脆弱性検査ツールまとめ - Qiita
Medusa John the Ripper Hydra Paros BeEF 全般 Nessus OpenVAS Metasploit QualysGuard：NTTデータ先端技術株式会社さんが使ってるみたいですね。 Paraben P2 EnCase Fuzzer Peach Fuzzer Ruby on Rails Brakeman Android PenTest Tools List：リストとはいえ便利です。 WordPress WPScan Webアプリケーション Recon-ng ratproxy skipfish Nikto2 OWASP Zed Attack Proxy sqlmap WebProbe HTTPプロキシ Burp Suite Charles Fiddler x5s Ammonite Watcher intruder21 ソースコード iCodeChecker
第39回 MOPS：静的PHPソースコード脆弱性スキャナ RIPS | gihyo.jp
第32回 PHPセキュリティ月間（Month of PHP Sercurity）で「PHPセキュリティ月間」（MOPS - Month of PHP Security）について簡単に紹介しました。 今回は静的にPHPソースコードを分析しセキュリティ脆弱性を検査するツールの紹介です。 MOPS Submission 09: RIPS - A static source code analyser for vulnerabilities in PHP scripts http://www.php-security.org/2010/05/24/mops-submission-09-rips-a-static-source-code-analyser-for-vulnerabilities-in-php-scripts/index.html 昨年発見された脆弱性のおよそ3割がPHPアプリケーシ
SERVER_NAMEとHTTP_HOSTの違い:phpspot開発日誌
Chris Shiflett: SERVER_NAME Versus HTTP_HOST SERVER_NAMEとHTTP_HOSTの比較。 次のように値を取得すると一見、どちらも同じ値を取得できます。（値はリクエストしたサーバのホスト名） $_SERVER["SERVER_NAME"]; $_SERVER["HTTP_HOST"]; ただ、それぞれにおいて、取得方法が違ってきます。 HTTP_HOSTはリクエスト時に host:〜 で指定した値が返され、 SERVER_NAMEは、リクエスト時の host:〜 を使うものの、指定が無い場合は httpd.conf等に記述したServerNameディレクティブがデフォルトで使われます。 更にSERVER_NAMEはhtmlentitiesによってエスケープされるようです。 リクエストヘッダーの値をそのまま取りたい場合はHTTP_HOSTを使
How do I patch/workaround SSLv3 POODLE vulnerability (CVE-2014-3566)?
After the BEAST attack and Heartbleed bug, now I've heard about a new vulnerability in SSL/TLS called POODLE. How do I protect myself against being exploited? Are only servers or also clients affected? Is this OpenSSL/GnuTLS specific? What kind of services are affected? Only HTTPS or also IMAPS, SMTPS, OpenVPN, etc.? Please show me examples on how to avoid this vulnerability.
【apache】server-status at softelメモ
問題 Apacheの稼働状況を簡単に確認したい。 答え mod_status を有効にすると、server-statusが利用できる。 コマンドラインでは コマンドラインからだと、以下のコマンドで確認できる。 apachectl fullstatus Web画面では 設定 Web画面で確認するには、apacheの方に設定を追加する。 <Location /server-status> SetHandler server-status #安全のためには以下のようなアクセス制限の設定もすること Order Deny,Allow Deny from all Allow from 111.222.333.444 </Location> URL http://該当のWebサーバー/server-status で閲覧できる。引数は以下が指定できる。 http://ホスト名[:ポート番号]/server
HTTP リクエストの処理完了までの所要時間をログに記録する
Landscape トップページ | < 前の日 2005-12-27 2005-12-28 次の日 2005-12-29 > Landscape - エンジニアのメモ 2005-12-28 HTTP リクエストの処理完了までの所要時間をログに記録する 当サイト内を Google 検索できます * HTTP リクエストの処理完了までの所要時間をログに記録するこの記事の直リンクURL: Permlink | この記事が属するカテゴリ: [IIS] [Apache] [http] http リクエストの処理にかかった時間をロギングする方法のメモ。 集計や分析、パフォーマンス劣化の監視などで活用するため、http サーバ側でリクエストを処理したあとレスポンスを返すまでどれだけ時間がかかったかを記録したい。 所要時間などの値は http サーバ上で動くアプリケーション側でロギングする仕組みを作るの
Linuxで使える侵入検知システム（IDS）
「侵入させないこと」と並んで重要なのが、「侵入された場合の対処」である。しかし、何も対策を施していないシステムでは、侵入されたという事実に気付くのが難しい。IDSを導入して、最悪の事態にも迅速に対応できる体制を整えておこう。 最近、IDS（Intrusion Detection System）という名前を聞いたことはないでしょうか？ または、IDSの導入を考えている管理者の方もいるのではないでしょうか？ あるいは、IDSという名前は知っていても、IDSとは一体どんなものなのか、何に役立つのか、よく分からないという方も多いのではないでしょうか。そこで、今回からIDSについて紹介していきたいと思います。 IDSとは何か IDSには、ネットワーク型IDSとホスト型IDSの2種類あります。IDSを直訳すると「侵入検知システム」となりますが、侵入の試みも検知することができます。また、「不正アクセス」
FINDJOB!終了のお知らせ | FINDJOB!
