自作コンパイラの部屋
オブジェクト指向言語としてのJavaScript(2007/09/17更新) Web Application Security(WAS)に関する話題(2008/06/02更新) ockeghemの日記(はてなダイアリー) 2008-02-26 セキュリティの常識・非常識 パスワードの定期変更は「神話」なのか? 2008-01-27 45歳からのプログラミングこそ至上の悦楽 わーい ＼（＾o＾）／ PL/0を JS で書いたよー！ 2008-01-07 これはMITMですか 2007-12-05 クロスサイトスクリプティング(XSS)とCSRFの違い早分かり(2) クイズ:XSSとCSRFはどこにありますか? 2007-12-03 クロスサイトスクリプティング(XSS)とCSRFの違い早分かり XSSはブラウザ上でスクリプトが動き、CSRFはサーバー上でスクリプトが動く 2007-12-01
何故かあたり前にならない文字エンコーディングバリデーション
(Last Updated On: 2018年8月8日)私が4年前（2005年）に「Webアプリセキュリティ対策入門」を執筆していた時には、既に壊れた文字エンコーディングなどの不正な文字エンコーディングを利用したJavaScriptインジェクションやSQLインジェクション攻撃は比較的広く知られていました。この問題は当時のスラッシュドットジャパンでも取り上げられていました。/.で取り上げられたので、そこら中のWebサイトとユーザが被害に合うのでは？とヒヤヒヤしたので良く覚えています。 不正な文字エンコーディングを利用した攻撃は、文字エンコーディングを厳格に取り扱い、文字エンコーディングをバリデーションすれば無くなります。これを怠ると、システムのどこで問題が発生するか予想できなくなります。つまり、いい加減に文字エンコーディングを取り扱うと安全なシステムは作れないのです。 参考：エンジニア向けに
第27回 見過ごされているWebアプリケーションのバリデーションの欠陥 | gihyo.jp
今回解説するWebアプリケーションのバリデーションの欠陥はPHPに限った問題ではありません。多くのプラットフォームのWebアプリケーションで見過ごされているバリデーション仕様の欠陥です。それは文字エンコーディングのチェックです。 文字エンコーディングバリデーションの必要性 筆者の知る限りでは、2004年に相次いで今まで知られていなかったアタックベクタ（攻撃経路）が見つかりました。2004年に多く見つかった新しいアタックベクタとは不正な文字エンコーディングを利用した攻撃です。不正な文字列を利用したJavaScriptインジェクションやSQLインジェクションの攻撃手法が公開されました。 文字エンコーディングを利用した攻撃自体は当時でも新しい攻撃手法ではありませんでした。文字エンコーディングを利用した攻撃は、少なくとも2000年から広く知られていた攻撃手法でした。ブラウザが文字エンコーディングを
ディレクトリトラバーサル - Wikipedia
この記事には参考文献や外部リンクの一覧が含まれていますが、脚注による参照が不十分であるため、情報源が依然不明確です。適切な位置に脚注を追加して、記事の信頼性向上にご協力ください。（2019年4月） ディレクトリトラバーサル (英語: directory traversal) とは、利用者が供給した入力ファイル名のセキュリティ検証/無害化が不十分であるため、ファイルAPIに対して「親ディレクトリへの横断 (traverse)」を示すような文字がすり抜けて渡されてしまうような攻撃手法のことである。 この攻撃の目標は、アクセス可能にすることを意図していないファイルへのアクセスをアプリケーションに命令することである。この攻撃は、コードに含まれるバグの攻撃とは対照的に、セキュリティの欠如 (ソフトウェアがまさにそう振る舞うことになっている動作) を攻撃する。 ディレクトリトラバーサルには ../ (
脆弱性を利用した攻撃手法（3） --- ディレクトリ・トラバーサルとOSコマンド・インジェクション
ポイント ●ディレクトリ・トラバーサルとは，「../」のような文字列を使ってWebサーバーのディレクトリ・パスをさかのぼり（横断して），公開されていないディレクトリにアクセスする手法のことである ●OSコマンド・インジェクションは，ディレクトリ・トラバーサルの手法を用いてOSコマンドがあるディレクトリにアクセスし，OSコマンドを実行する手法のことである ●どちらの手法も，Webアプリケーションの脆弱性，具体的には「入力される可能性のあるデータに対する考慮不足」を悪用する攻撃手法である 前回は，Webアプリケーションの脆弱性の大枠を確認しました。今回は「ディレクトリ・トラバーサル」と「OSコマンド・インジェクション」の詳細を学びます。いずれもWebアプリケーションの脆弱性＝「入力される可能性のあるデータに対する考慮不足」を狙った攻撃手法です。 ディレクトリ・トラバーサルのカラクリ ディレクト
第39回 MOPS：静的PHPソースコード脆弱性スキャナ RIPS | gihyo.jp
