全てのWEBサービスでチェックすべきセキュリティ項目
WEBサービスにおけるセキュリティ対策の基礎 近年WEBサービスの脆弱性が騒がれておりますが、果たしてあなたが運用しているサイトのセキュリティは大丈夫でしょうか？以下、チェックしておくべきセキュリティ項目をあげました。 SSL証明書の利用 ユーザのプライベートな情報を送信してもらいサーバに保存するようなサービスではSSL認証は必須の機能と言えるでしょう。SSL認証を行っていないと、大切なユーザの情報が外部の悪いユーザに見られてしまう可能性があります。 ※ちなみにGozal-mediaではプライベートな情報のやり取りは行っていないためhttpで通信を行っています。 【確認方法】 ・ユーザ情報を送受信するページのURLが「https」から始まっている事を確認 ・「https」のページにアクセスした際に「セキュリティ証明書が信頼できない」という用な表示が出てこない事を確認 【導入方法】 導入
下に記した<value="<?phpprint(htmlspecialchars($age,ENT_QUOTES));?>">の部分が... - Yahoo!知恵袋
下に記した<value="<?php print(htmlspecialchars($age, ENT_QUOTES)); ?>" >の部分が何をしている？どういう意味？なのかよく分かりません。分かりやすく教えてください。 下に記した<value="<?php print(htmlspecialchars($age, ENT_QUOTES)); ?>" >の部分が何をしている？どういう意味？なのかよく分かりません。分かりやすく教えてください。 下記はhttp://www.phppro.jp/school/phpschool/vol7/1に載っているスクリプトの一部です。説明はあるんですがよく分かりません＾＾； 分かる方よろしくお願いします。 <form action="uranai_result.php" method="post"> 年齢を教えてください： <input type="te
バリデーション、エスケープ、フィルタリング、サニタイズのイメージ
バリデーション、エスケープ、フィルタリング、サニタイズの用語は分かりにくいので、イメージで説明します。 “><script>alert(‘xss’);</script> という入力文字列が、それぞれどうなるかを示します。 ※1 厳密な定義ではありません（要件や文脈により変化します） ※2 バリデーションという用語は非常に幅があります（ここの「名称補足」参照）。 ※3 サニタイズという用語は非常に幅があるで、使う場合は事前に語義を定義しましょう（参照）。
Linux女子部 iptables復習編
5. Open Cloud Campus 5 Linux女子部 iptables復習編 iptablesの機能 iptablesの機能は、大きくは「パケットフィルタリング」と「NAT (Network Address Translation)」に分かれます。 – パケットフィルタリングは、Linuxにファイアウォール機能を提供するもので、IPパケットの送信、 受信、転送のそれぞれについて、許可条件を設定します。 – NATは、Linuxサーバをルータとして使用する際に利用する機能で、パケットの転送時に、パケット に含まれる送信元、もしくは宛先IPアドレスを変換します。 • 正確には、DNAT（宛先アドレス変換）、SNAT（送信元アドレス変換）、マスカレード（SNAT の特別版）の3種類があります。 インターネット 192.168.100.10 プライベートネットワーク 192.168.
Linux女子部 firewalld徹底入門！
2. Linux女子部 firewalld徹底入門！ 自己紹介 中井悦司（なかいえつじ） – Twitter @enakai00 日々の仕事 – Senior Solution Architect and 「Linux独習書の新定番」 書きました！ Cloud Evangelist at Red Hat K.K. 企業システムでオープンソースの活用を希望される お客様を全力でご支援させていただきます。 昔とった杵柄 – 素粒子論の研究（超弦理論とか） – 予備校講師（物理担当） – インフラエンジニア（Unix/Linux専門） 読者の声より ―― 「今はインターネット上に情報が溢れているけど、質の高い入門書が少なく なっているのは不幸なことだと思う。そんな中、この本はすごくいい」 「平易な言葉でありながら、決して足りなくはない。慎重に選ばれています。 脳みそに染みこんで来ます
Linux女子部07 「firewalld＆Linuxセキュリティ勉強会」 (2014/03/19 19:00〜)
新機能 バウチャーによるイベント管理機能をリリースしました。協賛企業の社員や関係者のイベント参加を円滑にすることに活用いただけます。詳しくはヘルプページをご覧ください。 新機能 connpass APIに新しく、所属グループを取得できるAPIやユーザーの参加イベントAPIを追加しました。各APIの詳細な仕様や利用方法につきましては、 APIリファレンス をご確認ください。またAPI利用希望の方は connpassのAPI利用について をご覧ください。 お知らせ 2024年9月1日より、connpassではスクレイピングを禁止し、利用規約に明記しました。以降の情報取得にはconnpass APIをご利用ください。APIご利用についてはヘルプページをご確認ください。
