「ブラインドSQLインジェクションとは何ですか？」への回答
以下は、Yahoo!知恵袋での下記質問に対する回答です。 ブラインドSQLインジェクションとは何ですか？ できるだけ詳細に教えて下さい 回答した後に、質問が取り消されてしまいました。Yahoo!知恵袋の仕様として、取り消しされた質問は2週間で削除されるため、備忘のため転載します。 ブラインドSQLインジェクションというのは、SQLインジェクション攻撃の一種です。 通常のSQLインジェクション攻撃では、検索結果の文字列が表示されたり、SQLのエラーメッセージが表示される箇所があり、それら表示の一部に、本来とは別のSQL文の検索結果を表示させることで、隠れた情報を表示します。 しかし、SQLインジェクション脆弱性はあるが、表示として検索結果の表示もなく、エラーメッセージにもSQLのエラーが表示されない場合があります。例えば、以下に紹介する例では、指定したメールアドレスが登録済みかどうかのみを返
CVEを管理しているMITRE社は、2016年10月より、CVEの「良番提供サービス」を開始するとリリースした
CVEを管理しているMITRE社は、2016年10月より、CVEの「良番提供サービス」を開始するとリリースした CVEを管理しているMITRE社（米国政府の支援を受けた非営利団体）は、2016年10月より、CVEの「良番提供サービス」を開始するとリリースした。昨今、脆弱性にニックネームをつけたり、ロゴの作成、専用ドメイン名の取得など、「脆弱性のブランド化」が進んでいるが、良番サービスはこの傾向を後押しするものとして注目されている。良番の例としては、CVE-2016-7777等。価値の高い良番は、専用オークションサイトで取引されるとしている…という嘘ニュースを思いついたので備忘のため記録しておく。
武雄市図書館の浦和レッズ関連書籍の充実ぶりがすごい
前田勝之(けいくま)さんが武雄市図書館の蔵書入れ替え費で購入された資料一覧という資料を公開されたので、つらつらと見ておりましたら、浦和レッズ関連の資料が多数購入されていることに気づきました。 どうしょうもなく浦和レッズが好きだ！ レッズと浦和 浦和REDSの真実2002 浦和REDSの真実2003 浦和REDSの真実2004 浦和REDSの真実2005 浦和REDSの真実2006 浦和REDSの真実FINAL 新浦和REDSの真実2009 新浦和REDSの真実2010 浦和レッズがやめられない 浦和レッズ至上主義 浦和レツズ祝優勝！！ 浦和レッズ新生へのバイブル 浦和再生 勝て！！浦和レッズ 特に、「浦和REDSの真実」シリーズの充実ぶりがすごいですね。最新刊だけでいいじゃないかと思いがちですが、公共図書館としては、過去の資料に遡って調べ物ができるように、敢えて旧刊も蔵書したのでしょう。し
『デザイニングWebアクセシビリティ』のレビューを担当しました
長い入力フローをこなしてきたあと、最後になってようやく、やろうとしていたことができないとわかるケースがあります。たとえば、チケット予約システムのケースで、席の種類、会員情報、決済情報などを全て入力し終えた後で満席と言われてしまうケースがあります。もっと早い段階で満席であることが分かれば、無駄な入力をせずに済んだはずです。 これはかなりタフなユーザー体験になりますし、予約を試みることへの精神的なハードルもあがります。入力に手間のかかるユーザーの場合、こんな思いをする可能性があるなら予約をあきらめる、という選択をすることもあるでしょう。 太田良典、伊原力也著 デザイニングWebアクセシビリティ - アクセシブルな設計やコンテンツ制作のアプローチ より引用 本書の査読を担当させていただきまして、主にセキュリティとアクセシビリティの両立という観点から確認をさせていただきました。皆様ご存知のように、
某地方公共団体に送信したメール
×××××××××××× 御中 HASHコンサルティング株式会社の徳丸と申します。お世話になっております。さて、そちら様のウェブサイトを拝見しておりまして、サポートの終了した古いOSが使われていることに気がつきました。 ×××××××××××× http://xxxxxxx.xxxxxxxxx.jp/ 上記に接続して、HTTPレスポンスヘッダというものを確認しますと、以下が表示されております。 Server:Apache/2.2.12 (Ubuntu) X-Powered-By:PHP/5.2.10-2ubuntu6.4 この内容が表示されるOSは、Ubuntu 9.10 と考えられますが、既に2011年4月にサポートが終了しており、脆弱性パッチが提供されない状況です。Windows XPのサポート終了が問題になったことがありますが、Windows XPと異なりインターネット上に公開されて
