PHPのsprintfによるSQL組み立てで脆弱性が生じる例
1番目 sprintf("SELECT * FROM table WHERE id = %d", $value); $valueにどのようなデータが入っていようが、PHPの「親切な」型変換により数値に変換されます。escape()が無くても問題ありません。 "123" => 123 " 123" => 123 "123abc" => 123 "abc" => 0 " " => 0 "" => 0 null => 0 ただし、4つめ以降の例はアプリケーションとしては意図しない動作になるでしょうから、その観点では事前にバリデーションが必要です。 2番目 sprintf("SELECT * FROM table WHERE id = %s", escape($value)); 1番目の%dを%sに書き換えescape()を付加した例です。$valueはリテラルではなくSQL構文の一部として展開さ
PHP入門書のSQLインジェクションとXSS対策をあらためて調べてみた
継続的にPHP入門書のセキュリティ問題を確認していますが、今回は「やさしいPHP 第3版」を取り上げ、今どきのPHP入門書のセキュリティ状況を報告したいと思います。 やさしいPHP やさしいシリーズ 単行本 – 2008/2/29 やさしいPHP 第2版 (やさしいシリーズ) 単行本 – 2010/8/28 やさしいPHP 第3版 (「やさしい」シリーズ) 大型本 – 2014/9/26 上記のように、2008年に初版が出版された後2回の改版がありました。 第2版ではクロスサイトスクリプティング(XSS)の説明が追加され、第3版ではXSSに加えSQLインジェクションの説明が追加されました。つまり、初版ではこれらの説明はなかったということです。 第3版におけるSQLインジェクションの対策方法はプレースホルダによるもので、結果として本書にSQLインジェクション脆弱性は見当たりません（パチパチパ
Aura for PHP 雑感 (と PHPフレームワークについて徒然) - Qiita
誰かさんみたいに、●●雑感、という記事を書いてみたかっただけ、というのもあります。 まず Aura について知らない人が居たら、とりあえずこのあたりを参考に: PHPフレームワーク「Aura v2」がクリーン過ぎるので試してみる で、とりあえずこの記事では、Aura の使い方を説明するとかではなくて、それを取り巻く全体的なナニカについて徒然と書いてみようかと思います。 トピック的にはこんなかんじ: 良質で軽量・クリーンなコンポネント群 Framework of Framework 良質で軽量・クリーンなコンポネント群 Aura がなにか、と言われたら多分フレームワークではなくコンポネント群である、という感じ。 Aura.Di (Dependency Injection) があり、Aura.Router (URL 解析とアクションの確定) があり、Aura.Dispatcher (アプリケー
websec-room.com - websec room リソースおよび情報
This webpage was generated by the domain owner using Sedo Domain Parking. Disclaimer: Sedo maintains no relationship with third party advertisers. Reference to any specific service or trade mark is not controlled by Sedo nor does it constitute or imply its association, endorsement or recommendation.
