2024/3/31(土)開催のコミュニティイベント「Bsides Tokyo 2024」でのAzara、eiによるセッション資料です。 https://bsides.tokyo/2024/#xss-using-dirty-content-type-in-cloud-era
XSS using dirty Content Type in cloud era
2024/3/31(土)開催のコミュニティイベント「Bsides Tokyo 2024」でのAzara、eiによるセッション資料です。 https://bsides.tokyo/2024/#xss-using-dirty-content-type-in-cloud-era
SPAセキュリティ超入門 | ドクセル
スライド概要 SPA(Single Page Application)の普及が一層進んでおり、従来型のMPAを知らないウェブ開発者も生まれつつあるようです。SPA対応のフレームワークでは基本的な脆弱性については対策機能が用意されていますが、それにも関わらず、脆弱性診断等で基本的な脆弱性が指摘されるケースはむしろ増えつつあります。 本セッションでは、LaravelとReactで開発したアプリケーションをモデルとして、SQLインジェクション、クロスサイトスクリプティング、認可制御不備等の脆弱性の実例を紹介しながら、現実的な対策について紹介します。LaravelやReact以外のフレームワーク利用者にも役立つ説明を心がけます。 PHPカンファレンス2022での講演資料です。 PHPカンファレンスでの動画URL https://www.youtube.com/watch?v=jZ6sWyGxcCs
Side-Channels on the Web: Attacks and Defenses
In this presentation we explore various side-channel attacks in the Web that can be used to leak information on cross-origin responses. These so-called XS-Leaks issues may allow an adversary to extract sensitive information from an unwitting visitor, ranging from personal information this victim shared with social media networks to CSRF tokens, which may lead to full account takeover. Finally, we
体系的に学ぶモダン Web セキュリティ (#seccamp 全国大会 2019 B5) / Learn Modern Web Security Systematically
セキュリティ・キャンプ全国大会 2019 開発と運用トラックで提供した講義の資料の一部です。誤りに気がついたら、ぜひ @y0n3uchy あるいは @lmt_swallow にお知らせください。
Logically Bypassing Browser Security Boundaries - Speaker Deck
This talk was presented at bugSWAT. Video of the talk is at https://youtu.be/B5ZyYTKp4gc Talk features: Password manager issue with iframe/CSP sandbox https://crbug.com/825258, https://bugzilla.mozilla.org/show_bug.cgi?id=1426767 Stealing audio data with HTTP redirect CVE-2018-6161, CVE-2018-4278 Multiple SOP bypasses with Service Worker CVE-2018-6093, CVE-2018-6099, CVE-2018-6159, CVE-2018-6164,
XSSの入力値を調べてみた / searching xss insertion value
2018/02/03 学生LT at freee
5文字で書くJavaScript/ Shibuya.XSS techtalk #10
Shibuya.XSS techtalk #10 の発表資料です。
攻撃者視点で見る Service Worker / PWA Study SW
PWA Study( https://web-study.connpass.com/event/65267/ ) で発表した資料です。
SecurityCamp2015「バグハンティング入門」
セキュリティ・キャンプ全国大会2015の講義「バグハンティング入門」で使用したスライドです。Read less
In the DOM, no one will hear you scream
The document discusses the history and development of the Document Object Model (DOM) from its early implementations in 1995 to modern standards. It outlines key milestones like DOM Level 1 in 1998, the rise of JavaScript frameworks like Prototype, jQuery and MooTools in 2005-2006, and ongoing work by the W3C and WHATWG. The talk will explore security issues that can arise from the DOM's ability t
On Breaking PHP-Based Cross-Site Scripting Protections In The Wild
On Breaking PHP-based cross-site scripting protection Mechanisms in the wild A talk by Ashar Javed @ Garage4Hackers WebCast (28-07-2014) Previously presented at OWASP Spain Chapter Meeting 13-06-2014, Barcelona (Spain) Recorded Webcast here https://www.youtube.com/watch?v=TKn5qdti66c monkey testing --- According to wikipedia In computer science, a Monkey test (aka. Mark Testing) is a unit test tha
そろそろ押さえておきたい AngularJSのセキュリティ
6. 本日お話する内容 5 AngularJSで対策できる脆弱性とその実装方法 • DOM Based XSS • Cross-Site Request Forgery (CSRF) AngularJSでは対策できない脆弱性 (スコープ外) • サーバ側での対策が必要となる脆弱性 • ブラウザやプロトコル由来の脆弱性 ※CSRFはサーバ側での対策を要しますが今回の発表ではスコープ外とします 8. XSSの種類 • サーバ側で発生するXSS - 反射型XSS - HTTPのリクエストに含まれるスクリプトが、 レスポンスのHTMLにそのまま埋め込まれることで発生 - 持続型XSS - HTTPのリクエストに含まれるスクリプトが一旦サーバに保存され、 そのデータを元にHTMLを出力する際にスクリプトが埋め込まれることで発生 • クライアント側で発生するXSS - DOM based XSS -
XSS with HTML parsing confusion // Speaker Deck
All slide content and descriptions are owned by their creators.
CodeBlue2014 -JP- libinjection-from sqli to xss
システムの技術的負債にどう挑むか？～『レガシーコード改善ガイド』著者マイケル・フェザーズが語る課題と解決策～
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
フロントエンドエンジニアのためのセキュリティ対策 ~XSS編~ / #frontkansai 2019
Killing 🐦with 🐛🐛
Trusted Types and the end of DOM XSS
Tangled World of Web Technology ― Are we safe?
TBD/Shibuya.XSS techtalk #8
[PDF]ECMAScript 6 for Penetration Testers