WebAppSec - WebAppSec Wiki - FrontPage
とりあえず立ち上げてみました。当面はルールや制限を設けず運用してみますので、ご自由にお使いください。 (ファイル添付機能だけは無効にしています。) 不具合・要望・ご意見は、[ フォーラム | 問い合わせ | メール ]お好きなところへお願いします。 目次 † 脆弱性の解説 脆弱性の解説/Blind SQL Injection 脆弱性の解説/Cookie Monster 脆弱性の解説/Cross Site Scripting(XSS) 脆弱性の解説/Session Fixation 脆弱性の解説/SQL Injection XSSにより発生しうる被害 バナーを隠す方法 PHP Easter Eggs を使ったバージョン推測 ブラウザ毎の挙動の違い SQL Injection によるDB種類の推測 情報源 XSSの実例 テスト手法 ↑
php.ini-recommendedはデフォルトでmagic_quotes_gpc=Off - cloned.log
「サニタイズ言うなキャンペーン」私の解釈 高木さんのブクマから発見したページ。とても解り易い説明だと思う。 PHPの話だけど、PHPのインストール時によくphp.iniの元ネタとして使われるphp.ini-distは magic_quotes_gpc = Onが初期設定になっている。ところが、php.ini-recommendedだと magic_quotes_gpc = Offとなっている（PHP 5.2.0）。だから、本来はPHPも「magic quoteをOffにするべきなんだよ」と考えているのかななんて思う。 でも、ホスティングなんかだとmagic quoteがOnのことが多いと思うし、汎用的にするためにmagic quoteがOnでもOffでも動作するようにしましょう的なことを書いているページも見かけるので、PHPのmagic quoteの設定はいつまで経っても困惑しそうなことだ
「サニタイズ言うなキャンペーン」私の解釈
高木浩光さんの「サニタイズ言うなキャンペーン」 という言葉自体はずいぶん前から存在したのだが、 続・「サニタイズ言うなキャンペーン」とはにて高木さん自身がいくつも誤解の例を挙げているように、 そしてまた最近も 駄目な技術文書の見分け方 その1にて「まだわからんのかね」と言われているように、 「わかりにくい」概念なんだろうとは思う。 そこで、僭越ながら、「サニタイズ言うなキャンペーン」について、 私なりの解釈を書いてみようと思う。 もっともこれが正解であるという保証はないのだが、 間違っていたらどなたかツッコミいただけることを期待しています(_o_) そもそも何のせいで「エスケープ」しなければならないのか たとえば住所氏名を登録させるWebアプリケーションは珍しいものではないと思う。 そこで、私が「Taro&Jiro's castle サウスポール」 とかいう恥ずかしい名前のマンション(?)
高木浩光＠自宅の日記 - 駄目な技術文書の見分け方 その1
■ 駄目な技術文書の見分け方 その1 はてなブックマークのホッテントリを見ていたところ、300を超えるユーザに登録された以下の記事があった。 今夜分かるSQLインジェクション対策, 上野宣, @IT, 2006年11月2日 また上野宣か。顔見知りなのでズバリいくことにする。 しかし、その対策はまだ本当に理解されていないように思える。 へえ。 終わりの方を見てみると、 Webアプリケーションの対策 入力値のSQLの特殊文字を適切にエスケープ 入力値＝プログラム（プロセス）に外部から入ってくるもの シフトJISの場合には1バイト文字を整理 SQLの記述をなくすためにO/R（Object/Relational）マッピングを活用 攻撃者に役立つ情報を与えないために、不要なエラーメッセージ（データベースが出力するエラーなど）の表示を抑止 対策に「準備された文」(prepared statement)
FirefoxのJavaScript実装に脆弱性--迅速な対応が困難な場合も
サンディエゴ発--オープンソースブラウザ「Firefox」について、2人のハッカーが米国時間9月30日午後、JavaScriptの扱いに関する重大な脆弱性があると指摘した。 Mischa Spiegelmock氏とAndrew Wbeelsoi氏は当地で開催されたToorConハッカーカンファレンスで、悪意あるJavaScriptを含むウェブページを作成するだけで、ブラウザを実行しているコンピュータを乗っ取ることができると説明した。この脆弱性は、Windows、Apple ComputerのMac OS X、Linux上のFirefoxに影響するという。 普段はブログ企業SixApartで勤務しているSpiegelmock氏は「Internet Explorerは、誰でも知っているように、あまりセキュアではない。しかしFirefoxも、かなり危険なのだ」と述べ、脆弱性の悪用に必要な攻撃コー
