2024/3/31(土)開催のコミュニティイベント「Bsides Tokyo 2024」でのAzara、eiによるセッション資料です。 https://bsides.tokyo/2024/#xss-using-dirty-content-type-in-cloud-era
![XSS using dirty Content Type in cloud era](https://cdn-ak-scissors.b.st-hatena.com/image/square/fdbcbd9c42932fa5f0b56318327aa021a4b1ae2b/height=288;version=1;width=512/https%3A%2F%2Ffiles.speakerdeck.com%2Fpresentations%2Feda5985e545a4ce09425758c6e727e09%2Fslide_0.jpg%3F29603802)
スライド概要 SPA(Single Page Application)の普及が一層進んでおり、従来型のMPAを知らないウェブ開発者も生まれつつあるようです。SPA対応のフレームワークでは基本的な脆弱性については対策機能が用意されていますが、それにも関わらず、脆弱性診断等で基本的な脆弱性が指摘されるケースはむしろ増えつつあります。 本セッションでは、LaravelとReactで開発したアプリケーションをモデルとして、SQLインジェクション、クロスサイトスクリプティング、認可制御不備等の脆弱性の実例を紹介しながら、現実的な対策について紹介します。LaravelやReact以外のフレームワーク利用者にも役立つ説明を心がけます。 PHPカンファレンス2022での講演資料です。 PHPカンファレンスでの動画URL https://www.youtube.com/watch?v=jZ6sWyGxcCs
In this presentation we explore various side-channel attacks in the Web that can be used to leak information on cross-origin responses. These so-called XS-Leaks issues may allow an adversary to extract sensitive information from an unwitting visitor, ranging from personal information this victim shared with social media networks to CSRF tokens, which may lead to full account takeover. Finally, we
セキュリティ・キャンプ全国大会 2019 開発と運用トラックで提供した講義の資料の一部です。誤りに気がついたら、ぜひ @y0n3uchy あるいは @lmt_swallow にお知らせください。
This talk was presented at bugSWAT. Video of the talk is at https://youtu.be/B5ZyYTKp4gc Talk features: Password manager issue with iframe/CSP sandbox https://crbug.com/825258, https://bugzilla.mozilla.org/show_bug.cgi?id=1426767 Stealing audio data with HTTP redirect CVE-2018-6161, CVE-2018-4278 Multiple SOP bypasses with Service Worker CVE-2018-6093, CVE-2018-6099, CVE-2018-6159, CVE-2018-6164,
2018/02/03 学生LT at freee
Shibuya.XSS techtalk #10 の発表資料です。
セキュリティ・キャンプ全国大会2015の講義「バグハンティング入門」で使用したスライドです。Read less
The document discusses the history and development of the Document Object Model (DOM) from its early implementations in 1995 to modern standards. It outlines key milestones like DOM Level 1 in 1998, the rise of JavaScript frameworks like Prototype, jQuery and MooTools in 2005-2006, and ongoing work by the W3C and WHATWG. The talk will explore security issues that can arise from the DOM's ability t
On Breaking PHP-based cross-site scripting protection Mechanisms in the wild A talk by Ashar Javed @ Garage4Hackers WebCast (28-07-2014) Previously presented at OWASP Spain Chapter Meeting 13-06-2014, Barcelona (Spain) Recorded Webcast here https://www.youtube.com/watch?v=TKn5qdti66c monkey testing --- According to wikipedia In computer science, a Monkey test (aka. Mark Testing) is a unit test tha
6. 本日お話する内容 5 AngularJSで対策できる脆弱性とその実装方法 • DOM Based XSS • Cross-Site Request Forgery (CSRF) AngularJSでは対策できない脆弱性 (スコープ外) • サーバ側での対策が必要となる脆弱性 • ブラウザやプロトコル由来の脆弱性 ※CSRFはサーバ側での対策を要しますが今回の発表ではスコープ外とします 8. XSSの種類 • サーバ側で発生するXSS - 反射型XSS - HTTPのリクエストに含まれるスクリプトが、 レスポンスのHTMLにそのまま埋め込まれることで発生 - 持続型XSS - HTTPのリクエストに含まれるスクリプトが一旦サーバに保存され、 そのデータを元にHTMLを出力する際にスクリプトが埋め込まれることで発生 • クライアント側で発生するXSS - DOM based XSS -
All slide content and descriptions are owned by their creators.
システムの技術的負債にどう挑むか?~『レガシーコード改善ガイド』著者マイケル・フェザーズが語る課題と解決策~
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
処理を実行中です
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く