X-Content-Type-Options: nosniff つかわないやつは死ねばいいのに! - 葉っぱ日記
2011-01-06: IE8ということを追記 & ちょっと間違いを修正。あけましておめでとうございます。 年明け早々ですが、Internet Explorerの話題です。IEはご存じの通り、Content-Type だけでなくコンテンツの内容なども sniff することでファイルタイプを決定しているため、画像ファイルやテキストファイルをHTMLと判定してしまい、クロスサイトスクリプティングが発生することが昔からたびたび報告されていました*1。現在は幾分マシになったとはいえ、IEのファイルタイプの判定アルゴリズムは非常に難解であり、現在でも状況によってはWebサイト運営者のまったく意図していないかたちでのXSSが発生する可能性があったりします。そういうわけで、IEがコンテンツを sniff してHTML以外のものをHTML扱いしてしまうことを防ぐために、動的にコンテンツを生成している場合に
画像ファイルによるクロスサイト・スクリプティング(XSS)傾向と対策
補足 この記事は旧徳丸浩の日記からの転載です（元URL、アーカイブ、はてなブックマーク1、はてなブックマーク2）。 備忘のため転載いたしますが、この記事は2007年12月6日に公開されたもので、当時の徳丸の考えを示すものを、基本的に内容を変更せずにそのまま転載するものです。 補足終わり 最近、画像ファイルを用いたクロスサイト・スクリプティングが注目されている。本稿では、画像を悪用したXSSについて説明した後、対策方法について解説する。 画像によるXSSとはどのようなものか Internet Explorer(IE)の特性として、コンテンツの種類を判別する際に、レスポンスヘッダ内のContent-Typeだけでなく、コンテンツの内容も判断基準にしている。このため、Content-Typeが例えばimage/gif(GIF画像)となっていても、中身がHTMLであればHTMLと解釈して表示する。
Blue Eyes Blue: Apache Traceメソッドの脆弱性
httpd.conf 修正後、httpd -t で文法チェック後、Apacheを再起動して、レスポンスからTRACEがなくなっていることを確認。修正前OPTIONSメソッドを送ってみる。TRACEの文字が見える。 $ telnet 192.168.10.10 80Trying 192.168.10.10...Connected to myhost.example.com (192.168.10.10).Escape character is '^]'.OPTIONS /index.html / HTTP/1.0HTTP/1.1 200 OKDate: Mon, 27 Oct 2008 13:58:59 GMTServer: ApacheAllow: GET,HEAD,POST,OPTIONS,TRACEContent-Length: 0Connection: closeContent-Ty
御社の企業情報ページはhttpsでアクセスできますか？ | 初代編集長ブログ―安田英久
今日は、企業サイトで意識するべき「正しい情報提供」の手法について。企業情報ページの連絡先情報やIRページなど、正しい情報を伝えるべきページは、httpsでアクセスできるようにしておきましょう。 セキュリティ専門家の高木浩光氏が、ブログで「なぜ一流企業はhttpsでの閲覧をさせないようにするのか」という記事を出しました。銀行など金融機関のサイトで、電話問い合わせ番号を掲載しているページがhttpsではアクセスできない場合があることを警告している記事です。 ・なぜ一流企業はhttpsでの閲覧をさせないようにするのか (高木浩光＠自宅の日記) → http://takagi-hiromitsu.jp/diary/20100227.html#p01 元は携帯サイトの「かんたんログイン」の仕組みのセキュリティ上の問題点を述べる話題ですが、金融機関の問い合わせ先電話番号を掲載しているページがhttps
モンベル ｜ 不正アクセスによる情報漏洩のお詫びとご報告
【モンベルクラブ事務局】 〒550-0013 大阪市西区新町2丁目2-2 フリーコール：0120-998-460 ※携帯電話、IP電話などからはご利用いただけません。 TEL：06-6538-5793 FAX：06-7664-9701 メール：club@montbell.com 受付時間：平日/10：00～17：30 土曜/10：00～15：00 ※日曜・祝日は受け付けておりません 調査の結果、不正アクセスによって窃取された情報は、弊社データベースサーバー内にありました、オンラインショップの受注データに含まれるクレジットカード情報（番号、有効期限）であることが分かりました。 ・情報漏えいによりご迷惑をおかけしましたお客さま 2009年11月1日午前0時00分～2010年1月26日午前6時37分の期間中、モンベル・オンラインショップでクレジットカード決済をご利用になったお客さま。 ※モンベル
セキュリティ情報 - iモードIDを用いた「かんたんログイン」のDNS Rebinding脆弱性
iモードIDを用いた「かんたんログイン」のDNS Rebinding脆弱性 HASHコンサルティング株式会社 公開日:2009年11月24日 概要 iモードブラウザ2.0のJavaScriptとDNS Rebinding問題の組み合わせにより、iモードIDを利用した認証機能（以下かんたんログイン）に対する不正アクセスが可能となる場合があることを確認したので報告する。危険度の高い攻撃手法であるので、サイト運営者には至急の対策を推奨する。 背景携帯電話のかんたんログインとは、ケータイブラウザ（たとえばiモードブラウザ）に用意された契約者固有IDを利用した簡易的な認証であり、ユーザがIDやパスワードを入力しなくても認証が可能となる。iモードIDは、NTTドコモの提供する契約者固有IDの一種で、URLにguid=ONというクエリストリングを含めることにより、端末固有の7桁のIDがWebサーバに送
