サンシャイン牧場 情報「露出」問題のまとめ | 鳩丸よもやま話
「サンシャイン牧場」において、課金操作を行った人のメールアドレスと電話番号が「露出」していた件のまとめです。 はじめに「サンシャイン牧場」はmixiアプリとして提供されているゲームです。mixiアプリとしては最大の利用者数を誇り、2009年11月23日現在、利用者は300万人を突破しています。運営しているのはRekooという中国の会社です (が、最近、日本法人もできました)。 2009年10月21日、サンシャイン牧場に「Kコイン」の仕組みが導入されました。実際のお金を支払って「Kチャージ」を行うとKコインが増え、Kコインを消費することで、通常では購入できない作物や肥料などを手に入れられる仕組みです。リアルのお金を支払ってアイテムを購入するという、いわゆるアイテム課金の制度になります。支払い方法は、株式会社ゼロの決済代行サービスを利用したクレジットカード払いでした。 ところが、この課金に際し
はてなグループの終了日を2020年1月31日(金)に決定しました - はてなの告知
はてなグループの終了日を2020年1月31日(金)に決定しました 以下のエントリの通り、今年末を目処にはてなグループを終了予定である旨をお知らせしておりました。 2019年末を目処に、はてなグループの提供を終了する予定です - はてなグループ日記 このたび、正式に終了日を決定いたしましたので、以下の通りご確認ください。 終了日: 2020年1月31日(金) エクスポート希望申請期限:2020年1月31日(金) 終了日以降は、はてなグループの閲覧および投稿は行えません。日記のエクスポートが必要な方は以下の記事にしたがって手続きをしてください。 はてなグループに投稿された日記データのエクスポートについて - はてなグループ日記 ご利用のみなさまにはご迷惑をおかけいたしますが、どうぞよろしくお願いいたします。 2020-06-25 追記 はてなグループ日記のエクスポートデータは2020年2月28
mixiは一刻も早くサンシャイン牧場のクレジットカード脆弱性についての危険性を発表すべき - やまもといちろうBLOG（ブログ）
一部対策されているようだけれど、まだできちゃうようなので…。 セッションIDからぶっこ抜ける状況は続いておるようにも見えるのと、対策がちと杜撰で穴が塞がってないようなので、老婆心ながら再度通報と本件エントリーをば。 悪用も考えられるので、方法は書かない。でもマジに危険すぎる。早期にきちんと対策されることを祈ります。
サンシャイン牧場 アイテム課金 | 水無月ばけらのえび日記
更新: 2009年11月23日20時0分頃 サンシャイン牧場ですが、アイテム課金が始まったようですね。いろいろ騒がれてもいますが、個人的には、当初からこうなるだろうとは思っていたので、課金が始まったこと自体には驚いていません。 しかし、実は大変なことになっています。詳しくは書けませんが、現時点では、サンシャイン牧場でカード情報を登録することは避けるべきです。おそらく近いうちに動きがあると思いますので、もう少し待ちましょう。 ※追記: とりあえず、カード番号は漏れていないようです。 ※2009-10-23追記: 諸々お察しください。とりあえず購入の機能は停止したようで、「メンテナンス中です」と表示されるようになりましたが……。 ※2009-10-23さらに追記: 問題の部分も停止したようです。ひとまず危険はなくなりました。ただ、この停止が一時的な物なのかどうか、修正されるのかどうかといった情
#perl - utf8::decode()ではなくEncode::decode_utf8()を使うべき理由 : 404 Blog Not Found
2009年09月13日13:00 カテゴリLightweight Languages #perl - utf8::decode()ではなくEncode::decode_utf8()を使うべき理由 駄目です。 [を] Perl の utf8 まわりのおまじない 最近良く使うおまじない、というかイディオム。 utf8::decode($text) unless utf8::is_utf8($text); こういう場合は、Encode::decode_utf8()でないと。 以下をごらんください。 #!/usr/bin/perl use strict; use warnings; use Encode; use Devel::Peek; for my $bytes ( "\x2F", "\xC0\xAF", "\xE0\x80\xAF", "\xF0\x80\x80\xAF" ) { my $u
