【PHP入門講座】 XSS攻撃への対策 - Qiita
【2021/10/15 追記】 この記事は更新が停止されています。PHP を分かった気になって書いていた不正確な内容が多いため，過去の情報として参考程度にご覧ください。また，完成にたどり着けなかったことをお詫びします。原則的には，公式マニュアルの参照をおすすめします。 目次に戻る XSS(クロスサイトスクリプティング) 。JavaScriptを実行するコードを制作者の意図していない場所に埋め込む手法であって、PHPを使って実際にプログラミングをしていくうえで真っ先に考えなければいけないのがこの攻撃に対する対策です。 XSS攻撃が成功するまでの流れ TwitterがXSS攻撃への対策を怠っていたと仮定します。 1. 悪意のあるユーザーの下準備 悪意のあるユーザー(A)が <?php $s = serialize(@$_GET['cookie']); file_put_contents('./
覚えておくと便利な5つの.htaccessテクニック | RontanBlog
Warning: Use of undefined constant user_level - assumed 'user_level' (this will throw an Error in a future version of PHP) in /home/rontan/www/wp-content/plugins/ultimate_ga_1.6.0.php on line 524 PHPの設定は「php.ini」で行うことができるのですが、レンタルサーバーや共有サーバーとして利用している場合、「php.ini」を変更することはできません。 そんな時は、.htaccessを利用して、特定のディレクトリ以下のみPHPの設定を変更してあげることで解決できます。 しかし、.htaccessでは全ての設定を変更できる訳ではありません。 phpManualで「PHP_INI_PERDIR」また
suz-lab.com - suz lab リソースおよび情報
This webpage was generated by the domain owner using Sedo Domain Parking. Disclaimer: Sedo maintains no relationship with third party advertisers. Reference to any specific service or trade mark is not controlled by Sedo nor does it constitute or imply its association, endorsement or recommendation.
「Cookie」と「セッション」と「セッションCookie」の違い – 猫型iPS細胞研究所
セッションという日本語のイメージこそ、最も注意すべき点です。 WEBサーバーとブラウザの間には、トンネルのような物理的な接続状態は存在しません。 一回ポッキリのデータのリクエスト・レスポンスしかHTTPには存在しないのです。 Cookieとセッションの違い ID・パスワードなど別の画面に遷移しても必要なデータは多々あります。 こうした場合によく使用されるのが、Cookieやセッションです。 CookieはWEBサーバーが発行し、ブラウザが保持するキーと値です。 ブラウザは同じサイトにアクセスする際にはそのCookieをWEBサーバーに送信します。 WEBサーバーはブラウザからのリクエスト毎にその値を参照することができます。 一方セッションはWEBサーバーで保持するキーと値です。 IDやパスワードなどを毎回ブラウザから送信してはセキュリティ的にも問題です。 ログインアクションにより、WEBサ
Cookieとセッションをちゃんと理解する - Qiita
引用/参考書籍 「よくわかるPHPの教科書」 「初めてのPHP5」 「パーフェクトPHP」 「体系的に学ぶ安全なWebアプリケーションの作り方」 「PHPスーパーサンプル」 「プロになるためのWeb技術入門」 インターネット上で情報をやりとりするということは、大事な内容をはがきに書いて相手に送るようなもの。その情報が相手に届くまでに誰に見られるかわからない。 概要 HTTPはステートレスなプロトコル。「状態」を持てない。 例えば、「ログイン」ページの場合、「ログインしているかどうか」のチェックをする必要がある。 NG例) http://www.littleforest.jp/itemlist?login=ok loginパラメータを調べてokかどうかを調べる。 →→パラメータを容易に改変できてしまう。 解決策として、Cookieとセッションを使う。 Chromeで、Cookieを確認するに
websec-room.com - websec room リソースおよび情報
This webpage was generated by the domain owner using Sedo Domain Parking. Disclaimer: Sedo maintains no relationship with third party advertisers. Reference to any specific service or trade mark is not controlled by Sedo nor does it constitute or imply its association, endorsement or recommendation.