日本の携帯電話メーカーは、せっかく優秀な技術者を雇いながらも、彼らをプログラマーとして育成せず、「正社員は仕様書の作成とプロジェクト管理、プログラミングは下請けと派遣」というゼネコン・スタイルでの開発体制をとっていました（現在でもほぼ同じです）。「正社員は使い回しのきく一般職／ホワイトカラー。専門職は職人／ブルーカラー」という工場経営時代の人事システムを継承しているのです。 ゼネコン・スタイルでのソフトウェア開発の問題点に関しては、「ソフトウェアの仕様書は料理のレシピに似ている」というブログ・エントリーを
日本の携帯電話メーカーは、せっかく優秀な技術者を雇いながらも、彼らをプログラマーとして育成せず、「正社員は仕様書の作成とプロジェクト管理、プログラミングは下請けと派遣」というゼネコン・スタイルでの開発体制をとっていました（現在でもほぼ同じです）。「正社員は使い回しのきく一般職／ホワイトカラー。専門職は職人／ブルーカラー」という工場経営時代の人事システムを継承しているのです。 ゼネコン・スタイルでのソフトウェア開発の問題点に関しては、「ソフトウェアの仕様書は料理のレシピに似ている」というブログ・エントリーを２００６年に書きましたが、一向に改善される気配はありません。ひとことで言えば、日本のメーカーでは「料理を作ったことのない『なんちゃってシェフ』たちが机上で作ったレシピに従って、最低賃金のパートさんたちが料理を作っている」状態であり、「自ら料理に腕を振るう一流のシェフ達」を数千人抱えた Ap
バリデーション、エスケープ、フィルタリング、サニタイズのイメージ
バリデーション、エスケープ、フィルタリング、サニタイズの用語は分かりにくいので、イメージで説明します。 “><script>alert(‘xss’);</script> という入力文字列が、それぞれどうなるかを示します。 ※1 厳密な定義ではありません（要件や文脈により変化します） ※2 バリデーションという用語は非常に幅があります（ここの「名称補足」参照）。 ※3 サニタイズという用語は非常に幅があるで、使う場合は事前に語義を定義しましょう（参照）。
勝手に解説：大垣流バリデーション入門
大垣さんは、かねてより「バリデーションは重要なセキュリティ対策である」という持論を持っておられます。そして、それは「世界の常識」と指摘されています。 「入力バリデーションはセキュリティ対策である」は世界の常識です。少なくとも大多数の世界のセキュリティ専門家は「入力バリデーションはセキュリティ対策」は常識だと考えています。 第45回 入力バリデーションはセキュリティ対策 ：なぜPHPアプリにセキュリティホールが多いのか?より引用 私は「バリデーションはセキュリティ対策とは言えない」と思っているのですが、実は「世界の常識」という点に異論があるわけではなくて、話は逆なのです。「従来からバリデーションはセキュリティ対策としてとらえられてきて『世界の常識』となっているが、実はそれはおかしいのではないか?」という問題提起をしているのです。なので、「世界の常識だろ」と言われても、それでは反論になっていま
勝手に査読:Webアプリにおける11の脆弱性の常識と対策
「Webアプリにおける11の脆弱性の常識と対策」という記事を久しぶりに読みました。出た当事も思いましたが、基本的な誤りが多く、読者が誤解しそうです。このため、編集部から頼まれたわけではありませんが、「勝手に査読」してみようと思います。 細かい点に突っ込んでいくとキリがないので、大きな問題のみ指摘したいと思います。 ※2013年2月25日追記 このエントリに対して、編集部が元記事を修正くださいました。徳丸も修正に協力いたしましたが、十分正確な内容ではないことをお含みおきください。 ※追記終わり 同記事の想定読者は誰か査読にあたり、この記事の想定読者を明確にしておいた方がよいですね。記事の冒頭には、連載の説明があります。 本連載は、JSP／サーブレット＋StrutsのWebアプリケーション開発を通じて、Java言語以外（PHPやASP.NET、Ruby on Railsなど）の開発にも通用する
セッションアダプションがなくてもセッションフィクセイション攻撃は可能
大垣（@yohgaki）さんと、セッションアダプション脆弱性が「重大な脅威」か否かで論争を続けています。 大垣さん:第25回 PHPのアキレス腱 ── セッション管理徳丸:PHPのSession Adoptionは重大な脅威ではない大垣さん:PHPのセッションアダプション脆弱性は修正して当然の脆弱性議論がかみ合わないので、twitterで「ブログ読みました。サンプルも動かしました。問題は分かるのですが、セッションアダプションがないPHPだと、何が改善されるのかが分かりません。教えて下さい」とツイートしたところ、大垣さんがブログで返信下さいました。 大垣さん: セッションアダプション脆弱性がないセッション管理が必要な理由これを読んでかみ合わない理由が分かりました。大垣さん、ありがとうございます。以下大垣さんのブログの末尾を引用します。 脱線しましたが、何が改善されるのか？結論は ログイン時に
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
