問題：間違ったCSRF対策～初級編～
脆弱性診断の学習のお供に、比較的簡単なCSRF対策バグの問題を提供します。この記事では問題のみを出し、想定解答は後日公開することにします。ネタバレとなるブックマークコメントやツイートなどは控えていただけると幸いです（「思いのほか簡単だった」など感想は可）。ブログ記事等に解説記事を書くことは歓迎いたします。 以下はテスト用に「ログインしたことにする」スクリプト（mypage.php）。ログイン状態で呼び出すこともでき、いずれの場合でもログインユーザのメールアドレスを表示します。 <?php // mypage.php : ログインしたことにする確認用のスクリプト session_start(); if (empty($_SESSION['id'])) { // ログインしたことにしてメールアドレスも初期化 $_SESSION['id'] = 'alice'; $_SESSION['mail'
解答：間違ったCSRF対策～初級編～
この記事は、先日の記事「問題：間違ったCSRF対策～初級編～」に対する解答編です。まだ問題を見ていない方は、先に問題を読んで（できれば自分で解答を考えて）からこの記事をお読みいただくとよいと思います。 それでは、解答を説明します。 はじめに CSRF対策の不備として、ありがちなパターンは以下のとおりです。 トークンが予測可能（ユーザIDのハッシュ値をトークンとして用いている等） 他人のトークンが利用できてしまう（参考記事） トークンのチェック方法に不備がある。 問題のコードは、暗号論的に安全な乱数生成器（PHPのrandom_bytes関数）を用いてトークンを生成し、それをセッション変数に記憶しているので、上記1 と 2 は問題ないと考えられます。したがって、3 が該当しそうだと当たりをつけます。そのためには、攻撃者は以下のトークンチェック(chgmail.php内)を回避する必要がありま
お名前.com共有サーバーでhtmlファイルをphpとして動かす方法｜ヨシキミナトヤ.COM
お名前.com共用サーバーでhtmlをPHPとして動かす Xサーバーやらさくらインターネットやらお名前.comやらあれやらこれらやら。サイトを運営する為のサーバーは様々ですね。ふぃ～。 お名前.com共有サーバーでhtmlファイルをphpとして動かす方法を記載しておきます。 調べているとお名前.com共有サーバーはhtaccessの制限が強いとかなんとか。 .htaccessを作ります まずは「.htaccess」を作ります。 .htaccessの中には以下を記述してください。 ローカルで「.htaccess」と保存できない時は、「a.htaccess」等の名前で保存して、FTPにアップ後ファイル名を「.htaccess」に戻します。 Action myphp-cgi /php.cgi AddHandler myphp-cgi .html php.cgiを作ります 次に「php.cgi」を
PHPの脆弱性 CVE-2018-17082 によるキャッシュ汚染についての注意喚起
エグゼクティブサマリ PHPの脆弱性CVE-2018-17082はXSSとして報告されているが、現実にはXSSとしての攻撃経路はない。一方、Apacheのmod_cacheによるキャッシュ機能を有効にしているサイトでは、キャッシュ汚染という攻撃を受ける可能性がある。 概要 PHPの現在サポート中のすべてのバージョンについて、XSS脆弱性CVE-2018-17082が修正されました。以下は対応バージョンであり、これより前のすべてのバージョンが影響を受けます。ただし、Apacheとの接続にApache2handlerを用いている場合に限ります。 PHP 5.6.38 PHP 7.0.32 PHP 7.1.22 PHP 7.2.10 PHP 5.5以前も対象であり、これらは脆弱性は修正されていません。 脆弱性を再現させてみる この脆弱性のPoCは、当問題のバグレポートにあります。 PHP ::
YYPHP#51「みんなが好きなフレームワーク、どのくらいまじめにテストやってる？、PHPを使う上でこれは知っておくべきこと、1番詳しいPHPの技術書はどれですか？、Dockerのベストプラクティスについて聞きたい、アプリケーションのGitリポジトリとインフラのGitリポジトリをそろそろ一緒にしていいか？、PHPUnitのコードバレッジと実行速度の話、PHPとオブジェクト指向を知り尽くした人がこれから目指すさらなる高み」 - Qiita
YYPHP#51「みんなが好きなフレームワーク、どのくらいまじめにテストやってる？、PHPを使う上でこれは知っておくべきこと、1番詳しいPHPの技術書はどれですか？、Dockerのベストプラクティスについて聞きたい、アプリケーションのGitリポジトリとインフラのGitリポジトリをそろそろ一緒にしていいか？、PHPUnitのコードバレッジと実行速度の話、PHPとオブジェクト指向を知り尽くした人がこれから目指すさらなる高み」PHPRailsLaravelDockerYYPHP これは2018年09月07日に開催したPHPerイベントYYPHP#51のイベントレポートです。 YYPHPは一言で「PHPerの部室」です。PHPについて、雑に、ゆるく、ワイワイ話し合う集いです。毎回お題を決めずに雑談を出発点にいろいろなことを突発的にやります。集まった人でコードリーディングをすることもあれば、一緒に開
.htaccessファイルでPHPの文字コードを指定する方法 : ウェブ制作のネタ帳
ウェブ制作のネタ帳 html、CSS、SEO、ホームページ制作のときの覚え書き。役立つサイトやアイディアを覚え書き。パソコン、エクセル・ワードの操作方も覚え書き。 .htaccessファイルを使ったPHPの文字コードの設定 php_flag output_buffering Off php_value output_handler none php_value default_charset UTF-8 php_value mbstring.language Japanese php_flag mbstring.encoding_translation Off php_value mbstring.http_input pass php_value mbstring.http_output pass php_value mbstring.internal_encoding UTF-8 ph
