ウェブアプリにおけるBash脆弱性の即死条件 #ShellShock - めもおきば
条件1. /bin/shの実体がbashのディストリビューション RHEL CentOS Scientific Linux Fedora Amazon Linux openSUSE Arch Linux (自ら設定した場合: Debian, Ubuntu) 条件2. 動作環境 CGI (レンタルサーバでありがちなCGIモードのPHP等も含む) Passenger(Ruby) 条件3. プログラム内容 Passengerは全死亡 *1 systemや `command`、 '| /usr/lib/sendmail' などで外部コマンド実行 *2 PHPのmailやmb_send_mail、その他フレームワーク等を介したメール送信 *3 以下は条件1が不要 明示的にbashを呼ぶ 先頭で #!/bin/bash や #!/usr/bin/env bash しているプログラムを実行 (rbenv
ネットワーク管理者向け。ネットワーク監視システムをRuby on Railsで·Snorby MOONGIFT
SnorbyはSnortなどと連携させるRuby on Rails製のネットワークモニタリングシステム。 SnorbyはRuby/Ruby on Rails製のオープンソース・ソフトウェア。Webアプリケーション化が進むと、これまでイントラ内にあったサービスをパブリックなインターネット上に置くようになっていく。そうなると心配なのがセキュリティだ。 ダッシュボード サービス上の問題についてはもちろん、利用しているWebサーバやデータベース、SSHなどクラッカーが狙う可能性がある場所は無数に存在する。そんなネットワークを流れるパケットを監視するソフトウェアがSnorbyだ。 Snorbyは有名な監視システムであるSnortやSuricataまたはSaganなどを使ったソフトウェアで、モニタリングシステムをRuby on Railsで開発している。それもあってか、非常に見やすい優れたUIなのが特
Webアプリケーションセキュリティフォーラム - Journal InTime(2007-07-05)
_ Webアプリケーションセキュリティフォーラム というわけで、発表して来た。 スライド(PDF) スライド原稿(RD) 自分の発表はともかく興味深い話を色々聞けてよかった。 とくに奥さんと高木先生のバトルが面白かった。 追記: リクエストがあったのでバトルの内容について少し。 (曖昧な記憶に基づく再現で言い回しは違うと思うし、内容にも私の勘違いがあるかもしれません。念のため) 高木先生 Greasemonkeyの説明の部分がよく聞こえなかったんですが。 奥さん (内容を説明) 高木先生 ええと、「クッキーが漏洩する程度なので問題ない」と聞こえたような気がしたんですが。 私の心の声 (最初から聞こえてたんじゃ…) 奥さん ローカルファイルにアクセスできたり、任意のコマンドを実行されたりするのに比べれば、ということですね。 高木先生 いや、それは違うと思うんですよ。銀行サイトのクッキーが漏洩
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
処理を実行中です
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
情報セキュリティ技術動向調査（2010 年下期）：IPA 独立行政法人 情報処理推進機構
NZKoz's rails_xss at master - GitHub