ホスト名バリデーションのやり方
(Last Updated On: 2018年8月13日)徳丸さんのブログで私のブログ「GHOSTを使って攻撃できるケース」にコメントがあったようなので、好ましいホスト名バリデーションの方法を書いておきます。 特定の低レベルAPIのバグが10年ほど前に書いた本のコードで対応できていない、と議論するのもどうかと思いますがしっかりチェックする場合の例を書いておきます。 そもそもホスト名の仕様はどうなっているのか？ 入力バリデーションを行うには仕様を理解する必要があります。ホスト名の仕様は幾つかのRFCで言及されています。例えば、RFC 2181の11. Name syntaxには That one restriction relates to the length of the label and the full name. The length of any one label is li
Vagrant + WordPress + Amazon S3でブログをセキュア＆快適に運用する方法 – littlebird
WordPressは手軽にWebサイトが構築できるパワフルなツールですが、昨今その脆弱性を狙った攻撃が多様化しており、保守に関わるコストも増大しています。 そこで本サイトでは、ローカルの仮想環境に構築したWordPressからHTMLファイルを生成し、完全な静的サイトとして安全に公開・運用するフローを導入しました。 仮想環境や、WordPressの静的化というと難しく聞こえるかもしれませんが、便利なツールやプラグインを使えば、比較的簡単に実現することができるので、今回はその方法を紹介します。 注意：このページの解説はMac OS X 10.9.5環境での作業を前提に動作の検証を行っています。 WordPressのセキュリティ対策について 近年、WordPressに対するアタックが増加しており、度々ニュースにもなっていますが、皆さんWordPressのセキュリティ対策はどうされていますか？例
「Azure Websites で作るスケーラブルな PHP アプリケーション」を GoAzure 2015 で発表してきました
Home > Azure | Laravel | PHP > 「Azure Websites で作るスケーラブルな PHP アプリケーション」を GoAzure 2015 で発表してきました Azure コミュニティの一大イベント GoAzure 2015 にて、「Azure Websites で作るスケーラブルな PHP アプリケーション」という発表を行ってきました。 セッションでもお話したのですが、テーマは、もう一つあり、それは「LAMP(LAPP) ユーザが使う Azure Websites」でした。 Azure は、マイクロソフトのサービスなので、どうしても Windows に最適化されているイメージがあったのですが、普段 Mac で開発して、Linux にデプロイして、運用している人間でも、興味深いサービスであることを伝えようと考えました。 発表資料 発表資料は、こちらです。 発
mongopress.org
The goal of the Free Monitoring service Once you’ve landed on this article, then you probably want to learn what a Free Monitoring service is. Okay, great. In the previous article, we explained what Heartbeat Monitoring is. Its function is to check the physical state of your devices. But do these two things have anything in common? The answer is yes. Free Monitoring service is a set of goodies thr
FuelPHP ◇ CSRF対策を行う - ソノウチイエオカウ
1.config.phpの設定 csrf_autoload : trueにすると自動でチェックを行う。ほとんどの場合、手動でチェックを行うのでfalseにしておく csrf_token_key ： hiddenにセットされるcsrfチェック値のキー csrf_expiration ： csrfクッキーの有効期限。0より大きな値は有効な秒数 2.htmlへcsrfキーのセット（チェックを行う前画面） echo \Form::hidden(\Config::get('security.csrf_token_key'), \Security::fetch_token()); 3.チェック if ( ! Security::check_token()) { // CSRF 攻撃または CSRF トークンの期限切れ }
ytake.blog | laravelアーキテクチャ再考と中規模以上のノウハウ(年末特大号)
laravelアーキテクチャ再考と中規模以上のノウハウ(年末特大号) Posted: 2014-12-31 02:02 | laravel PHP全般 年末なので、今年一年laravelを個人規模からそこそこ大規模まで利用したノウハウと、 個人的なポイント等を紹介したいと思います 若干主観もありますが、実際に使った時のものを混ぜて紹介します 実務で使う方や、企業で導入しようと思ってる方にも参考になる様に頑張ります 新原さんの自分流 Laravel 4 アプリケーションアーキテクチャ も是非参考にしてみてください 規模による考え方の違い まずはlaravelはそもそも何向きなのかという事ですが、 開発規模は実際のところは問いません 高速なレスポンス等が要求される場合は、ある程度の規模でしたらPhalconがオススメですが、 お気に入りのフレームワークでしたら何でもいいでしょう！ って事にした