i-mode2.0セキュリティの検討: 携帯JavaScriptとXSSの組み合わせによる「かんたんログイン」なりすましの可能性 - 徳丸浩の日記(2009-08-05)
_携帯JavaScriptとXSSの組み合わせによる「かんたんログイン」なりすましの可能性 このエントリでは、携帯電話のブラウザに搭載されたJavaScriptと、WebサイトのXSSの組み合わせにより、いわゆる「かんたんログイン」に対する不正ログインの可能性について検討する。 5月28にはてなダイアリーに書いた日記「i-mode2.0は前途多難」にて、今年のNTTドコモの夏モデルP-07AにてJavaScript機能が利用停止されたことを指摘した。同日付のNTTドコモ社のリリースによると、「ソフトウェア更新に伴い、高度化した機能の一部をご利用いただけなくなっていますが、再びご利用いただけるよう速やかに対処いたします」とあったが、それ以来2ヶ月以上が経つものの、未だにJavaScript機能は利用できない状態のままだ。 実は、NTTドコモ社が慌てふためいてJavaScript機能を急遽停止
クライアントの要望を満たすと、セキュリティ的に問題がある。どうしたらいい？ | ブログが続かないわけ
受託開発で困る部分のひとつ。 1. ログインに失敗したときのメッセージ簡単な例を出してみよう。ID/Password を入力させるようなログイン画面で認証に失敗した場合、「ID またはPassword が正しくありません。」というようなメッセージを出すのが通例だ。当然システム側では、ID が間違っているのか、Password が間違っているのか区別することはできるのだが、親切に「ID が正しくありません。」とか「Password が正しくありません。」とかというようなメッセージは出さない方がいいとされている。これは親切なメッセージを出すと、悪意の第3者になりすましログインのヒントを与えてしまうことになるからだ。適当なID/Password でログインを試みて、親切にエラーメッセージが出し分けされると、その適当に入れたID が存在するID かどうかを判定できてしまう。ひとたびID が判定でき
i-mode2.0は前途多難 - ockeghem's blog
既に発表されているように、NTTドコモの夏モデルからi-modeの仕様が大幅に拡張され、JavaScript、Cookie、Refererに対応するようになった。これら仕様変更はセキュリティの面からも影響が大きいため、私は夏モデルの中から、P-07Aを発売開始日(5月22日)に購入した。そして、リリースどおりJavaScript、Cookie、Refererが動作することを、実機にて確認した。 ところが、P-07Aと同日に発売開始されたN-06Aは、その日のうちに一時販売停止のお知らせが出る。 この度、弊社の携帯電話「N-06A」において、iモード接続時の不具合が確認されましたので、販売を一時見合わせさせていただきます。 なお、本事象に伴い、本日発表いたしました「N-08A」の販売開始日につきましても、5月28日から延期となります。 「N-06A」の販売再開及び「N-08A」の販売開始時期
アカウントハッキングに関するお知らせ - オンラインゲームポータルの新しい形 エムゲーム！ - 永久無料でRPG・ライトゲームが遊び放題！
いつもご愛顧いただきありがとうございます。 エムゲームです。 エムゲームジャパンの運営するゲームタイトル『KNIGHT ONLINE Xross』 『ルナティア』『英雄』において発生いたしましたアカウントハッキングに 関する対応と経過をお知らせいたします。 このたびは多くのお客様に多大なご迷惑をおかけいたしましたこと、 また、この問題についてのご報告が遅くなってしまいましたこと、 深くお詫び申し上げます。まことに申し訳ございません。 ■経過と原因調査について 2009年4月初頭よりお客様から複数のハッキング被害のご報告が寄せられた ため調査を行ったところ、当該アカウントに不正アクセスと思われる接続 記録を確認いたしました。 このため、原因究明のための調査を行わせていただいたところ、弊社公式 サイトの一部にXSSコード上の脆弱性が確認されました。 この脆弱性を利用することで、通常の手順を経ず
PHPのSession Adoptionは重大な脅威ではない - ockeghem's blog
