SHA-1衝突攻撃がついに現実に、Google発表 90日後にコード公開
GoogleはSHA-1ハッシュが同じでコンテンツが異なる2つのPDFも公表した。90日後には、こうしたPDFを生成するためのコードを公開するとも予告している。 Webブラウザのセキュリティ対策など幅広い用途に使われてきたハッシュアルゴリズムの「SHA-1」について、米Googleは2月23日、理論上の可能性が指摘されていたSHA-1衝突を初めて成功させたと発表した。これでSHA-256やSHA-3のような、安全な暗号ハッシュへの移行を急ぐ必要性がこれまで以上に高まったと強調している。 SHA-1を巡っては、脆弱性を悪用される危険性が高まったことを受け、主要ブラウザメーカーや電子証明書の発行機関が段階的な廃止を進めている。 Googleはオランダ・アムステルダムのCWI Instituteと2年がかりで共同研究を実施。Googleの技術とクラウドインフラを駆使して大規模な演算処理を行い、S
BKPCTFのRSA暗号問題を解く - sonickun.log
2016年3月4日に開催されたBoston Key Party CTFにチームm1z0r3として少しだけ参加した．大会からかなり日が経ってしまって今更感があるが，今回はbob's hatというRSA暗号の問題のWrite-upを書こうと思う． http://bostonkey.party/ bob's hat - Crypto 4 問題概要 Task: bob’s hat — 4 : crypto : Alice and Bob are close together, likely because they have a lot of things in common.This is why Alice asked him a small *q*uestion, about something cooler than a wiener. File: bkpctf_crypto_bobhat
【まとめ】はじめてのエックスサーバー完全ガイド全30記事｜Xserver - 鯖メシ
「本気でビジネスブログを始めたい」「ネットで副収入を稼ぎたい」 そのような方に最高のレンタルサーバーは、サーバーの性能が高い、データ転送量も十分。そして利用者のことを考慮して使いやすい（操作性の充実）ことが重要です。 エックスサーバーは、このどれも満たしている素晴らしいサーバーです。 ここでは、エックスサーバーについて次のポイントを解説しています。 評価・感想 料金 機能一覧 プランの違い 他社サーバーとの比較 他社サーバーからWordPressを引っ越す方法 使い方マニュアル 全プラン・サービス機能一覧表 特に初心者の方も分かるよう、専門用語は噛み砕いて解説しています。安心して読み進めてください。 とりあえず公式サイトを確認したい方は、こちらからどうぞ。 エックスサーバー公式サイトを見る 更新日時について 当記事は2016年3月15日に公開していますが、2016年10月1日に最新の情報に
監視カメラを覗くことができるサイトが発掘され、祭りに。日本の銭湯やコンビニなど : IT速報
Insecamというおかしなサイトが話題。世界中の無防備なWebカメラを覗き見ることができる。 メニューから「メーカー」「国」「場所」を選べる仕様 http://www.insecam.org/ （自己責任で） 日本ではPanasonic製のカメラが覗き見られているもよう。中には銭湯の脱衣所などもあり、セキュリティー意識の低さが物議に。 Insecamというおかしなサイトが、世界中の無防備なWebカメラ73000台を表示できる、と豪語している。 その多くはCCTVやシンプルなIPカメラだが、それらに共通しているのは、一般的にアクセス可能なネットワークポートへストリーミングされていることと、デフォルトのパスワードをそのまま使っていることだ。だから誰でも、Webをクロールするロボットなどを使って、単純に”admin/admin”とタイプし、そのストリームにアクセスできる。 わざわざ弱いパスワー
ハッキングされたSEOのバックリンクネットワークの分析 | POSTD
訳注：ハッキングされたサイト－相互にリンクし、マネーサイトへもリンクしている マネーサイト－ハッキングされたWebサイトのネットワークからリンクジュースを受け取る 先週の火曜日、私たちはGoogleから、クライアントのWebサイトがハッキングされたという知らせを受けました。当初はそれが、私が長年見てきた中でも、最も衝撃的な類のSEOハッキングであるとは気付きもしませんでした。 こうしたタイプのハッキングは、インターネット、特にWordPressのサイトでは非常によくあることです。 攻撃者であるハッカーは、特定のフレームワークを含むオープンWebのIPアドレスをスキャンするでしょう。今回の場合、ハッカーはWordPressのサイトを探していましたが、ハッキングされた中にはMagentoのサイトやカスタムサイト、多くの他のフレームワークも見受けられました。今回のハッキングで最も印象的だったのは
パスワードの定期変更という“不自然なルール”