第32回 PHPセキュリティ月間（Month of PHP Sercurity）で「PHPセキュリティ月間」（MOPS - Month of PHP Security）について簡単に紹介しました。 今回は静的にPHPソースコードを分析しセキュリティ脆弱性を検査するツールの紹介です。 MOPS Submission 09: RIPS - A static source code analyser for vulnerabilities in PHP scripts http://www.php-security.org/2010/05/24/mops-submission-09-rips-a-static-source-code-analyser-for-vulnerabilities-in-php-scripts/index.html 昨年発見された脆弱性のおよそ3割がPHPアプリケーシ
CSRF脆弱性対策 - monjudoh’s diary
CSRF対策のtokenはセッションIDで良い セキュリティ的にワンタイムトークン>セッションIDではない。 という話が、この辺の記事に書かれています。 高木浩光＠自宅の日記 - クロスサイトリクエストフォージェリ（CSRF）の正しい対策方法 高木浩光＠自宅の日記 - CSRF対策に「ワンタイムトークン」方式を推奨しない理由, hiddenパラメタは漏れやすいのか？ 肝はこういう事のようです tokenは外部のサイトから知り難い(実質知り得ない)ものでないといけない セッションIDはcookieに格納される document.cookieは自ドメインのものと親ドメインのものしか見れない→外部サイトで動かすJavaScriptからは参照できない セッションIDは『暗号学的に安全な擬似乱数生成系で生成されているはず』(引用) 推測も事実上できない 補足すると、セッションIDを使用したCSRF対
WIKIWIKI.jp Sample Wiki*
初級 基本 (まずは、ここだけおさえればOK！) 最初にやること Hot 新しいページを作る ページを編集する Hot ページを探す (検索) ページを削除する リンクを張る Hot ページを凍結・凍結解除する (要：管理パスワード) 総合 ヘッドエリア・フットエリアを編集する (要：管理パスワード) Hot タイトルを変更する Hot あるページを見本に新しいページを作る (複製) 階層の仕組み あるページの子階層に新しいページを作る 整形関連 文字装飾 (強調・斜体・下線・取り消し線・文字サイズ・文字色) font New メイリオに強制斜体をあてる New 相対指定文字サイズ 改行・行間 Hot 特殊文字 (タブコード、行頭に半角スペース、コピーライト©、ハート♥) 数値参照文字 日時置換文字 ページ名置換文字 アンカーの設定 ルビをふる 注釈 引用文 水平線 左・中・右寄せ 整形済
Kazuho@Cybozu Labs: (Twitter の XSS 脆弱性に関連して) 構造化テキストの正しいエスケープ手法について
昨日の Twitter の XSS 騒ぎは、まだ皆さんの記憶に新しいことと思います。いい機会なので、ツイートのような構造化テキストのエスケープ手法について触れておきたいと思います。 Twitter のメッセージは、単なる平文（プレインテキスト）ではなく、「@英数字」のような他のユーザーへの言及と「http://〜」のような URL を自動的にハイパーリンク化する構造化テキストです。 このような複数のルールをもつ構造化テキストを HTML 化する際には、どのようなコードを書けばいいのでしょう？ まず「@〜」をリンク化してから、URL をリンク化すればいいのでしょうか？ それだと、@〜 のをリンク化した A HREF タグの中の URL がさらにリンク化されていまいますね。 では、URL をリンク化してから @〜 をリンク化すればいいのでしょうか？ それだと、@ を含む URL があった場合に
セキュリティのかかったPDFファイルからテキストを抽出する方法 : (Dreamのお好み情報箱)
視覚障害者のPC利用に役立つ話題、アクセシビリティ関連、Dreamのエッセイ、KUyo's Homepageの更新情報などをお届けいたします。 Adobe社のアクセシビリティ対応とスクリーンリーダーがこれに対応したことより、スクリーンリーダーを利用してPDFファイルの読み上げが可能になってきました。しかし、PDFファイルのセキュリティの設定によっては、残念ながら読み上げできない場合があります。そこで、このようなPDFを読み上げさせる方法をいくつか紹介します。 「xdoc2txt」を使う 「xdoc2txt」というフリーウェアがあります。二つのファイルをダウンロードしなければならなかったりショートカットを作成したりと準備が必要なので簡単に使い方を説明します。 まず、こちらのページから以下の二つのファイルをダウンロードします。 xdoc2txt 1.16 ( d2txt116.lzh /107
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
x.com
IT 勉強会カレンダー検索
dfltweb1.onamae.com – このドメインはお名前.comで取得されています。