FINDJOB! 終了のお知らせ 2023年9月29日にFINDJOB!を終了いたしました。 これまでFINDJOB!をご利用いただいた企業様、求職者様、様々なご関係者様。 大変長らくFINDJOB!をご愛顧いただき、誠にありがとうございました。 IT/Web系の仕事や求人がまだ広く普及していない頃にFind Job!をリリースしてから 約26年間、多くの方々に支えていただき、運営を続けてまいりました。 転職成功のお声、採用成功のお声など、嬉しい言葉もたくさんいただきました。 またFINDJOB!経由で入社された方が人事担当になり、 FINDJOB!を通じて、新たな人材に出会うことができたなど、 たくさんのご縁をつくることができたのではないかと思っております。 2023年9月29日をもって、FINDJOB!はその歴史の幕を下ろすこととなりましたが、 今後も、IT/Web業界やクリエイティブ
php4とphp5に対応したTwitter投稿の方法 | colori
Twitter APIを使ってPHP4とPHP5から投稿する方法を書いてみました。 PHP4ではfopen()を使って投稿する方法がありますが、うまくいかなかった人用のもう一つの方法です。 PHP4ではfile_get_contents()のPOSTメソッドに非対応 最も簡単なTwitter APIでメッセージを投稿する方法は、PHPに標準で実装されているfile_get_contents()メソッドを利用することなんですが、twitterのメッセージ投稿に必要なHTTPリクエストする際のPOSTメソッドやヘッダー情報送出などのコンテキストデータのサポートはPHP5からのため、利用することができません。 5.0.0 コンテキストサポートが追加されました。 その代替方法として、こちらで紹介されているのがfopen()を使った投稿方法です。 しかしPHP4でfopen()を使うとエラーが出る人
PHPでHTTPS接続をする - HHeLiBeXの日記 正道編
PHPから何かしらのAPIをたたいたりするときに必要じゃないか、ということで、環境作成と接続テストをしてみる。 環境構築 環境は以前に作ったものをベースにする。(Apache httpd 2.2/PHP 5.3) PHP実行環境構築メモ - HHeLiBeXの日記 正道編 自己署名証明書でテスト環境構築その他諸々(何) - HHeLiBeXの日記 正道編 (実際は、Ubuntuの仮想マシン上でも構築、と思ったのだが、特に設定が必要ない状態だったので割愛) 設定自体は楽なもので、今回使用する環境ではphp.ini内の以下のコメントを外すだけ。 ;extension=php_openssl.dllあと、後述のサンプルを実行するには、URLをファイルとして開くことが許可されていることが必要らしい。 ; Whether to allow the treatment of URLs (like ht
squidを透過型プロキシとして使う時の設定
squidをubuntu上にインストールし、透過型プロキシとして使用するための設定をメモします。図のようなネットワーク構成で、ubuntu1がsquidを使用します。なお、ubuntu1にプロキシサーバに関する設定を行うことなく、ubuntu1のhttpトラフィックをsquidに介入させる設定は完了しているとします。(vyattaを使って透過型プロキシ環境を構築する参照) Squidのインストールubuntuのターミナル上で下記のコマンドを実行してsquidのインストールは完了です。 sudo apt-get install squid /etc/squid3/squid.confの修正続いてsquidを透過型プロキシとして使うための設定です。/etc/squid3/squid.confに必要な記述を追記します。 アクセスコントロールの設定まず、squidにクライアントPC(図中ubunt
【HTML/CSS/JavaScript】ウェブアプリを速くするための28の方法(翻訳) – T2
【HTML/CSS/JavaScript】ウェブアプリを速くするための28の方法(翻訳) 3月 13, 2013 admin 読了: 約 24 分 フロントの技術について英語の記事をシェアされていて、気になったので理解を深めるために翻訳してみました。 英語の記事では、28から始まるのですがややこしいので、1はHTMLからはじめていきたいと思います。 DANGER!!!WARNING!!!はじめに 元記事はこちら ※間違った意図や誤訳をしている箇所が多々あると思いますが、その点ご了承くださいませ…。 初めてということでしょっぱい訳で、すみません…。 1. avoid inline code / インラインコードを避ける 1. <style></style> や <script></script> をHTMLに直接書く 2. <link rel="stylesheet" href="" />
PHPとJavaScriptでHTTPストリーミングする話(Transfer-Encoding: chunked編) - id:anatooのブログ