nmapでおなじみのnmap.orgで公開されているパスワードクラッカーだ。ncrackの開発は、2009年からGoogle Summer of Codeで始まり、この記事を執筆している時点でも、バージョンはALPHA版の0.3である。 しかし筆者が使ってみたところ、対応プロトコル（サービス）は「hydra」「medusa」と比べ少ないものの安定して動作し、速度も申し分なかった。 nmapのログを使用して、検出したポート、サービスに応じたオンラインクラックを実施するという機能もある。ALPHAが取れるころにはどんなツールに進化しているのか、いまから非常に楽しみなツールだ。 オプションの詳細説明は、筆者のブログで紹介している。記事執筆時点で対応しているプロトコルは、FTP、TELNET、SSH、HTTP（S）、SMB、RDP、POP3（S）だ。 例えば、 「root」というユーザーと「nts
サービス終了のお知らせ
平素より「PHPプロ！」をご愛顧いただき、誠にありがとうございます。 2006年より運営してまいりました「PHPプロ！」ですが、サービスの利用状況を鑑みまして、2018年9月25日（火曜日）をもちましてサービスを終了させていただくことになりました。 サービス終了に伴いまして、2018年8月28日（火曜日）を持ちまして、新規会員登録ならびにQ&A掲示板への新たな質問、回答の投稿を停止させていただきます。 なお、ご登録いただいた皆様の個人情報につきましては、サービス終了後、弊社が責任をもって消去いたします。 これまで多くの皆様にご利用をいただきまして、誠にありがとうございました。 サービス終了に伴い、皆様にはご不便をおかけいたしますこと、心よりお詫び申し上げます。 本件に関するお問い合わせはこちらよりお願いいたします。
Kali Linuxのhydraでブルートフォースを試す - ろば電子が詰まつてゐる
前回までの記事(http://d.hatena.ne.jp/ozuma/20130527/1369661407)でKali Linuxをインストールしたので、今日はTHC-Hydraを使ってブルートフォースによるログインを試してみる。 ※お約束ですが、本記事の内容を他人のサーバに対しておこなうと不正アクセス禁止法に触れることになります。自分の管理下のサーバのみに試すようお願いします。 環境 我が家のKali Linuxは、MacBookのParallels Desktop 8 for Macの中で動かしている。このゲスト機のKali Linuxから、さくらのVPSで設置した"やられ役"を攻撃するという形で実験をおこなった。 役割 種別 OS CPU メモリ ホスト機 MacBook(Early2009) Snow Leopard (Mac OS X 10.5.8) Intel Core 2
携帯電話基地局になりすましてスマホの個体識別情報や位置情報を集める「スティングレイ」を用いた捜査手法の実態
By aussiegall アメリカ国家安全保障局(NSA)が1日で全世界50億台の携帯電話の現在地を追跡していたことが判明しているように、いまや犯罪捜査においては携帯電話やスマートフォンからの情報取得が不可欠といえるものになっています。そんな捜査の一例として、強力な電波を発することによって携帯電話網の基地局になりすまし、一般市民にはほとんど気付かれることなく個人の位置情報などを特定してしまう「Stingray(スティングレイ)」と呼ばれる機器を用いた捜査手法の実態が明らかにされました。 VICTORY: Judge Releases Information about Police Use of Stingray Cell Phone Trackers | American Civil Liberties Union https://www.aclu.org/blog/national-
Google+ログイン用のメールアドレスを簡単に盗むことが出来るバグが存在していたことが明らかに
By ntr23 オンラインマーケティング企業のDistilledでコンサルタントを務めるトム・アンソニーさんが、Google+のアカウントでログイン時に使用しているメールアドレスを盗み見ることができるバグを発見しました。 Google Exploit - Steal Account Login Email Addresses Tom Anthony http://www.tomanthony.co.uk/blog/google-exploit-steal-login-email-addresses/ アンソニーさんは、自身の勉強と、Googleのセキュリティホールを報告した際にもらえる報奨金のために、しばしばGoogleのバグ探しを行っているそうです。彼はこれまでにもバグを報告したことがあったそうですが、今回発見したものはとてもシンプルながら簡単に悪用できるものであったそうです。 Goo
Googleグループで「社外秘」と検索してテキーラ吹いた - Hagex-day info
いえ〜ぃ（シャンパングラスを掲げながら）、みんなGoogleグループで個人情報を検索してるかい？ 上司に怒鳴られたとき、原因不明で妻が不機嫌なとき、彼のセックスが下手で欲求不満なとき、ブログを頑張って更新してもさっぱりアクセスが来なくてイライラしているときは「Googleグループ」にアクセスだ！ すべての煩悩を吹き飛ばしてくれるグーグル教のありがたいご利益を受け取ろう。 「090-」「エントリーシート」「日報」「はてなブックマーク 」といった、単語でサーチすれば、やじうま根性を満たしてくれる個人情報がばんばんヒットするぞ。 以前、こんな楽しい秘密を暴露するアホがいたが、こんなことをする奴は無粋の極み。おかげで、ヒットするデータが減ってしまったじゃないか。 しかし、今日も懲りずにもGoogleグループで「社外秘」で検索すると以下のデータがヒットしたぞ。こっそりみんなに教えてあげるね。 ほほう
