セキュリティ専門家でも間違える！文字エンコーディング問題は難しいのか?
(Last Updated On: 2018年8月13日)一見徳丸さんのブログは分かりやすいように思えますが、それは単純な実験により分かりやすいように見えるだけで複数の間違いがあります。 その間違いとは 意図の取り違い – 誤読 言語の仕様と実装の理解不足 HTTPやPHP仕様の理解不足 セキュリティ対策をすべき場所の理解不足 です。(※0) 徳丸さんは非常勤とは言え、国の出先機関の研究員であるし、その出先機関は職務放棄とも言える文書（「例えば、PHPを使用しない」と勧める文書）を公開している(いた?)のでしっかり反論しておく必用がありますね。IPAのあの文書は職務放棄と言える文書だと思っています。これについても後で意見を述べます。 意図の取り違い – 誤読 最初の間違いは私のブログのエントリ「何故かあたり前にならない文字エンコーディングバリデーション」に対する理解です。特にPHPユーザに
Webアプリにおける11の脆弱性の常識と対策
Webアプリにおける11の脆弱性の常識と対策：Webアプリの常識をJSPとStrutsで身につける（11）（1/4 ページ） 本連載は、JSP／サーブレット＋StrutsのWebアプリケーション開発を通じて、Java言語以外（PHPやASP.NET、Ruby on Railsなど）の開発にも通用するWebアプリケーション全般の広い知識・常識を身に付けるための連載です 【2013年2月25日】編集部より、おわびと訂正のお知らせ 本稿において読者の皆さまより多数のご指摘をいただきまして、誠にありがとうございます。編集部であらためて調べた結果、間違いを把握し、あらためて修正版を掲載させていただきます。この度は、長期にわたり誤った内容を掲載したので、読者の皆さまに多大なご迷惑をお掛けしたした点をおわび申し上げます。 通常、記事に間違いがあった場合には、筆者確認後に修正版を掲載するのですが、今回の場
携帯電話向けWebアプリのセッション管理はどうなっているか - ockeghem's blog
最近購入したPHP×携帯サイト 実践アプリケーション集を読んでいて妙な感じがしたので、この感覚はなんだろうと思っていたら、その理由に気づいた。本書に出てくるアプリケーションは、PHPのセッション管理機構を使っていないのだ。そんな馬鹿なと思ったが、目次にも索引にも「セッション」や「session」という語は出てこない。サンプルプログラムのCD-ROM上で session を検索しても出てこないので、セッションはどこでも使っていないのだろう。 そうは言っても、本書にはブログやSNSなど認証が必要なアプリケーションも登場する。本書で採用している認証方式はこうだ。 携帯電話の個体識別番号を用いた、いわゆる「かんたんログイン」のみを使う 認証状態をセッション管理機構で維持しない。全てのページで毎回認証する そのため、「iモードID」など、ユーザに確認せずに自動的に送信されるIDを用いる つまり、全て
PHP:open_basedirの設定 – ホームページ作成・WEB制作・CMSカスタマイズ・ツール作成ならtiny-p
Pleskの設定でPHPを有効にすると open_basedirの設定がセキュリティの関係ということで /var/www/vhosts/[ドメイン名]/httpdocs:/tmp となってしまいます。 これの設定変更方法です。 設定は /var/www/vhosts/[ドメイン名]/conf/ の中に vhost.conf を作成して 中身は <Directory /var/www/vhosts/[ドメイン名]/httpdocs> <IfModule sapi_apache2.c> php_admin_value open_basedir “/var/www/vhosts/[ドメイン名]:/tmp” </IfModule> <IfModule mod_php5.c> php_admin_value open_basedir “/var/www/vhosts/[ドメイン名]:/tmp” </
ウノウラボ Unoh Labs: 脆弱性検知ツールratproxyをCygwin上で動かしてみました
こんにちは！やまもと＠テスト番長です。 先日Googleからプロキシ型の脆弱性発見ツール「ratproxy」が公開されました。 これは触らないと！ということでCygwin上で動かしてみました。 ratproxy http://code.google.com/p/ratproxy/ cc1:error: unrecognized command line option "-Wno-pointer-sign" ので、 Makefileの23行目 CFLAGS = -Wall -O3 -Wno-pointer-sign -D_GNU_SOURCE のところから-Wno-pointer-sign を消して再チャレンジします。 すると今度はこの警告が出ます。 *** WARNING: flare-dist/flare binary is not operational. *** Plea
ローカルホストのCookie SIMPRAIGHT
localhostでcookie使おうとしたときに正常に保存されない。 cookieのdomainの値に通常は許可するアクセス元ドメインを設定するワケですが、localhostの場合素直にdomain=localhostにしちゃうとダメらしい。しりませんでした。 PHPのsetcookieの場合、 [| setcookie( 'cookiename', 'cookievalue', strtotime("+1 hour"), '/', 'localhost' ); |] とかしちゃうとだめで、 [| setcookie( 'cookiename', 'cookievalue', strtotime("+1 hour"), '/', [false|red] ); |] と書けばおｋ。
それ Unicode で
UTF-7 を使ってスクリプトを記述 +ADw-SCRIPT+AD4-alert(\'XSS\');+ADw-+AC8-SCRIPT+AD4- IE は、文字エンコーディングが不明で UTF-7 っぽい文字列があれば、自動判別で UTF-7 となる。
ソフトウェアバグの標準辞書が完成間近--業界内での用語統一に期待
バージニア州アーリントン発--米国土安全保障省（DHS）の資金提供による、セキュリティ関連バグを収録する標準的な「辞書」を作成する計画が形になりつつある。同計画の推進メンバーが米国時間3月1日に発表した。 この取り組みは「Common Weakness Enumeration（CWE）」と名付けられ、バッファオーバーフローや書式指定文字列のエラーなど、ソフトウェア脆弱性の正式なリストの作成を目指している。現在使われているソフトウェア脆弱性の用語は、多くのテクノロジ企業やセキュリティ企業によって異なるが、このリストが標準言語として用語の統一に役立てられる。 CWE計画を統括する非営利団体MITREの情報セキュリティ担当主席エンジニアSteve Christey氏は、バージニア州アーリントンで開催された「Black Hat DC 2007 Briefings & Training」でプレゼンテ
PHP と Web アプリケーションのセキュリティについてのメモ
このページについての説明・注意など PHP は、Apache モジュールや、CGI、コマンドラインとして使用できるスクリプト言語です。このページでは、主に PHP における、Web アプリケーションのセキュリティ問題についてまとめています。 Web アプリケーションのセキュリティ問題としては、以下の問題についてよく取り挙げられていると思いますが、これらのセキュリティ問題について調べたことや、これら以外でも、PHP に関連しているセキュリティ問題について知っていることについてメモしておきます。 クロスサイトスクリプティング SQL インジェクション パス・トラバーサル(ディレクトリ・トラバーサル) セッションハイジャック コマンドインジェクション また、PHP マニュアル : セキュリティや、PHP Security Guide (PHP Security Consortium) には、PH
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
連載：なぜPHPアプリにセキュリティホールが多いのか?｜gihyo.jp
http://www.machu.jp/posts/20060701/p01/