更新系SQLを手で打つときに気をつけていること
WHERE条件をつけまくる UPDATE user SET age = 35 WHERE id = 1 AND name = 'Songmu' AND age = 34 idだけで絞れるけど name も付けてレビュワーフレンドリー 変更前の値も条件に含める 34 -> 35になることがわかる 間違えていた時も戻せる ユーザー操作とのコンフリクトを検知 万が一履歴から誤爆しても更新されない(可能性が高い) SETとWHEREを一行にまとめてるのは変なところで小指が滑るのが怖いため WHERE条件応用編 UPDATE user SET weapon_id = (SELECT id FROM weapon WHERE id = 100 AND name = '村正') WHERE id = 1 AND name = 'Songmu' AND weapon_id = (SELECT id FRO
OAuth/OpenID Connectを用いてID連携を実装するときに気を付けること - YAPC::Asia Tokyo 2014
こんにちは、ritouです。 去年のYAPC::Asiaで「次世代のOpenIDとして仕様策定・実装が進んでいる」とかなんとか言ってPerlライブラリなどと一緒に紹介させていただきましたOpenID Connectが、2014年2月末にローンチされました。 OpenID Connect Launch ! この話はおいといて、最近増えてきたGoogleとかFacebookなどとID連携するサイトが増えている中、UX、セキュリティ面で気を付けるべき点を紹介します。 例えば、ID連携を利用しているサービスの開発者の方は、次の質問に自信を持って答えられるでしょうか？ ユーザーがFacebook上で連携を「キャンセル」したとき、どんな動きをしますか？ ID連携において最もメジャーな脆弱性と言える、CSRFへの対策してますか？ モバイルアプリからトークンを受け取るタイプのバックエンドサーバーで、トーク
ヤマト運輸がLINEビジネスコネクトを活用、再配達依頼などがLINEで可能に
LINEとヤマト運輸は1月15日、ヤマト運輸がLINEビジネスコネクトを活用し、「お届け予定メッセージ」などのLINEメッセージ通知を19日より提供すると発表した。 ヤマト運輸はこれまでにも、コンビニエンスストアなどの受け取り場所の拡充や荷物の到着を事前にEメールで通知するサービスを提供してきたが、コミュニケーション手段がLINEなどのSNSへ移行してきたことから、今回の提供につながったという。 同サービスは、19日にヤマト運輸がLINE公式アカウントを開設し、クロネコメンバーズのクロネコIDをLINEと連携することで利用できる。利用料は無料。公式アカウントのトーク画面で、「お届け予定メッセージ」と「ご不在連絡メッセージ」を配信する。届け日、届け場所の変更がトークで可能となるほか、集荷・再配達依頼もできるようになる。 19日昼ごろより利用できる機能は上記の通りだが、すでに今後、以下の機能も
Androidアプリセキュリティ〜WebViewの注意点(1)〜 | Remote TestKit
WebViewとその脆弱性とは WebViewとはWebページを表示するための画面部品です。簡単にアプリケーション内にWebページを表示できるため多くのアプリケーションで使用されていますが、外部とのインタフェースを持つ機能であることや使用頻度が多いことに起因してか報告されている脆弱性の数も多くなっています。 実際に報告された脆弱性を見てみましょう。これまで発表されたWebViewに関する脆弱性の実例についてJVN iPedia(※1)を見てみると、以下のような脆弱性が確認できます。 Sleipnir Mobile for Android における WebView クラスに関する脆弱性 Yahoo!ブラウザーにおける WebView クラスに関する脆弱性 Dolphin Browser における WebView クラスに関する脆弱性 iLunascape for Android における W
第6回 迷わないためのAndroid端末の位置情報・GPS設定術
第6回 迷わないためのAndroid端末の位置情報・GPS設定術：Windowsネットワーク管理者のためのAndroid活用入門 スマートフォンやタブレットで特に便利なマップ・アプリケーション。でも現在地が正しく表示されないこともままある。一体なぜ？ Android端末を対象に、マップ・アプリケーション活用に必須のGPS・位置情報の設定方法や、プライバシー上の注意点を解説する。 連載目次 スマートフォンやタブレットを持ち歩いているとき、特に便利だと感じるのはマップ・アプリケーションを使う場面だ。現在地から目的地まで、どういった経路でどのくらいの時間がかかるのか？ 現在地の付近にはどんな店があるのか？ 対応するマップ・アプリケーションを活用すれば容易に確認できる。 しかし、実際にAndroid端末でマップ・アプリケーションを使っていると、なぜか現在地が正しく表示されないことがままある。 また
黒林檎のお部屋 ~ハッキング編~
1 黒林檎のお部屋 ハッキング編 黒林檎 著 2 ◆まえがき 近年、日本でもサイバーセキュリティの話題は良かれ悪かれ注目される事が 多くなりました。 多くは日本のホワイトハッカーについてが多いですが、一方で不正アクセス やコンピュータウイルスなどの販売などで逮捕される事例なども世間的関心 が高くなったと言えます。 今回はハッキングについて個人的なまとめで書きますが、『私がハッキングを 始めた頃読みたかった』という本を目指し書いていきます、簡単に言い直す と初心者がより短期間でハッキングについて触れれる本を書きつつ、この本 を読了した後もこの本には書かれていない新しいハッキング技術を学ぶノウ ハウをつかむことが出来る事を最終目標とします。 本著は、各ハッキングの技法を紹介します、中には悪用すれば迷惑になる技 術や逮捕される技術もあるかと思います、日本の情報セキュリティ業界では リテラシーは
Electronを使ってJavaScriptでデスクトップアプリを作る