高木浩光＠自宅の日記 - 三井住友カードのCAPTCHA風無意味画像は月替わり？
■ 三井住友カードのCAPTCHA風無意味画像は月替わり？ 8月10日の日記「飾りじゃないのよCAPTCHAは 〜前代未聞のCAPTCHAもどき」で書いた、三井住友カードの「会員番号・暗証番号でのログイン方法」は、その後8月15日に利用したときには、数字画像の背景が黄色になり、パターンが別のセットに切り替わっていた。 あいかわらず、ひとつの数字に1つの画像しかないものであり、これは全く何の解決にもなっていない。色を変えたのは、何がしたいのかまったく意味不明だ。 日替わりか？ 週替わりなのか？ と気にかけていたが、いつ利用しても変化がなく、同じパターンが使われていた。それが、9月25日に利用した際に、今度はピンク色の背景の別のパターンセットに切り替わっていた。そしてその後から今日まで、同じピンク色バージョンが使われている。 しかも、これら3色のセットはいずれも、CAPTCHA風味を醸し出す曲
高木浩光＠自宅の日記 - サイボウズが再び「闇改修」をしたので電話で抗議したが無駄骨だった
■ サイボウズが再び「闇改修」をしたので電話で抗議したが無駄骨だった 結果を先に言うと、サイボウズ社はセキュリティポリシーによって、（アカウントを持つユーザからしか攻撃され得ないなどの）危険な状況が少ない脆弱性については告知するが、第三者から攻撃され得る脆弱性については告知しない（更新履歴やFAQには書いておくが積極的に知らせることをしない）という方針で、今回も、過去もそうしてきたし、今後もそうしていくつもりなのだという。 複数のサイボウズ製品にセキュリティ・ホール，情報漏洩などの恐れ, 日経IT Pro, 2006年8月28日 （1）は，細工が施されたリクエストを送信されると，公開を意図していないファイル（公開用フォルダに置いていないファイル）を表示してしまうセキュリティ・ホール（略） （2）は，Office 6に関するセキュリティ・ホール（略）。細工が施されたリクエストを送信されると，
SSHサービスに対する攻撃について @police (20060817_SSH.pdf)
Distributed via http://www.cyberpolice.go.jp/ 分析レポート 平 成１ 8 年 8 月 17 日 警 察 庁 SSH サービスに対する攻撃について １ はじめに SSH（Secure SHell）サービス1とは、ネットワークを介して別のコンピュータにログ インし、遠隔操作等を可能にするサービスのことである。また、パスワードを含むすべ ての通信を暗号化して行なうため、 盗聴等の攻撃に対しても安全な通信を確保できる （図 1） 。 警察庁では、SSH サービスに対するアクセスが昨年下半期と比較して約 20%増加して いることを認知した。そこでアクセスの中にある不正な攻撃の実態について調査するた め、環境を構築して観測を行った。その結果、SSH サービスを検出し、ID・パスワード を推測して認証試行を繰り返す攻撃ツールの存在を確認するこ
新しく追加されたMulti Category Security － ＠IT
第6回 新しく追加されたMulti Category Security 古田 真己 サイオステクノロジー株式会社 インフラストラクチャービジネスユニット Linuxテクノロジー部 OSSテクノロジーグループ 2006/8/16 今回からはSELinux Referenceポリシーの新機能であるMulti Category Security（MCS）の取り扱いを解説します。 MCSはオプションとして提供される機能で、アクセス制御対象のオブジェクトにカテゴリを設定してカテゴリ別のアクセスを実現します。 MCSは企業向けのセキュリティ機能 MCSは企業向けのセキュリティを提供します。MCSを説明するうえで必要なのは、同じくオプション機能のMLS（Multi Level Security）との比較です。それぞれの機能は下記の表のとおりです。
高木浩光＠自宅の日記 - 飾りじゃないのよCAPTCHAは 〜前代未聞のCAPTCHAもどき, CAPTCHA機能の発注仕様をどうするか
