有線LANにおけるセキュリティ [LT駆動開発 19] - ねむむ日記
「LT駆動開発 19 - 運動とLTをしよう」に行ってきました。 LT駆動開発というのは参加者がそれぞれLT(ライトニングトーク)をして参加者自身が学ぼうという勉強会らしいです。 今回僕は「有線LANにおけるセキュリティ」というタイトルで発表しました。 実務ではIEEE 802.1Xを利用した認証方式が採用されている場合が多いそうです。様々なプロトコルがありますが動作概要はどれもほぼ同じでAPやL2スイッチがクライアントと認証サーバ間を中継してあげる形になっています。 大学や企業などでは認証機能が採用されている場合が多いですが、飲食店など外注に頼っていそうな店舗などではプラグアンドプレイでローカルネットワークに入れる場合が多いような気がします。無線LANのパスワードを解読するより物理的に有線LANポートを探した方が早いと思います。 ローカルネットワークに入られて通信内容が盗聴・改ざんされる
![有線LANにおけるセキュリティ [LT駆動開発 19] - ねむむ日記](https://cdn-ak-scissors.b.st-hatena.com/image/square/8e87dc2f0887ecbc4a9511e386d71e6ab6ca7761/height=288;version=1;width=512/https%3A%2F%2Fogimage.blog.st-hatena.com%2F12921228815714737255%2F6653458415123482658%2F1450764391)
Lt駆動開発13でtorにおけるfingerprint Attackについて話した - mrtc0's blog
LT駆動開発 #13 4月は君のLT LT駆動開発#13 - Doorkeeper LT駆動開発#13 - セッション お名前.comで月額100円からDNSSECを利用できるのは知らなかった. そういえば, DNSSECについてはJanogに参加した際に普及率などについても学べたのでよかった. キャッシュDNSでのDNSSEC Validation運用について 権威サーバでの DNSSEC 運用が面倒くさそうだが, 一度は触っておきたいなという思いはあったので今度やる. 話したこと TorにおけるFingerprint Attackについて調べたのでそれをまとめた. スライド中にも述べているが, 学習データの量などの関係で結論が出せる結果とは言えない. 今後も引き続き, 実験してみる. スライド Tor FingerPrint Attackについて 時間が余って最後に
Lt駆動開発09でbadusbについてltしてきた - mrtc0's blog
12/07(日) 9:00~といういつもとは違った曜日,時間での開催でした. まさかの会場openが10:00~で1時間ほど暇を持て余しました. LT駆動開発09 LT駆動開発09 togetter BadUSB Black Hat USA’14で話題になったBadUSBをAndloid端末(Nexus7)で試してみました. 今回はデモもやってみました. デモ内容はroot化したNexus7をキーボードとして認識させ,タイピングをエミュレーションしてみました. Windows側はデフォルト設定のままで,Windows Defender,FireWallも有効になっています. この状態でNexus7を接続すると勝手にcmdを立ち上げ,powershellでNexus7内で立ち上げているサーバーからmeterpreterをダウンロードし,実行します. Windows Defe
既出のDNSキャッシュポイズニング [LT駆動開発 07] - ねむむ日記
「LT駆動開発 07 - おれがベストセッションだ - LT駆動開発」に参加してきました。 LT駆動開発というのは参加者がお互いにLT(ライトニングトーク)をしてまさかりを投げたり投げられたりする事で発表者も含む参加者全員で学ぼうという勉強会です。 LTの内容はSmurf攻撃を実験してみた話やとっとこfav太郎というサービスを作った話やMacBook ProのSSDを換装した話など様々なジャンルの発表がありました。 今回僕が発表した内容は「既出のDNS キャッシュポイズニング」です。 内容はスライドの通りです。 既出という事もあり代表的な手法ばかりですが分かりやすくまとめてみました。 NAPTを通すことでテーブルに沿った連番のポート番号が付けられることが多いため、送信元ポートのランダム化による恩恵が薄くなる可能性があります。 よく考えたらOSC広島でのLTもDNSネタにしていたためもう少し
![既出のDNSキャッシュポイズニング [LT駆動開発 07] - ねむむ日記](https://cdn-ak-scissors.b.st-hatena.com/image/square/3024048b8e2986614952f7f73a3d6c328fb69dc9/height=288;version=1;width=512/https%3A%2F%2Fogimage.blog.st-hatena.com%2F12921228815714737255%2F12921228815732211611%2F1412756305)
ネットワーク機器がDoSの踏み台になる可能性 - もりたこの日記
2014-09-06 ネットワーク機器がDoSの踏み台になる可能性 以前PSPでIdle Scanが可能かどうかという実験をした. PSPを利用したIdle Scan - もりたこの日記 PSPを利用したIdle Scan - もりたこの日記 今回はIdle ScanのみだけでなくSmurf攻撃の踏み台となる可能性を調べてみた.結論からするとPSPのみならずiPhone(iOS7.1.2)が踏み台となる可能性が出てきた. イベント会場などで無線LANを設置する場合などに、悪意のあるユーザーがこのような行為を行わないとは限らないので対策を考えるべきだと思う. mrt_k0f 2014-09-06 19:28 コメントを書く セキュリティ・キャンプ九州 in 福岡に参… »
セキュリティ専門家でも間違える！文字エンコーディング問題は難しいのか?
