そろそろWAFに関して一言いっとくか～三重苦を乗り越えてWAFが普及するための条件とは～
補足 この記事は旧徳丸浩の日記からの転載です（元URL、アーカイブ、はてなブックマーク1、はてなブックマーク2） 備忘のため転載いたしますが、この記事は2008年7月22日に公開されたもので、当時の徳丸の考えを示すものを、基本的に内容を変更せずにそのまま転載するものです。 なお、この記事を書いた後、WAFはこの記事の予言（願い?）通りに進展したように思います。そのあたりの歴史については、こちらのインタビュー記事を参照下さい。 補足終わり PCIデータセキュリティ基準(PCIDSS)がWAF(Web Application Firewall)について言及していることなどから、最近再びWAFへの関心が高まっている。一方、WAFは、一部のユーザや専門家に非常に評判が悪い。なぜ、そのようなことになるのか。本稿では、WAFの基本機能を説明した上で、その限界と運用上の問題を指摘し、今後のWAFの使い方
それ Unicode で
UTF-7 を使ってスクリプトを記述 +ADw-SCRIPT+AD4-alert(\'XSS\');+ADw-+AC8-SCRIPT+AD4- IE は、文字エンコーディングが不明で UTF-7 っぽい文字列があれば、自動判別で UTF-7 となる。
WebAppSec - WebAppSec Wiki - XSSの実例
data スキーマを使ったスクリプトの実行 † data スキーマは、画像やIFRAMEなどのデータをHTML中に埋め込んで使用するための方法で、RFC2397で定義されています。複数のWebメールにてこれを使用してスクリプトの実行が可能な脆弱性がありました。 <iframe src='data:text/html;base64,PHNjcmlwdD5hbGVydCgiZGF0YToiK2RvY3VtZW50LmNvb2tpZSk7PC9zY3JpcHQ+'></iframe> <img src='data:text/html;base64,PHNjcmlwdD5hbGVydCgiZGF0YToiK2RvY3VtZW50LmNvb2tpZSk7PC9zY3JpcHQ+'> 多くのWebアプリケーションでは、http もしくは https スキーマのURIのみを入力値として許可すれば十分だと
WebAppSec - WebAppSec Wiki - FrontPage
とりあえず立ち上げてみました。当面はルールや制限を設けず運用してみますので、ご自由にお使いください。 (ファイル添付機能だけは無効にしています。) 不具合・要望・ご意見は、[ フォーラム | 問い合わせ | メール ]お好きなところへお願いします。 目次 † 脆弱性の解説 脆弱性の解説/Blind SQL Injection 脆弱性の解説/Cookie Monster 脆弱性の解説/Cross Site Scripting(XSS) 脆弱性の解説/Session Fixation 脆弱性の解説/SQL Injection XSSにより発生しうる被害 バナーを隠す方法 PHP Easter Eggs を使ったバージョン推測 ブラウザ毎の挙動の違い SQL Injection によるDB種類の推測 情報源 XSSの実例 テスト手法 ↑
WebDAV時代のセキュリティ対策［前編］（1/4）
WebDAV時代のセキュリティ対策［前編］ － 各メソッドに内在する脅威 － WebDAVはWebの利便性を大きく向上させる可能性を持っている。しかし、高機能化はセキュリティホールの原因ともなる。どこにどのような危険性があるのかを正しく認識・対処することで、利便性と安全性を両立していかなければならない。そこで、WebDAVを使ううえで必須ともいえるセキュリティ対策方法を紹介する。 宮本 久仁男<kmiya@coe.nttdata.co.jp> NTTデータ COEシステム本部 システム技術開発部第三技術開発担当 2001/12/15 WebDAVの特徴と機能 次世代プロトコルWebDAVの可能性で、WebDAVの技術仕様と構築・運用方法について解説しました。そのときに説明したとおり、WebDAVはHTTPを読むだけのプロトコルから書くこともできるプロトコルへと拡張したものです。その主な機能
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
http://cgi36.plala.or.jp/tera5/v/security/webap_sec2/chap01.html