正規表現によるバリデーションでは ^ と $ ではなく \A と \z を使おう
正規表現によるバリデーション等で、完全一致を示す目的で ^ と $ を用いる方法が一般的ですが、正しくは \A と \z を用いる必要があります。Rubyの場合 ^ と $ を使って完全一致のバリデーションを行うと脆弱性が入りやすいワナとなります。PerlやPHPの場合は、Ruby程ではありませんが不具合が生じるので \A と \z を使うようにしましょう。 はじめに 大垣さんのブログエントリ「PHPer向け、Ruby/Railsの落とし穴」には、Rubyの落とし穴として、完全一致検索の指定として、正規表現の ^ と $ を指定する例が、Ruby on Rails Security Guideからの引用として紹介されています。以下の正規表現は、XSS対策として、httpスキームあるいはhttpsスキームのURLのみを許可する正規表現のつもりです。 /^https?:\/\/[^\n]+$/
PHPでのSQLインジェクション対策 - プレースホルダ編 | Let's POSTGRES
第四企画 坂井 潔 SQLインジェクションの脅威からシステムを守るために、プログラミング言語／スクリプトからSQLを発行するときには、パラメータを適切に処理しなくてはなりません。今回はプレースホルダ編と題し、SQLインジェクション対策として最も簡単で効果的な方法を、PHPで説明します。 SQLインジェクションとは？ まず「SQLインジェクション」とは何かおさらいしましょう。SQLインジェクションとは、アプリケーション（この場合はPHPスクリプト）に渡すパラメータの値を操作することで、元々は意図されていない処理をSQLとして実行させてしまうことです。 簡単な例をあげてみます。ユーザーから文字列「山田」が渡されたとき、以下のようなSELECT文を発行することにします。 SELECT * FROM users WHERE username LIKE '%山田太郎%'; ユーザーに入力された文字列
WordPressのセキュリティを強化させる４つの手順！後回し厳禁です
今年の春先くらいから、各サーバー会社より同一内容のメールがよく届きます。 そうです。「あなたのwordpressが狙われている」といったセキュリティ注意を呼びかけるメールです。 WordPressを狙った大規模なブルートフォース攻撃が世界中で話題になっているようです。 もちろん一通り目を通しておりましたので、そのようなスパム行為が横行しているのは認識しておりました。 しかし、「私は大丈夫だろう♪」とう根拠のない楽観的思考から、私は見て見ぬふりをしておりました。（最低です） そんな時にＴＣＤテーマでお馴染み「デザインプラスの中田さん」が発行されているメルマガで「あなたのWordPressも狙われている」というメルマガが届きました。このメールでは３つのプラグインが紹介されており、以下のような内容が記載されておりました。 このプラグインには、 WordPressのログイン履歴を記録する機能があり
HTML5時代のWeb開発者が知らないとガチヤバな3つの未来予測と6つの脆弱性対策
HTML5時代のWeb開発者が知らないとガチヤバな3つの未来予測と6つの脆弱性対策：UXClip（35）（2/2 ページ） HTML5時代、Web開発者なら必ずおさえておきたい6つのセキュリティ対策 ネットエージェントの長谷川陽介氏のセッション「HTML5時代におけるセキュリティを意識した開発」は、Web系の技術者が最低限知っておくべき、攻撃手法とセキュリティ対策のいまを伝える講演だった。 【1】JavaScriptで安全なコードを書くための基礎「同一オリジンポリシー」 「同一オリジンポリシー（Same Origin Policy）」は、近代的なWebにおけるコンセプトで、セキュリティを担保するための基本的な概念だ。これはRFC 6454 “Web Origin Concept”により提唱されており、「スキーム、ホスト、ポートが同一のものを信頼すべき」というものである。 例えば、「http
開発者のための正しいCSRF対策
著者: 金床 <anvil@jumperz.net> http://www.jumperz.net/ ■はじめに ウェブアプリケーション開発者の立場から見たCSRF対策について、さまざまな情報が入り乱れている。筆者が2006年3月の時点において国内のウェブサ イトやコンピュータ書籍・雑誌などでCSRF対策について書かれている記事を調べた結果、おどろくべきことに、そのほとんどが誤りを含んでいたり、現実的 には使用できない方法を紹介したりしていた。そこで本稿ではウェブアプリケーション開発者にとっての本当に正しいCSRF対策についてまとめることとす る。また、採用すべきでないCSRF対策とその理由も合わせて紹介する。 ■あらゆる機能がターゲットとなりうる ウェブアプリケーションの持つ全ての機能がCSRF攻撃の対象となりうる。まずこのことを認識しておく必要がある。 Amaz
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
SSL Labs - Projects / Public SSL Server Database - SSL Server Test
れいさの本当に目が覚めるPHP - Togetterまとめ
サニタイジングとエスケープ処理の違い - こんにちは。セキュリティについて初心者のものです。現在、SQLインジェクションの対策につ... - Yahoo!知恵袋