Webアプリの入力検証不備──4つの実例とその対策
Webアプリケーションの入力検証に不備があると、セキュリティ上の深刻な弱点になる恐れがある。しかし、こうした不備は、得てして問題が起こるまで気付かれない。本稿では、わたしがWebアプリケーションのセキュリティ評価を行った際に見つかった入力検証の不備の例を幾つか紹介しよう。 ログインIDが含まれたURL これまでで最も興味深い入力検証の問題を見つけたのは、自分のさまざまな機密情報を保存していたWebサイトだった。ある日、そのサイトを眺めていて、自分専用のログインIDがURLに含まれていることに気付いた。これはWebサイトの最も基本的な、しかし危険な欠陥の1つだ。わたしは「彼らは分かっていないに違いない」と考えた。そこでサイトの管理者に電話で連絡を取り、問題を報告した。彼女は最初は平然としていた。彼女の態度が変わったのは、彼女がそのシステムの自分専用のIDをわたしに教えた後で、わたしが彼女の住
Shift_JIS では、htmlspecialchars() を使用しても XSS が可能な場合がある - t_komuraの日記
以下のページに関連して、htmlspecialchars() を使用している場合でも XSS が可能かどうか少し調べてみました。 http://www.tokumaru.org/d/20090930.html その結果、いくつかのブラウザで文字エンコーディングに Shift_JIS を使用していた場合、XSS が可能なことを確認しました。 テストコードは以下の通りです。リンクにマウスポインタを乗せると埋め込んだ Javascript が実行されます。 <?php $_GET['a1'] = "\xf0"; // \xf0 - \xfc で可能 $_GET['a2'] = " href=dummy onmouseover=alert(document.title) dummy=dummy"; header( "Content-Type:text/html; charset=Shift_JIS
PHP と Web アプリケーションのセキュリティについてのメモ
このページについての説明・注意など PHP は、Apache モジュールや、CGI、コマンドラインとして使用できるスクリプト言語です。このページでは、主に PHP における、Web アプリケーションのセキュリティ問題についてまとめています。 Web アプリケーションのセキュリティ問題としては、以下の問題についてよく取り挙げられていると思いますが、これらのセキュリティ問題について調べたことや、これら以外でも、PHP に関連しているセキュリティ問題について知っていることについてメモしておきます。 クロスサイトスクリプティング SQL インジェクション パス・トラバーサル(ディレクトリ・トラバーサル) セッションハイジャック コマンドインジェクション また、PHP マニュアル : セキュリティや、PHP Security Guide (PHP Security Consortium) には、PH
コピペ禁止の入力フォームでコピペを可能にする拡張機能「Don’t F*** With Paste」レビュー
ウェブサイトの中にはアカウント作成画面やログイン画面などの入力フォームを「コピペ禁止」に設定しているものがあります。ブラウザ拡張機能「Don't F*** With Paste」を使えば「コピペ禁止」を回避できるとのことなので、実際に使ってみました。 jswanner/DontF-WithPaste: Google Chrome extension that prevents the blocking of pasting into input fields https://github.com/jswanner/DontF-WithPaste まず、「コピペ禁止入力フォーム」を含むウェブサービスのアカウント登録ページの例を作ってみました。 メモファイルやパスワード管理ソフトに登録してあるIDをコピーして、ID入力欄に貼り付けようとします。 しかし、入力フォームがコピペ禁止に設定されている
コメントスパム対策として、ニセのコメントフォームを設置する
いわゆるネガティブキャプチャ（Negative Captcha）というもので、全自動でフォーム入力を行うボットが引っかかりそうなニセのフォームを設置し、そこに入力がある場合にはスパムと判断し、弾いてしまおうというアイディアです。 自動ではない手動スパムだと効果がないのですが、相手が日本人でない場合にはさらにもう一段階、罠を仕掛けることが可能です。 詳細は以下の通り。 ハニーポット・フィールドによるスパム・クローラ対策。 同様のことをWordPressで実装する例は以下に。 Reduce WordPress Spam By Creating Fake Comment Forms For Spam Bots | OneTipADay.com 以下にも簡単な例があります。おとり用のフォームを設置して、CSSで「visibility: hidden」というようにして非表示にすれば人間が投稿する際に
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
x.com
eEye Digital Security - Research: BIOT
http://exploitsearch.com/