■ 飾りじゃないのよCAPTCHAは 〜前代未聞のCAPTCHAもどき CAPTCHA*1が基本的に荒らし対策目的で使用されるものであることは以前にも書いた。ユーザビリティの犠牲が少ないものは早いうちに破られるし、改良してもイタチごっこになることも目に見えている。それでもなお活用する意義があるのは、使用目的が荒らし対策だからだ。新規ユーザ登録や、ログインなしでできるコメントやトラックバックなど、元々自由に利用させる機能である限り、完全に防ぐことはできないのであり、たとえ将来破られる可能性があろうとも何もしないよりはましだというわけだ。（荒らしがよりハードルの低いところへ行ってくれることを期待できる。） そのようなCAPTCHAは、日本ではあまり普及していないようだ。荒し行為が英語圏での状況ほど深刻なものになっていないためか、あるいは、イタチごっこになることが目に見えている技術の採用を嫌う国
XSS - 表示系パラメータに存在する盲点 :: ぼくはまちちゃん！
こんにちはこんにちは！！ クロスサイトスクリプティングの時間です！ XSSというと…！ まっさきに思いつくのが、入力データ送信 → 確認表示の部分での無害化漏れですよね！ たとえばこんな感じのフォームから受け取ったパラメータを、 確認として表示するページとか！ (入力) <form action="register.cgi" method="post"> タイトル：<input type="text" name="title"> ← 「ぼくはまちちゃん！」を入力 本文：<input type="text" name="body"> ← 「こんにちはこんにちは！！<script>alert(1)</script>」を入力 </form> (確認) <p>この内容で登録していい？</p> <p> タイトル： ぼくはまちちゃん！<br> 本文： こんにちはこんにちは！！<script>alert
高木浩光＠自宅の日記 - Windowsの「.p7s」拡張子に対するデフォルトの関連付けは不適切, 内閣官房のメルマガのS/MIME証明書がfree 60-day trial edition..
■ Windowsの「.p7s」拡張子に対するデフォルトの関連付けは不適切 S/MIME署名されたメールをS/MIMEに対応していないMUA（電子メール利用ソフト）で表示すると、「smime.p7s」という添付ファイル付きの形で表示される（図1）。 これは、RFC 2633にあるように、S/MIMEが、署名データをMIMEの添付ファイルの形式で付加するように設計されているからだ。 3.4.3.3 Sample multipart/signed Message Content-Type: multipart/signed; protocol="application/pkcs7-signature"; micalg=sha1; boundary=boundary42 --boundary42 Content-Type: text/plain This is a clear-signed me
美女が認証システムの代わりに -- hotcaptcha
「CAPTCHA」（Completely Automated Public Turing test to tell Computers and Humans Apart）という言葉を知らなくても、「ユーザー登録をする時に『ここに書かれている文字を読み取って入力しろ』と要求される仕組み」と言えば何のことか分かる人が多いのではないでしょうか。そのCAPTCHAに新しい発想を取り入れた"hotcaptcha"なるものが登場していました： ■ hotcaptcha -- Captcha Mashup 「美女（女性用に男性バージョンもアリ）を3人選ぶと認証される」という CAPTCHA（hot な美女を選ぶ captcha で"hotcaptcha"）。サムネイルにカーソルを合わせると画像が拡大表示されるので、じっくり？美醜を判断することができます。正しく美女3人を選ぶと、上のスクリーンショットのよ
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
zip ファイルのパスワードを破る - メモ帳
パスワードはなぜ半角英数なのか - まちゅダイアリー (2006-11-17)
http://www.vector.co.jp/soft/win95/amuse/se401824.html
ebay、paypal、53
168社のプライバシーマーク認定事業者が個人情報を漏洩、JIPDEC調査
0-DAY - SIMPLE SQL INJECTION
制御プログラムにミス シ社の昇降トラブル)北海道新聞 社会