Top 10 Web Hacking Techniques 2013 - WhiteHat Security
Every year the security community produces a stunning number of new Web hacking techniques that are published in various white papers, blog posts, magazine articles, mailing list emails, conference presentations, etc. Within the thousands of pages are the latest ways to attack websites, Web browsers, Web proxies, and their mobile platform equivalents. Beyond individual vulnerabilities with CVE num
[WEB SECURITY] A technique for bypassing request header restriction of XMLHttpRequest
[WEB SECURITY] A technique for bypassing request header restriction of XMLHttpRequest Kousuke Ebihara kousuke at co3k.org Thu Jan 5 07:13:09 EST 2012 Previous message (by thread): [WEB SECURITY] What do you see is the biggest challenge appsec wise at your company? Next message (by thread): [WEB SECURITY] A technique for bypassing request header restriction of XMLHttpRequest Messages sorted by: [ d
HTML5_Web_Security_v1.0</title> <meta name="Subject" content=""> <meta name="Keywords" content=""> <meta name="Author" content="Michael Schmidt"> <meta name="Creator" content="Microsoft Office Word- Word-Addin 6.61.5623"> <meta name="Producer" content="eD
Compass Security AG Werkstrasse 20 Postfach 2038 CH-8645 Jona T +41 55 214 41 60 F +41 55 214 41 61 team@csnc.ch www.csnc.ch HTML5 web security December 6th, 2011 Document Name: HTML5_Web_Security_v1.0.docx Version: v1.0 Author: Reviewer: Michael Schmidt, Compass Security AG Thomas Röthlisberger, Compass Security AG Date of Delivery: December 6th, 2011 Classification: Article HTML5 web security –
Timing Attacks on CSS Shaders
CSS Shaders is a new feature folks from Adobe, Apple, and Opera have proposed to the W3C CSS-SVG Effects Task Force. Rather than being limited to pre-canned effects, such as gradients and drop shadows, CSS Shaders would let web developers apply arbitrary OpenGL shaders to their content. That makes for some really impressive demos. Unfortunately, CSS Shaders has a security problem. To understand
サードパーティCookieの歴史と現状 Part3 広告における利用、トラッキング、ターゲティング広告におけるプライバシーリスク - 最速転職研究会
前回の続き。なるべく一般人向けに書きます。サードパーティCookieとあまり関係のない話も書きます。 http://d.hatena.ne.jp/mala/20111125/1322210819 http://d.hatena.ne.jp/mala/20111130/1322668652 前回までの概要 トラッキング目的のCookieの利用などからサードパーティCookieの利用は問題視されIE6で制限がかけられるもプライバシーポリシーを明示すれば利用できるという迂回手段を用意、しかし今ではP3Pはオワコン化、SafariはサードパーティCookieの受け入れをデフォルトで拒否する設定を採用したが一度受け入れたCookieは問答無用で送信、Mozilla関係者は「殆ど合法的な利用目的はない」と言っていたものの既存Webサイトとの互換性のために変更できず、ブラウザはサードパーティCookie
サードパーティCookieの歴史と現状 Part2 Webアプリケーションにおける利用とその問題 - 最速転職研究会
前回 http://d.hatena.ne.jp/mala/20111125/1322210819 の続きです。 前回のあらすじ ブラウザベンダーはサードパーティCookieをデフォルトでオフにしたかったんだけどお前らがサードパーティCookieに依存したサイト作るし使うからオフに出来なかったんだよ!!!!! といった事情を踏まえた上でWebアプリケーションにおけるサードパーティCookieの利用の歴史について書きます。前提知識の共有が済んだので、ここからはある程度個人的な意見も含まれます。実装面での技術的な内容も含みます。 サードパーティCookieが必要とされてきた歴史 広告のためのトラッキングCookie以外にも、サードパーティCookieに依存したサービスが数多く存在してきた。個人的に把握しているいくつかのサービスについて時系列で述べる。ついでに広告業界の流れについても重要なのを幾
サードパーティCookieの歴史と現状 Part1 前提知識の共有 - 最速転職研究会
Web開発者のためのサードパーティCookieやらトラッキングやらの問題点について三回ぐらいに分けて書きます。 この文章は個人的に書いていますので、おい、お前のところのサービスがサードパーティCookieに依存してるじゃねーかというツッコミがあるかもしれないが、そういうことを気にしているといつまで経っても公開できないという問題が出てしまうので、そんなことはお構いなしに書く。ちなみに例外なく自社サービスに対してもサードパーティCookieに依存するな死ねと言っている。これはWebプログラマー観点で、自分がサービス開発に関わる上で知っておかねばならないだろう知識として十数年間だらだらとWebを見ていて自然に知っていたものと、あるいは興味を持って率先して調べたものが含まれている。ググッて直ぐに分かる程度の用語の定義的なことは書かない。あくまでWebサイト制作者側からの観点なので、ブラウザ開発関係