PHPを高速化するRecki-CTとは一体何なのか - hnwの日記
@ircmaxellさん作の「Recki-CT」を試してみたので紹介します。作者によるブログ記事「ircmaxell's blog: Introducing Recki-CT」によれば処理によってはHHVMやHippy VMより速いらしいのですが、この記事だけでは詳細がよくわからずモヤモヤしていました。今回ソースコードまで確認してみて、前作のPHPPHPを超える変態作品だとわかりました（参照：「PHPPHPがド変態であることに今さら気づいた」）。 Recki-CTを試してみる Recki-CTの概要を説明すると、既存のPHP関数に型情報のアノテーションを記述して呼び出し方を少し変えることで、その関数をJITコンパイルしてネイティブコードとして実行するPHPライブラリです。JITコンパイルにはlibjitのPHPバインディングであるJIT-Fuを利用しています。 では、さっそく試してみましょ
PHPUnit コードカバレッジの向上事例を紹介します
ヤフー株式会社は、2023年10月1日にLINEヤフー株式会社になりました。LINEヤフー株式会社の新しいブログはこちらです。LINEヤフー Tech Blog はじめに こんにちは、ヤフーメール エンジニアの小沼俊治です。 開発者の皆さんの中には、CIにユニットテストの自動化を導入して、日々開発されるプロダクトの品質維持に務めている方々も多いのではないでしょうか？ 私の担当サービスでもxUnitを使ってプロダクトコードにテストコードを作成して、CIツールのジョブで定期的にユニットテストを実行して品質維持に活用しています。 そして、それらテストコードがきちんと品質維持に貢献されていくためには、プロダクトコードのビジネスロジックをどれだけ網羅できているのか？ と言う観点が重要になってきます。 その観点の達成状況を確認する指標の1つとして、ユニットテストを実行した時に行われるコードカバレッジ解
『例えば、PHPを避ける』以降PHPはどれだけ安全になったか
この記事はPHPアドベントカレンダー2014の22日目の記事です 。 2002年3月に公開されたIPAの人気コンテンツ「セキュアプログラミング講座」が2007年6月に大幅に更新されました。そして、その一節がPHPerたちを激しく刺激することになります。 (1) プログラミング言語の選択 1) 例えば、PHPを避ける 短時日で素早くサイトを立ち上げることのみに着目するのであれば、PHPは悪い処理系ではない。しかし、これまで多くの脆弱性を生んできた経緯があり、改善が進んでいるとはいえまだ十分堅固とは言えない。 セキュアプログラミング講座（アーカイブ）より引用 「PHPを避ける」とまで言われてしまったわけで、当然ながらネット界隈では炎上を起こし、現在はもう少しマイルドな表現に変わっています(参照)。 本稿では、当時のPHPの状況を振り返る手段として、この後PHPのセキュリティ機能がどのように変化
ライブラリをつかって効率的にプログラムを書くぞ！ - Webアプリエンジニア養成読本 AdventCalendar2014 18日目 - uzullaがブログ
ついにはてなブログがMarkdownとはてな記法の都度切り替えができるようになった！すげー便利だ！（ただ、なんかリンク埋め込み時とかに、無駄に改行がはいるような？バグかな） さておき、本エントリはWebアプリエンジニア養成読本アドベントカレンダーです。 Webアプリエンジニア養成読本 Advent Calendar 2014 - Qiita Webアプリエンジニア養成読本[しくみ、開発、環境構築・運用…全体像を最新知識で最初から! ] (Software Design plus) 作者:和田 裕介,石田 絢一 (uzulla),すがわら まさのり,斎藤 祐一郎技術評論社Amazon 私の担当分においては、こちらの書籍でお話できなかった、初心者向けの事について書いたりしております。 あと一週間ですが、ネタ切れ著しいです、だれかネタをください。 ライブラリとは ライブラリは、特定の処理を再利用
Phalconを使って画像変換サーバをつくる - Qiita
個人的に2014年はPhalconと出会い、Phalconの魅力に取り憑かれ、そしてPhalconに最後まで悩まされた1年でした。そんな2014年のPhalcon Advent Calendarにこのエントリを捧げます。 Webサービスと画像変換サーバ マルチプラットフォームを対象にしたWebサービスを展開するにあたって、必ず頭を悩ますのがデバイスごとの各種画像サイズへ対応です。固定のアイコン画像などであればPhotoshopなどで書き出すときに自動化してしまえばいいものの、ユーザから投稿された画像だったりするとサーバサイドでの自動変換が必要になったりします。 こうした問題を解決するためにCOOKPADさんのmod_tofuだったりクラスメソッドさんのRudessだったり、各社それぞれに独自の実装をしているケースが多いようです。このような機能をPhalconを使って実装してみました。 実現
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
PHP の GC の話
HHVM at Etsy
AWS SDK for PHP のパフォーマンスを改善するたった３つのこと - Qiita
GitHub - takatama/php-tenki: A console application for displaying 7days weather forecast.
Rocketeer + Jenkins + Laravelで自動デプロイしたい