(Last Updated On: 2018年8月13日)一見徳丸さんのブログは分かりやすいように思えますが、それは単純な実験により分かりやすいように見えるだけで複数の間違いがあります。 その間違いとは 意図の取り違い – 誤読 言語の仕様と実装の理解不足 HTTPやPHP仕様の理解不足 セキュリティ対策をすべき場所の理解不足 です。(※0) 徳丸さんは非常勤とは言え、国の出先機関の研究員であるし、その出先機関は職務放棄とも言える文書（「例えば、PHPを使用しない」と勧める文書）を公開している(いた?)のでしっかり反論しておく必用がありますね。IPAのあの文書は職務放棄と言える文書だと思っています。これについても後で意見を述べます。 意図の取り違い – 誤読 最初の間違いは私のブログのエントリ「何故かあたり前にならない文字エンコーディングバリデーション」に対する理解です。特にPHPユーザに
UNIX系OSのサーバに対するイタズラ集 - yuyarinの日記
随時追加 ターミナルを立ち上げたまま席を離れるとマシンにイタズラされることがよくある．とはいえシャレにならないイタズラはしても笑えないので，基本的には教育的に効果があって被害の出ないものしか実際にはしない． じゃあ，たとえ root じゃなくてもどこまでえげつないことができるのか*1，今回はちょっと考えてみたユーザ権限でできる酷いイタズラを紹介する．対象はリモートログインする UNIX 系 OS を利用しているサーバ，主に Ubuntu である． ls が sl 方法 alias ls=sl sl を期待したという意見が多かったので掲載．掲載しなかったのは sl がインストールされていない環境が多く，インストールには root 権限が必要になるから．後述のバイナリを持ち込んでパスを通す方法を使えばできないことはないかも． エディターが全部 ed 方法 alias nano=ed alias
Webアプリにおける11の脆弱性の常識と対策
Webアプリにおける11の脆弱性の常識と対策：Webアプリの常識をJSPとStrutsで身につける（11）（1/4 ページ） 本連載は、JSP／サーブレット＋StrutsのWebアプリケーション開発を通じて、Java言語以外（PHPやASP.NET、Ruby on Railsなど）の開発にも通用するWebアプリケーション全般の広い知識・常識を身に付けるための連載です 【2013年2月25日】編集部より、おわびと訂正のお知らせ 本稿において読者の皆さまより多数のご指摘をいただきまして、誠にありがとうございます。編集部であらためて調べた結果、間違いを把握し、あらためて修正版を掲載させていただきます。この度は、長期にわたり誤った内容を掲載したので、読者の皆さまに多大なご迷惑をお掛けしたした点をおわび申し上げます。 通常、記事に間違いがあった場合には、筆者確認後に修正版を掲載するのですが、今回の場
高木浩光＠自宅の日記 - Googleカレンダーでやってはいけないこと
■ Googleカレンダーでやってはいけないこと Googleカレンダーで公開前提ではないカレンダー（非公開を前提としたカレンダー）を作っている場合、以下の操作をしないよう注意する必要がある。 「設定」画面でカレンダーを選んだときに出てくる画面の「カレンダーの情報」タブのところの一番下に、「非公開URL:」という項目がある。そこには、「これはこのカレンダーの非公開 URL です。このカレンダーのすべての予定を他のユーザーに見せたい場合を除き、このアドレスを他のユーザーと共有しないでください。」という説明書きがあるが、何のことやらよくわからない。ここで、「XML」「ICAL」「HTML」と書かれた部分の「HTML」のところをクリックすると次の画面が出る。 ここで、表示されているURLのリンクをクリックしてはいけない。 マップとカレンダーでちぐはぐな設計 これがいったい何なのかは、「ヘルプ」に
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
LT駆動開発15でpsと$0変数について話した | 500 Internal Server Error