はじめに こんにちは。デスクトップアプリケーションを手軽に作りたいと思ったことはないでしょうか？ 普段Webアプリケーションを開発している場合、 デスクトップアプリケーションを作ろうとすると、開発言語やライブラリがWebアプリケーションとは違うので、別な知識が必要になるのと複数のプラットフォームで動くものを作ろうとすると大変ですね。 そこで、今回はWebアプリケーションのKPTBoardのJavaScriptとCSSのコードを一部流用と修正して、Electronで動かしてみました。 Webアプリケーション版のKPTBoardと違う点 今回はWebアプリのデスクトップクライアントアプリではなくて、単体で動くデスクトップアプリとして作ってます。 複数人には対応してないです。 投稿した内容は、データーベースではなくてアプリのlocalStorageに保存されます。 Electronとは http
RFD 2015
この記事は「脆弱性"&'<<>\ Advent Calendar 2015」21日目の記事です。 CSP 2015がかっこよ過ぎたのでパクりましたｗ Reflected File Download（以後RFD）はBlack Hat Europe 2014で発表された比較的新しい脆弱性です。今年になりRFD Cheat Sheetなる記事も書かれました。実は僕も今年の後半はRFDばかり見ていました。 概要 RFDはその名の通り3つの要素がからなります。 1. Reflected ユーザーの入力した値がレスポンスに反映される。 2. File URLに任意の文字列を追加でき、尚且つ正常にロードされる。 3. Download ダウンロードが可能であり、上記2つの要素がダウンロードしたファイルに反映される。 例 ユーザーが検索バーに文字を入れた際に、JSONを使い動的に候補を表示するサイトがある
PHPでnasneの録画情報を取得する - モロ屋
「brew 予約 秋アニメ2013」 とか出来てほしい— ぜのぷ (@xenop) September 3, 2013 nasneなら出来そうな気がした ソニーが出してるnasneというネットワークレコーダーがありまして、わしはこれを使って毎日アニメを録画する日々を送っています。かなり未視聴が貯まってますが。 nasne (ナスネ) (CECH-ZNR1J) 出版社/メーカー: ソニー・コンピュータエンタテインメント発売日: 2012/08/30メディア: Video Game購入: 7人 クリック: 513回この商品を含むブログ (104件) を見る その名の通りNASなのでネットワークに繋いで色々出来るんですね。 DTCP-IPっていうのに対応してるクライアントを使えばスマホやタブレットで録画番組が見れたり、CHAN-TORUっていうサイトにnasneを登録しておけば外出先からでも予約
【nasne】APIを調べてみた。ディスク容量が知りたい、他 | Pocketstudio.jp log3
■nasneのAPIを知りたい！ 今回の投稿は、nasneのAPIが返すデータを調べた結果です。前半は調べ方、後半はcurlを使って取得できるデータの説明です。 先日、気づかないうちにnasneのディスク使用率が100%に到達してしまい、いくつかの映像作品が録画できないという悲劇が発生しました。事前にディスク容量を把握していれば、この事象は避けられたに違いありません。しかし、私は週末にまとめてみる視聴スタイルのため、予定が入って見逃すと、容量が圧迫していても気づきづらかったのです。数値を取得できれば、きっとMuninやZabbixを使って監視が出来るはず。そう思い、調べることにしました。 ■どうやって値を取得できるのか？ 私が注目したのは、nasneの容量をブラウザから知る方法です。PS4を起動して確認する方法のほかに、nasneのIPアドレスをブラウザに入力してアクセス方法があります。こ
UTF-7 XSS Cheat Sheet
Countermeasures against XSS with UTF-7 are: Specify charset clearly (HTTP header is recommended) Don't place the text attacker can control before <meta> Specify recognizable charset name by browser. For more information about UTF-7 trick, see "Cross-site scripthing with UTF-7". These XSS patterns are tested on IE6 and IE7. Yosuke HASEGAWA <hasegawa@openmya.hacker.jp> Last modified: 2008-01
攻撃者が悪用するWindowsコマンド(2015-12-02) - JPCERT/CC Eyes
Windows OSには標準で多数のコマンド(以下「Windowsコマンド」といいます。)がインストールされています。しかし、ユーザが実際に利用するのは多くの場合そのうちのごく一部です。一方、侵入した攻撃者も情報を収集し、あるいはネットワーク内で感染を拡大させるためにWindowsコマンドを使っていることをJPCERT/CCの調査で確認しています。ここで注目されるのは、普通の利用者が使うWindowsコマンドの集合と攻撃者が使うWindowsコマンドの集合のずれです。両者が大きく違っていれば、Windowsコマンドの実行状況を監視または管理することで、攻撃者の動きを検知あるいは抑制できることになります。 今回は、攻撃者が侵入したWindows OS上で使用するWindowsコマンドを明らかにし、攻撃者は使うが各ユーザにとっては不要なWindowsコマンドの実行を制限することで、攻撃による影
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
楽天カード: お客様お問い合わせ窓口
Maintenance ....
Maintenance ....
LINE Partners
Sheepl : Automating People for Red and Blue Tradecraft
4月3日のtwitterセキュリティクラスタ – twitterセキュリティネタまとめ
GitHub - siddharthgoel88/web-attacks: A repository to showcase some of the popular web attacks.
GitHub - naokiy/node-nasne