PHPer向けWebアプリケーションのパフォーマンスチューニング入門 / web performance tuning
PHPカンファレンス関西2018で発表した登壇資料です。
たぶん月刊PHPニュース 2018年7月5日号｜技術ブログ｜北海道札幌市・宮城県仙台市のVR・ゲーム・システム開発 インフィニットループ
たぶん月刊PHPニュース 2018年7月5日号 インフィニットループ仙台支社のプログラマー、いがらしです。 PHP 界隈の気になったことをまとめ、（たぶん）月一くらいで、宮城県仙台市からお送りします。 今回は最近 GitHub で見かけて気になった PHP プロジェクトと、PHP の言語開発者メーリングリストである internals の議論をつまみ食いして紹介します。 ※ なお、画像のPHP ロゴは作者の Colin Viebrock さんによってリリースされ、CC BY-SA 4.0 でライセンスされているものです。 GitHub で見かけたプロジェクト https://github.com/slince/spike ReactPHP で書かれたリバースプロキシ TCP/HTTP のトンネルを作れる https://github.com/webonyx/graphql-php Grap
無効な証明書なサイトに、file_get_contents する方法 - Qiita
Warning: file_get_contents(): SSL operation failed with code 1. OpenSSL Error messages: error:14090086:SSL routines:SSL3_GET_SERVER_CERTIFICATE:certificate verify failed in xxxxx というエラーが表示されます。 証明書入れてくれよと思うのですが、導入できない時もあります。その場合は、optionを付与することで回避できます。 $url = "https://xxxxxx"; $options['ssl']['verify_peer']=false; $options['ssl']['verify_peer_name']=false; $response = file_get_contents($url, false,
IEやEdgeでhistory.back()や「戻る」ボタンで戻った時に消える時の対処法その1｜プログラムメモ
IEやEdgeでhistory.back()や「戻る」ボタンで戻った時に消える時の対処法 PHPでセッションの使用 session_start(); を実行すると、ブラウザのHTTPヘッダには Expires: Thu, 19 Nov 1981 08:52:00 GMT Cache-Control: no-store, no-cache, must-revalidate, post-check=0, pre-check=0 Pragma: no-cache というのが必ず送られます。 これが送られるとそのページはキャッシュされないので、例えばフォーム入力画面の場合 次の確認画面から history.back(); で返ってくると、入力欄が消えてしまいます。 （ただし Google Chrome の場合は消えない場合が多いので、必ずIEやEdgeで確認しましょう。） そこで 次の方法で対処で
PHPで都道府県、市区町村、町域名以降の住所分割を高速に行う方法 - 理想未来ってなんやねん
一つに結合された住所文字列から、『都道府県』、『市区町村』、『町域名以降』を高速に分割したい。 簡単に思いつく方法としては、日本郵便で公開されている住所データを元に1行づつ比較していく方法が考えられますが、生成に時間が掛かってしまいます。 こんな時にmecabを使うと簡単且つ高速に分割できます。 住所辞書の作成 まずは住所辞書を作成します。 そのために住所辞書の元になるデータ用意する必要がありますが、今回は日本郵便で公開されている郵便番号データを使いました。 公開されているデータファイルはlzh形式となっているので、lhaで解凍します。 CentOSでのlhaのインストールは『CentOSでlhaを使う - 理想未来はどうなった？』を参考にしてください。 wget http://www.post.japanpost.jp/zipcode/dl/kogaki/lzh/ken_all.lzh
住所の分割 都道府県/市区町村/町名 | 私的雑録
preg_match('/(東京都|北海道|(?:京都|大阪)府|.{6,9}県)((?:四日市|廿日市|野々市|臼杵|かすみがうら|つくばみらい|いちき串木野)市|(?:杵島郡大町|余市郡余市|高市郡高取)町|.{3,12}市.{3,12}区|.{3,9}区|.{3,15}市(?=.*市)|.{3,15}市|.{6,27}町(?=.*町)|.{6,27}町|.{9,24}村(?=.*村)|.{9,24}村)(.*)/', $str, $matches); UTF8 文字コードがUTF8のため.{2,3}県ではなく、.{6,9}県。 連続した文字列の対応 ○○市△△市、○○町△△町などの連続して同じ文字列が含まれるものを先読み（.{3,15}市(?=.*市)）で抽出。2回目の同じ文字列が終端にならないようにする。 これにマッチしない四日市市、廿日市市、野々市市、杵島郡大町町を先行処理。 A
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
the post thumbnail alt指定 正規表現 置換
あえてPHPerにすすめるVue.js入門
mPDF font-size not working for long text in a table
PHPのローカルでSQL実行時にメモリーエラー
filter_inputで配列を取得する方法 - Qiita
PSR（PHPコーディング規約）の概要まとめ。
Laravelの認証機能でログイン/ユーザ登録/パスワードリセットなどの管理画面を一撃構築する（基本＆入門編）
Laravel インストール後の初期設定と入門