ますます巧妙になるFacebookアカウント乗っ取り。Facebookマーケティングのプロが教えるその傾向と対策。 @reosucker | TechWave（テックウェーブ）
[読了時間: 5分] スパムアカウント３人からの申請を受けてしまうと、アカウントが乗っ取られるという証明スクショがこれだ。 ダミーアカウント３人に申請を受けてしまっている状態だと、この画面の後１−２分で、アカウントの乗っ取りは終了してしまう。 乗っ取った後、悪意のあるユーザーは以下の事が出来る。 ・メッセージの盗み読み。 ・Facebookにクレジットカードやペイパルを紐付けている場合は、それを使った課金。 ・あなたの友人へのなりすましスパムメール。 ・アカウントの削除。 ・あなたの管理するFacebookページの乗っ取り。 等々 では、上記の被害に合わない為に何をするべきか、そして予防策として何をするべきかを説明して行こう。 スパムアカウントの特徴 まずスパムアカウントの傾向を説明したい。 敵をしれば〜って奴だ。 基本的に男性に送られてくる、スパムアカウントは現在下記の様な特徴を持ってい
5月から多発しているHP改ざんインシデントをまとめてみた。 - piyolog
概要 5月に入ってから複数の組織でホームページの改ざんが発生していると報じられています。この件に直接関連しているかは不明ですが、IPAや警察庁、トレンドマイクロもホームページの改ざんに関して注意喚起や情報を掲載しています。IPAは2008年に猛威を振るったGumblarによるものや2012年9月18日前後に多発したHP改ざんの規模に匹敵すると発表しています。ここでは5月以降発生している改ざんインシデントについてついてまとめます。 （PDF）外見上変化のないウェブサイト改ざん事案の多発について - @police(警察庁) （PDF）ウェブサイト改ざん事案の多発に係る注意喚起について - @police(警察庁) 2013年6月の呼びかけ「 ウェブサイトが改ざんされないように対策を！ 」- IPA JPCERT/CC Alert 2013-06-07 Web サイト改ざんに関する注意喚起 -
自己流のSQLインジェクション対策は危険
HTMLエスケープの対象となる < > & " の4文字は、文字実体参照に変換された後、preg_replace関数でセミコロンを削除してしまうので、中途半端な妙な文字化けになりそうです。 一般的な原則としては、データベースにはHTMLの形ではなくプレーンテキストの形で保存しておき、HTMLとして表示する直前にHTMLエスケープする方法で統一することで、上記のような文字化けやエスケープ漏れをなくすことがよいでしょう。 脆弱性はないのか このsanitize関数に脆弱性はないでしょうか。上表のように、バックスラッシュ（円記号）を素通ししているので、MySQLや、設定によってはPostgreSQLの場合に、問題が生じそうです。以下、それを説明します。以下の説明では、MySQLを使う想定とします。 以下のように、ログイン処理を想定したSQL文組立があったとします。 $sql = sprintf(
「パケット警察 for Windows」 - 筑波大学発ベンチャー ソフトイーサ
パケット警察 for Windows (フリーウェア) 遠隔操作ウイルスによる冤罪を防止するための通信記録・プロセス起動記録ソフト 2012 年 10 月 22 日公開 筑波大学発ベンチャー ソフトイーサ株式会社 「パケット警察 for Windows」は、あなたのパソコンの通信記録やソフトウェアの起動記録を見張り、自動的にハードディスク上に蓄積するソフトウェアです。 Windows 98, ME, NT 4.0, 2000, XP, Server 2003, Vista, Server 2008, 7, Server 2008 R2, 8, Server 2012 で動作します。さらに、IPv6 にも対応しています。 万一、遠隔操作ウイルスによってあなたのパソコンが犯罪者にリモート操作され「踏み台」となった場合に、ウイルスの起動記録や犯人の通信記録がすべてログに残りますので、あなたの無実
iCloudハック事件の手口がガード不能すぎてヤバイ | fladdict
GizmodeのライターがiCloudのアカウントを乗っ取られ、iCloud消滅、iPad, iPhone, Macのデータワイプ、Gmail, Twitterの乗っ取りを食らった件について、ハッキングを本人が語ってらっしゃる。 手口としては典型的なソーシャルエンジニアリングによる、複数サイトから得た情報のギャザリングを用いたハック。 だがこのハッキングのプロセスが鮮やかすぎてヤバイ。ツールを一切つかわず電話だけでハッキングしてる。 Twitterアカウントに目をつける 元々クラッカーは、Gizライターの持っていた「３文字のTwitterアカウント」が欲しくてアタックをかけたらしい。 Twitterプロフィールから、本人のウェブサイトへ 本人のウェブサイトからGmailのアドレスを発見 Gmailで「パスワードがわからない」から再発行 再発行メール用のアドレスが画面に表示される。この m*
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
オレ的ゲーム速報JINのスパム認定の原因！？
Wi-Fiハッキング猫、「無防備なルーター」を探す（動画あり）
米Google、表現の自由のためのツール3種発表、検閲回避のブラウザー拡張など 
はじめての暗号化メール (Thunderbird編)