HTTPレスポンスをajaxでストリーミング的に受け取りたいとき、要するにHTTPストリーミングをしたい時には、Transfer-Encoding: chunkedなレスポンスを生成してやるとよい。こうするとAjaxではHTTPレスポンス全体を受け取るのを待たずに、レスポンスの中身にアクセスすることが出来るようになる。従って、一つのHTTPコネクションでサーバ側から任意のデータを好きなタイミングでプッシュすることが出来る。 コード 一秒ごとに生成されるJSONをストリーム的に受け取るデモのコードが以下。 <?php // push.php function output_chunk($chunk) { echo sprintf("%x\r\n", strlen($chunk)); echo $chunk . "\r\n"; } header("Content-type: applicati
双方向通信を実現する代表的な技術
はじめに 今回から全4回でリアルタイムWebの現状をとらえていきたいと思います。1回目となる今回は、リアルタイムWebについての概要です。 リアルタイムWebとは、データが集約されているサーバーの情報をリアルタイムで参照できる仕組みです。現在のWebシステムの場合、リアルタイムでサーバーの情報を得ようとすると、定期的にサーバーに問合せを行う必要があります。具体的には、クライアントスクリプトでリクエストを生成し、タイマーを使ってリクエストを投げるAjaxやMetaタグのリフレッシュ機能で、ブラウザからリクエストを定期的に投げるポーリングといった技術を使います。 これは、従来のWebシステムがHTTP通信を使ってクライアント、サーバー間の通信を行っているためです。 HTTP通信では、リクエストに応じてレスポンスを返すという1往復の通信の安全性を確保するための通信手順がとられています。そのため、
ログ監視ツール Logwatch を使ってみる – シングスブログ
シングスブログ 中小企業のマーケティングやブランディングのコンサルティング。事業開発 (ビジネスモデルの開発)、デジタルマーケティングやウェブサイト改善など事業の持続的・長期的な成長・発展に貢献できるサービスを提供しています。 2018.2.20追記: Logwatchのコマンドが変わっていたので、書き直しました。ログ監視ツール Logwatch を使ってみる (アップデート版) Logwatch は、いろいろなログをまとめて集計し、レポートとして毎日定期的にメールで届けてくれる。不正アクセスや不具合の発見とサーバの監視に便利なツール。 Logwatch のインストール Logwatch は Perl で書かれていて Perl 5.8 が必要です。 yumからのインストールは、 $ yum install logwatch で、 ソースからのインストールは、こちらから。 Logwatch
レンタルサーバーナレッジ
Twitter CPIのTwitterアカウントでは、サイト、サーバー管理者のための重要なセキュリティ情報や、サイト運営者のためのヒント、お得なキャンペーン情報をお知らせしています。 Follow @cpiadjp Tweets by cpiadjp 掲載内容について、当社は情報の掲載には細心の注意を払っておりますが、完全性などについて保証を行うものではありませんので予めご了承ください。 掲載されている情報をご利用いただいた際に、損害が発生・誘発した場合や、情報自体の真偽性・合法性・道徳性・著作権の許諾等について問題が発生した場合などについて、当社は一切の責任を負いません。掲載されている情報を利用したサイト製作については、ご自身の責任において行ってください。
「Webアプリエンジニア養成読本」を読みました - その手の平は尻もつかめるさ
Perlの話がほぼ出てこないこの本はクソ！！！！！ (嘘です．著者の1人にそう書けって言われたものだから……) Webアプリエンジニア養成読本[しくみ、開発、環境構築・運用…全体像を最新知識で最初から! ] (Software Design plus) 作者: 和田裕介,石田絢一(uzulla),すがわらまさのり,斎藤祐一郎出版社/メーカー: 技術評論社発売日: 2014/03/11メディア: 大型本この商品を含むブログ (2件) を見る Webアプリの着想・設計・制作・運用までバランスよくまとまっていて良い本だと思いました．この手の書籍で運用にまつわる話が載っているのは中々珍しい気がします． 1章 基本的なWebの技術 (HTTPとかServer-ClientアーキテクチャとかHTMLとか) の説明が優しく，わかりやすくて良いです．僕もWebアプリ触り始めの頃にこれを読めれば！！！！ と
既存のAmazon ELBにSSL証明書を導入してHTTPSを使えるようにする。
今Amazonクラウドでサービスを運営していて、現在はHTTPだけのところを、セキュリティのためにHTTPSを導入したいと思いました。 ちょっと試行錯誤しながらですがちゃんと導入できたようなので、メモしておきます。 ロードバランサに証明書を入れる Webサーバが複数あるので、全てのインスタンスに証明書を導入する必要があるかと思いきや、ロードバランサにだけ入れるということができるそうです。 Amazon ELBでSSL設定をしてみる 要するに、HTTPSでのアクセスをロードバランサで受けて、各Webサーバインスタンスに80ポートに貫通させるということ。 しかも、これならWebサーバ自体HTTPのままなのでmod_sslとか入れなくて良いので、いろいろと楽です！ 鍵の生成 opensslコマンドで鍵を生成します。 $ openssl genrsa 2048 > private-key.pem
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
PC内のファイル検索が超高速なフリーソフト「Everything」の使い方
Web API Design - 開発者が愛するインターフェイスを作る
