hataichiのブックマーク - はてなブックマーク

[Linux][セキュリティ] shellshockはPerl/CGIでsystem()にダメージありや無しや - ろば電子が詰まつてゐる
bashの脆弱性"shellshock"が非常に話題になっておりますが、これがいろいろと事情が入り組んでおり全容がつかみづらい。ということでここでは全容を理解するのを早々に放棄して、以下のレガシー環境に絞った狭い話をします。レガシーとは言っても、それなりに鉄板の構成なので対象者は多いのでは無いでしょうか。私は老害なので、Perlしか分からないのです。PHPは嫌い。 CentOS(Red Hat) 6 or 7 PerlのCGIの内部で、system()を使っている。 (CGIとして動作させており、mod_perlやPSGI/Plackは使っていない）なお、shellshock自体の解説はここでは行いません。基礎知識：CentOSの/bin/sh はじめに、/bin/shとbashの関係について予備知識を知っておく必要があります。現在のCentOSおよびRed Hat Linuxにお
hataichi 2014/10/02
リンク
ssコマンドはバグと地雷の塊なのでnetstatの代わりにならない - ろば電子が詰まつてゐる
既に有名な話ですが、CentOS 7およびRed Hat Enterprise Linux 7からはifconfigコマンドやnetstatコマンドが非推奨となり、デフォルトインストールすらされなくなりました。代替として、ifconfigコマンドはipコマンド、netstatコマンドはssコマンドが用意されています。というわけでさっそくssコマンドを試していたのですが、明らかに動きがおかしなところがあり、少し調べてみました。そして、「netstatコマンドの代替と思って安易にssコマンドを使うと、これは痛い目に遭うな……」ということが分かったので、不幸になる人を少なくするためにこのエントリを書きました。概要結論から先に言うと、CentOS 7/ RHEL 7のssコマンドには「UDPの開放ポートがTCPと報告される」というひどいバグがあり、使うべきではありません。また、ssコマン
hataichi 2014/09/16
リンク
WiresharkでSSL通信の中身を覗いてみる - ろば電子が詰まつてゐる
OpenSSLの脆弱性「Heartbleed」が世間を賑わせていますが、色々と乗り遅れてしまった感があるので、ゆるゆると落ち穂拾いをしようかと思います。 Heartbleedで秘密鍵を手に入れたらSSL通信の中身全部見えちゃうじゃん!! という事態になっていますが、なんとなく理論的にそうだろうなと分かるもののイマイチ具体的な手順が分からない。というわけで今回のテーマとして、手元にサーバの秘密鍵と、SSL通信をパケットキャプチャしたpcapファイルがあるときに、Wiresharkでどんな感じでSSL通信を「ほどく」のか……という具体的な手順を、ハマり所を含めてまとめておこうかと思います。というか、私自身がハマったので自分用メモですな。なおこの文書では"SSL"とだけ記述し、TLSは無視しています。前提条件とりあえず以下のような感じの検証環境で試しました。 IPアドレス説明ホストO
hataichi 2014/04/14
リンク
無料で読める情報セキュリティ文書をまとめてみた - ろば電子が詰まつてゐる
最近は何かとセキュリティ流行りなので、こういうのがあると誰かに便利かなーと思ってまとめてみました。半分は自分用のリンク集です。一応、取り上げた基準としては、以下の感じ。日本語であること。無料でWebで読めること。「文書」であること（ブログでも有用なものはもちろんたくさんありますが、敢えて外しました）。セキュリティを学ぼうとする人に役立つもの。 Webラーニングプラザ eラーニング [科学技術振興機構] http://weblearningplaza.jst.go.jp/ 「文書であること」と言いながらいきなり違う気がするけど、これはJSTがやっている無料のeラーニング。「情報通信」のところに、情報セキュリティコースがある。内容はかなり初歩の初歩だけど、高校生など、まずどこから手を付けていいかも分からない……という人にはここからがおすすめかな。 Linux セキュリティ標準教科書 [
hataichi 2013/12/30
リンク
1