が無いと思ってます） ところで、↑のエントリのコメントの一つを、高木浩光さんがブックマークしてました。 「総当りで試し終わる前にパスワードが変わってしまうことになります」< これが（私の待ち望んでいた）典型的誤解。パスワード変更しても突破確率はたいして変わらない。これが直感でわからない人達がいるのが原因。 http://b.hatena.ne.jp/HiromitsuTakagi/20090806#bookmark-15186383 一応直感で分かってる（つもり）のpochi-pですが、（自分が）間違ってる可能性もあるので一度きっちり検証してみたいと思います。 そんな訳で、夏休みの自由研究は
@IT アクセスログの改ざんと検出方法
※ご注意 他社および他組織のWebサイトなどへのポートスキャンおよびデータの取得などの行為で得た情報を侵入などに悪用するか、または同じ目的を持つ第三者に提供した時点で違法となります。ご注意ください。 本稿の内容を検証する場合は、必ず影響を及ぼさない限られた環境下で行って下さい。 また、本稿を利用した行為による問題に関しましては、筆者および株式会社アットマーク・アイティは一切責任を負いかねます。ご了承ください。 前回「第5回 バックドアの検出と対処」はバックドアの検出と対処方法について説明した。最終回の今回は、攻撃者が侵入後に行うアクセスログの改ざんとその検出方法、さらにはログの調査方法について説明する。 ログの重要性 実際にサーバを運用管理する者なら、OSや各種ソフトウェアが出力するログの重要性は身に染みて分かっていることだろう。なぜなら、ログからはサーバを運用管理するうえで必要となるさま
仕掛けられたバックドアの検出と対処
※ご注意 他社および他組織のWebサイトなどへのポートスキャンおよびデータの取得などの行為で得た情報を侵入などに悪用するか、または同じ目的を持つ第三者に提供した時点で違法となります。ご注意ください。 本稿の内容を検証する場合は、必ず影響を及ぼさない限られた環境下で行って下さい。 また、本稿を利用した行為による問題に関しましては、筆者および株式会社アットマーク・アイティは一切責任を負いかねます。ご了承ください。 「第4回 攻撃者が侵入後に行うバックドアの設置例」では、バックドアを仕掛ける手法の事例をいくつか紹介した。今回は、それらのバックドアへの対処と検知方法について説明する。 対処法 - バックドアを仕掛けられてしまったら 侵入やバックドアの痕跡を見つけた時点で、サーバ管理者はどのような対処をすべきか？ という問いに対して、読者の皆さんなら何と答えるだろうか。持っている意見は人それぞれだろ
ポートスキャン
1.5 ポートスキャン 相手ホストにダメージを与える、もしくは侵入するといったとき、事前の準備として、ポートスキャンと呼ばれる調査を行います。これは「外部から対象サーバへアクセスが可能か？」「脆弱性のあるサービスが動いていないか？」を調べる作業です。 サーバにはいくつものサービス（メールのやり取りやホームページデータの送信等）がありますが、中には脆弱性を含むサービスがあり、これらを不用意に稼動すると、それらを突かれて侵入を許す場合があります。 攻撃を目論むクラッカは、まず対象サーバでどのサービスが稼動しているかを調べます。サービスはポートと呼ばれる接続口（実際にサーバに穴があるわけではないのですが、概念として1番から65535番までの接続口が開いていると考えてください）を通して提供されおり、基本的にどのサービスが何番のポートで提供されているかが決まっているため、アクティブになっている（開い
エンタープライズ：第1回：Tripwireを導入する (1/4)
第1回：Tripwireを導入する (1/4) Linux上のファイルやディレクトリを監視し、変化があれば管理者に知らせてくれるツールとしてTripwireがある。もし意図しないファイルの改ざんやアクセス権の変更などが発見されれば、早期に対策を困じることが可能になるわけだ。まずは、Tripwireの導入方法から解説しよう 「Tripwire」は、チェックを行いたいファイルやディレクトリの状態をデータベースとして保存し、システムの現在の状態をデータベースと照らし合わせ、変化がないかを比較するツールだ。もし、不正アクセスなどによりファイルの改ざんや削除、パーミッションの変更などがあれば、それをエラーとして管理者に報告してくれるわけだ。ただし、すでに改ざんされているシステムにTripwireを入れても、それを発見することはできない。システムを構築した時点でTripwireをインストールし、データ
Ywcafe.net
Ywcafe.net This Page Is Under Construction - Coming Soon! Why am I seeing this 'Under Construction' page? Related Searches: Cheap Air Tickets fashion trends Top 10 Luxury Cars Credit Card Application Work from Home Trademark Free Notice Review our Privacy Policy Service Agreement Legal Notice Privacy Policy
TechCrunch | Startup and Technology News
Byju’s is cutting 500 to 1,000 more jobs at the firm, this time eliminating several non-sales roles as well, as the Indian edtech giant pushes to improve its finances, according to a person fami While platforms like Reddit and Twitter are changing rules and making life difficult for developers of third-party clients, the ecosystem of Mastodon apps is still growing. Today, indie developer Jake
【レビュー】HTTPセッションハイジャックを実行できるFiresheep登場 | エンタープライズ | マイコミジャーナル
Firesheep, a Firefox extension designed to demonstrate just how serious this problem is. Eric Butler氏が公開したFirefoxエクステンションFiresheepが大きな話題になっている。FiresheepはオープンワイヤレスネットワークにおいてHTTPセッションハイジャックを実施するためのデモンストレーションエクステンション。このエクステンションを使うとほかのユーザのクッキーを取得して他人になりすましたログインが可能になる。Firesheep 0.1においてHTTPセッションハイジャックが実施できるサイトは次のとおり。今後のバージョンアップで対応するサイトが増える可能性もある。 Amazon.com Basecamp bit.ly Cisco CNET Dropbox Enom Everno
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
Engadget | Technology News & Reviews
キヤノンITソリューションズ：ESET Smart Security & ESET NOD32アンチウイルス：重要なお知らせ
補遺