セッションハイジャックを防ぐ７つの方法 – sawara.me
会社のブログに寄稿させていただきました。 PHPのセッション情報をデータベース（MySQL）に保存するぜ！ こちらの記事ではセッション情報をDBサーバーに保存させて、ロードバランサーで接続するサーバーが切り替わってもセッションが維持される方法について記載しましたが、セッションハイジャックについては言及しておりません。ということで今回はセッションハイジャックを防ぐ方法について紹介します。 セッションハイジャックとはなにか そもそもセッションハイジャックとはなにか。cookieでセッション管理を行うPHPの場合はcookieにセッションIDを保存します。このセッションIDを他のユーザーのものに書き換えてなりすましてしまうのがセッションハイジャックです。cookie情報なんてのはブラウザで簡単に書き換えられてしまいますからね。 セッションハイジャックにおける対策としては大まかに分けて２つの対策、
Webスクレイピングのノウハウを公開します | 東北ギーク
photo credit: the local eye sore : man scraping illegal billboard, castro, san francisco (2014) via photopin (license) こんにちは。リスペクトの木村です。 今回は「スクレイピング」についての話題をお送りします。 スクレイピングとは ウェブスクレイピング（Web scraping）とは、ウェブサイトから情報を抽出するコンピュータソフトウェア技術のこと。ウェブ・クローラー(Web crawler) あるいはウェブ・スパイダー(Web spider)とも呼ばれる。 ウェブスクレイピング – Wikipediaより 要するに、「APIを利用せずにWebページのHTMLデータを収集して、データを抽出したり整形する技術」の事を指します。 収集方法も様々で、最近ではkimonoのようなサ
ガラケー×SSL 開発Tips
【19-E-L】うちのWebサイトが使えなくなる！？ SSL署名アルゴリズム「SHA-2」移行のポイントと、複数証明書の管理・運用の効率化Developers Summit
[PHP][cURL] cURLでクッキーを送受信する
PHPは特定のURLにアクセスしたりリクエストを送るのが非常に簡単だ。 とりわけcURLを使う方法は結構メジャーである。 cURLには通信のための様々なオプション設定ができるが、 クッキーを扱うためのオプションももちろんある。 相手からクッキーを受け取りたいときは //URLを指定する $url='www.google.co.jp'; //テンポラリファイルを作成する $cookie=tempnam(sys_get_temp_dir(),'cookie_'); //cURLを初期化して使用可能にする $curl=curl_init(); //オプションにURLを設定する curl_setopt($curl,CURLOPT_URL,$url); //クッキーを書き込むファイルを指定 curl_setopt($curl,CURLOPT_COOKIEJAR,$cookie); //URLにアクセ
モバイル版 Google Analytics を PHP4 で動かす
先日からサービスの提供が始まったモバイル版の Google Analytics ですが、アクセス解析用の PHP スクリプトである ga.php は PHP4 では動きません。PHP4 のアップデートはすでに終わっているので、PHP5 にアップグレードするべきなのですが、レンタルサーバなどで PHP のアップグレードをしてくれないところもあると思います。そこで、PHP4 でも動くように、ga.php を修正してみました（ライセンス的な問題がちょっと気になりますが…）。 準備として、PEAR の PHP_Compat をインストールします（stable版の1.5.0ではなく、alpha版の1.6.0a2が必要）。 次に、ga.php の先頭部分に require_once 'PHP/Compat/Function/setrawcookie.php'; require_once 'PHP/Co
実は厄介、ケータイWebのセッション管理
実は厄介、ケータイWebのセッション管理：再考・ケータイWebのセキュリティ（3）（1/3 ページ） “特殊だ”と形容されることの多い日本の携帯電話向けWebサイト。そこには、さまざまな思い込みや性善説の上しか成り立たないセキュリティが横行しています。本連載は、ケータイWebの特殊性をていねいに解説し、正しいケータイWebセキュリティのあるべき姿を考えます（編集部） 「Cookieを使えない端末」でセッションを管理する方法は？ 第2回「間違いだらけの『かんたんログイン』実装法」ですが、多くの方に読んでいただきありがとうございました。 今回は、前回に引き続き架空のSNSサイト「グダグダSNS」のケータイ対応を題材として、ケータイWebのセッション管理の問題点について説明します。携帯電話向けWebアプリケーション（ケータイWeb）のセッション管理は、かんたんログインよりも対策が難しく、厄介な問
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
サービス終了のお知らせ