なぜPHPアプリにセキュリティホールが多いのか?：第25回 PHPのアキレス腱にて、大垣靖男氏がPHPのSession Adoption問題について取り上げている。大垣氏は度々この問題を取り上げているが、今のところ氏の主張に同調する人を見かけない。それもそのはずで、大垣氏の主張は間違っていると私は思う。 以下、大垣氏の主張を実際に試してみる形で、順に説明しよう。 大垣氏の主張 大垣氏の主張は、PHPにはSession Adoption脆弱性があるために、標準的なSession Fixation対策であるsession_regenerate_id()を施しても、その対策は有効ではないというものだ。 しかし，実際には現在に至るまでPHPのセッションモジュールのセッションアダプション脆弱性は修正されないままになっています。このために，本来はsession_regenerate_id関数をログイン
GENOウイルスチェッカー
GENOウイルス対策情報まとめ、GENOウイルスチェッカー更新情報 2009 05/17 といってもウイルス側の挙動がかなり高度なので、誤判定はあります 万が一の事があってはいけないのでかなり判定厳しめに設定してあります。 ご理解の程よろしくお願いします 2009 05/17 いそいで作ったので判定機能以外はぐちゃぐちゃ 2009 05/17 開設 ウソクソ情報 ■javascriptを切ってても感染する(5/17現在) 今の時点ではウソだが将来的に、pdf or swfをjavascript経由せずに直接読み込ませるタイプのものが出てきたらアウト とにかく↓のアドビ関連のアップデートを怠らないこと。 GENOウイルス対策 ■adobe readerを9.1.1にアップデートする(9.1：9.1,0では駄目) http://ardownload.adobe.com
本を読む ファイルを作ってからchmod 600するのはセキュアじゃない
「どう書く？org」でさんざんふざけた回答を投稿しまくっている私なんですが、自分のことを思いきり棚に上げてツッコんでみます。もし、これで参考になる方がいらっしゃればと。 「ACLの制御 どう書く？org」というお題が出されて、「セキュリティ」というタグがついています。これに対して、ファイルを作ってからアクセス権限を変更する回答がいくつか寄せられています。 これは、セキュリティとしてはヤバいパターンではないかと思います。簡単にいうと、ファイルを作ってからchmodする間にopenしてしまえば、アクセス制限は適用されないからです（少なくともUnix系OSでは）。 回答されている方々は理解したうえでお題の要求に答えているからいいのですが、知らない方々が見ることを考えると、ちょっと危険かなと。いや、セキュリティは私も苦手なんですが。 実験してみましょう。まず、ファイルを作ってからchmod 600
クリックジャッキングってこうですか？ わかりません
↑ この透過されているiframeは、ブラウザの最前面に配置されています ※はてなにログインしていると、どのようにボタンが被っているのかわかりやすくなります
paginationにXSS攻撃の可能性があったのでチケット投げた - cakephperの日記(CakePHP, Laravel, PHP)
CakePHP 1.2で導入されたPagination機能はページング処理が簡単に導入できて最高ですが、今回paginator helperで、ある値がエスケープやurlencodeされていない箇所があり、クロスサイトスクリプティング（XSS)の可能性があり、問題だと思ったので本家CakePHPのTracにバグチケットを投げてみました（今年の目標の一つにチケットを投げるというのがあったのでこれは達成です） チケット投げて3日程度で、修正パッチが出ました。 https://trac.cakephp.org/changeset/8061 https://trac.cakephp.org/ticket/6134 日本コミュニティ内でのやりとりは下記にあります。 http://cakephp.jp/modules/newbb/viewtopic.php?viewmode=flat&topic_id
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
IDEA * IDEA
流木机 - FC2 BLOG パスワード認証
通称「GENOウイルス」・同人サイト向け対策まとめ
http://www.technobahn.com/cgi-bin/news/read2?f=200804230005
Engadget | Technology News & Reviews
http://japan.internet.com/webtech/20090213/10.html