2010年6月27日のブックマーク (3件)

  • 入力のサニタイズ

    ユーザーからの入力は必ずチェックする 利用者が入力するデータは、不正なタグや命令が混入していないか必ずチェックしましょう。 サニタイズとは サニタイズとは、入力されたデータの危険な部分を無力化する操作のことです。 掲示板などでは、訪問者の入力データをそのまま表示すると、Javascript等のスクリプトが埋め込まれてしまう可能性があります。 スクリプト挿入を防ぐには、<のようなタグ(の一部分)を無害になるように変換したり、除去したりするサニタイズ作業が必要になります。 言語仕様により危険なタグ・記号が異なるので、個別言語ごとに対応するサニタイズ作業を行う必要が有ります。 HTMLサニタイズ 掲示板の投稿者にHTMLタグ利用を許可すると、有害サイトをiframeで表示したり、javascriptを埋め込んで自動実行したりされる危険があります。 HTMLタグを除去するには、htmlspecia

    gallu
    gallu 2010/06/27
    「入力のサニタイズ」やるな。必要なのは「出力時のエスケープ」。
  • iPadはとても残念なプロダクト : 金融日記

    最近、僕はとうとうiPadを手に入れました。 世界中のメディアが狂ったように報道し、数多のカリスマ・ブロガーが絶賛するこのiPadを一刻も早く手に入れようと僕は焦っていました。 というのも僕はiPad人気を甘くみていて、5月に予約受付がはじまった時にはすぐに予約しなかったのです。 わざわざ予約するために行列していた熱狂的なAppleファンもいました。 それで僕も予約しようと思って有楽町のビックカメラに足を運んだのですが、その時はすでに予約が締め切られていました。 ようやくAppleから予約受付が開始されたのは、発売日の5月28日を過ぎて、少し蒸し暑くなりだした6月に入ってからでした。 僕はちょっと遅めの予約をして、幸運にもその数日後、つまり先週の日曜日に無事にiPadを受け取りました。 以上の経緯から明らかなように、僕はiPadをとても楽しみにしていました。 胸が高鳴っていました。 App

    iPadはとても残念なプロダクト : 金融日記
    gallu
    gallu 2010/06/27
    「**はとても残念なバカセ」でOK?
  • 「Webアプリの脆弱性対策は簡単です」

    「Webアプリケーションの脆弱性対策は簡単です」。 セキュリティ関連の取材をするようになって10年以上になるが、セキュリティ対策が「簡単」だと聞いたのは恐らく初めてである。取材の相手は、TISの早矢仕善弘氏(技術部 セキュアワン室 室長)。ソースコードを対象にした脆弱性チェックツールとして広く利用されている米Fortify Softwareに、同社ソフトの検証を依頼されたこともあるというセキュリティの専門家である。 早矢仕氏によるとWebアプリケーションの脆弱性は、たった四つの原則を守れば防げるという。SQLインジェクションやクロスサイトスクリプティング(XSS)など著名なものはもちろん、最近になって発見されている数多くの脆弱性が、いずれかの原則の対象になる。四つの原則を紹介しよう。 (1)ユーザー入力を精査する Webページのフォームなどに入力された文字列は、きちんとチェックしなければ

    「Webアプリの脆弱性対策は簡単です」
    gallu
    gallu 2010/06/27
    「ユーザー入力を精査する」はぁ…なんて駄目な見本。TISの早矢仕善弘か覚えておこう。似非セキュリティ専門家もどきとして。