属性型JPドメインと地域型JPドメインに対するCookie Monster Bug調査
※凡例 地域型JPドメインの第2レベルとは、tokyo.jpなど第2レベルのドメイン名でCookieが発行できるもの 地域型JPドメインの第3レベルとは、chiyoda.tokyo.jpなど第3レベルのドメイン名でCookieが発行できるもの 背景が赤のセルは現バージョンでバグのあるもの。無色は旧バージョンの参考情報 携帯電話に関しては機種毎に仕様が異なる可能性が高く、全機種について調査したわけではないので、上記はあくまで抜き取りでの結果であることに注意されたし ※確認機種、バージョン等 iモード:P-07A(iモードブラウザ2.0)で確認 EZweb:W52T、biblioで確認（結果は同じ）。詳細は後述 Softbank(1): 821N, 932SHで確認。これらは非公式JavaScript対応機 Softbank(2): 944SH(公式JavaScript対応機)で確認 Andr
TLD List - MozillaWiki
Note: this page has been obsoleted by the information available at publicsuffix.org. Further updates are done on the PSL GitHub Repository This is a list of all TLDs (top-level-domains) with their policies for second and third level domains. This is to help with bug 319643, bug 252342, bug 8743, bug 66383, bug 264632, ... It will take some time to check every domain, since there isn't a good list
Filejacking: How to make a file server from your browser (with HTML5 of course)
on security, malware, cryptography, pentesting, javascript, php and whatnots Back in the days of browser wars, there was a joke: Internet Explorer is the only web browser that makes Internet browse your computer. Through various security flaws, IE was exploitable and allowed for remote code execution that could e.g. steal your sensitive files. But now the times are different. It's not that easy to
sla.ckers.org web application security forum :: XSS Info :: PHP header location (open redirect)
this isnt really xss, or code injection, so i wasnt sure where to put it. my question is i have an open redirect header("Location: $_GET[url]"); other than using it for phishing, what can i use it for? are there ways to set other header info? xss? (there is no xss on the site, i would know i use to code for them) [www.xssed.com]
ダチョウ式リダイレクトと名付けてみる修行 - 昨日知ったこと
ダチョウ式リダイレクト リダイレクトさせているつもりが後段の処理も走ってしまう 概要 WEB アプリケーションにおいて、ステータスコード 302 を返してリダイレクトさせているつもりだが、即座にレスポンスを戻さないので、実際には後段の処理も動作してしまっている現象。そのようなコード。 ダチョウのように head だけ対処して body への対処を怠っていることから命名。 症例 PHP において、header("Location: xxx") 直後に exit() しないことで発生しやすい。header("Location: xxx") のあと、普通に処理が実行されるが、最終的な HTTP レスポンスのステータスコードは 302 Found になり、Location: ヘッダもつくので、ブラウザは普通にリダイレクト処理を行う。 したがって、ブラウザで普通にアクセスしている限り、この問題が発生
[5496] Re:「パスワードを隠すのをやめよう?」 | 新生鳩丸掲示板♯
> 現状では、パスワードに日本語の文字を使用できるケースはほとんどないと思いますが、それはパスワード入力欄に日本語の文字を入力することが困難だからでもあるでしょう。マスキングをやめれば、日本語の文字を含むパスワードを使用できるようになり、パスワードの強度は大幅に上がるはずです。 パスワードをIMEが学習するのをどう阻止するかという大きな問題があります。最近のIMEには予測入力なんて機能もありますから最初の数文字がたまたま一致するものをタイプしただけでパスワードがだだ漏れ、という可能性すらあります。IMEのユーザー辞書はふつうそこまで機密性が高いものとはみなされていませんから直接読み取るという手もありますし。 また最近はWebブラウザの入力欄にも自動補完の機能があります。Webブラウザの場合<input type="password">な入力欄のみ暗号化して記録したり、クリックしただけでは候
Casaba Security's Watcher tool for Web Security Auditing and Testing - Home
すべての Microsoft 製品 Global Microsoft 365 Teams Copilot Windows Surface Xbox セール 法人向け サポート ソフトウェア Windows アプリ AI OneDrive Outlook Skype OneNote Microsoft Teams PC とデバイス Xbox を購入する アクセサリ VR & 複合現実 エンタメ Xbox Game Pass Ultimate Xbox Live Gold Xbox とゲーム PC ゲーム Windows ゲーム 映画とテレビ番組 法人向け Microsoft Cloud Microsoft Security Azure Dynamics 365 一般法人向け Microsoft 365 Microsoft Industry Microsoft Power Platform W
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
OWASP AppSec USA 2018 -
[PDF] HTTP HEAD method trick in php scripts
Google Code Archive - Long-term storage for Google Code Project Hosting.
The Future of Web Attacks - CONFidence 2010
html5security - Project Hosting on Google Code
HugeDomains.com