安全なPHPアプリケーションの作り方2013
6. マイクロソフト社のサポートライフサイクルポリシー メインストリームサポート 次のうちいずれか長い方 ・ 製品発売から5年 ・ 後継製品の発売から2年 延長サポート 次のうちいずれか長い方 ・ メインストリームサポート終了から5年 ・ 2番目の後継製品の発売から2年 •最新の製品を使う限り、7年間のサポートが保証されている（追加費用無し） メインストリームサポート Copyright © 2008-2013 HASH Consulting Corp. All rights reserved 6 7. 【参考】PHPのサポート状況 1998 1999 2000 2001 2002 2003 2004 2005 2006 2007 2008 2009 2010 PHP5.x PHP4.x PHP3.x 3.5年 •オープンソース・ソフトウェアは通常サポートポリシーが明確でない •PHPの場
PHPエスケープ関数の比較一覧 | 株式会社フォレスト・コンサルタンツ
CR … カーソルを文頭へ戻す制御コード（Carriage Return） EOF … ファイル終端を示す制御コード（End Of File） 黄色い部分が全部で４箇所、すなわち、htmlspecialchars($str)で変換できない文字が１つ、addslashes($str)で変換できない文字が３つあることが分かります。より安全なプログラムを心がけるには、htmlspecialchars($str)ではなくhtmlspecialchars($str, ENT_QUOTES)を、addslashes($str)ではなくmysql_real_escape_string($str)を使う必要があります。 また、クロスサイトスクリプティング対策とＳＱＬインジェクション対策では、変換すべき文字や、変換後の文字が異なることも一目瞭然かと。この２つは全く別物として考えるべきです。 と偉そうに書いて
そらいさんのサイトが改竄されたそうなので解析してみた
そらいさんのサービスが改ざん被害にあったとのことで、攻撃コードが載っていたので解析して見ました。 ということで、上記のコードを解析しましたが、難読化の仕組みは単純なのですが、コードを追いかけるのに中々疲れましたｗｗ 問題のコード問題のコードはこれです。 <?php @error_reporting(0); if (!isset($eva1fYlbakBcVSir)) { $eva1fYlbakBcVSir = "7kyJ7kSKioDTWVWeRB3TiciL1UjcmRiLn4SKiAETs90cuZlTz5mROtHWHdWfRt0ZupmVRNTU2Y2MVZkT8h1Rn1XULdmbqxGU7h1Rn1XULdmbqZVUzElNmNTVGxEeNt1ZzkFcmJyJuUTNyZGJuciLxk2cwRCLiICKuVHdlJHJn4SNykmckRiLnsTKn4iInIiL
PHP: CodeIgniterをセキュアに使うチュートリアル - Mach3.laBlog
この記事は賞味期限切れです。（更新から1年が経過しています） PHPフレームワークは数多く公開されておりますが、 中でも個人的にお気に入りなのはシンプル・軽量さが売りのCodeIgniterです。 » CodeIgniter – Open source PHP web application framework この度Nettuts+でCodeIgniterをセキュアに使うためのチュートリアルが紹介されていました。 ※2010/08/07 セッションエンコーディングの項で、キー文字列を入力した例を追記 CodeIgniter from Scratch: Security | Nettuts+ こちらがそのチュートリアルビデオなのですが… 35分と大変長いので、要点だけ下にまとめておきます。 ビデオではスクラッチから書いていて大変わかりやすいので、 時間がある時に見ておくと良いと思います！
文字コードに起因する脆弱性を防ぐ「やや安全な」php.ini設定
補足 この記事は旧徳丸浩の日記からの転載です（元URL、アーカイブ、はてなブックマーク1、はてなブックマーク2）。 備忘のため転載いたしますが、この記事は2010年9月27日に公開されたもので、当時の徳丸の考えを示すものを、基本的に内容を変更せずにそのまま転載するものです。 補足終わり PHPカンファレンス2010にて「文字コードに起因する脆弱性とその対策」というタイトルで喋らせていただきました。プレゼンテーション資料をPDF形式とslideshare.netで公開しています。 文字コードのセキュリティというと、ややこしいイメージが強くて、スピーカーの前夜祭でも「聴衆の半分は置いてきぼりになるかもね」みたいな話をしていたのですが、意外にも「分かりやすかった」等の好意的な反応をtwitter等でいただき、驚くと共に喜んでいます。土曜にPHPカンファレンスに来られるような方は意識が高いというの
PHP等で実装できる動画でCAPTCHAできるより強固な「NuCaptcha」:phpspot開発日誌
NuCaptcha -- Better Security, Easier to Use PHP等で実装できる動画でCAPTCHAできるより強固な「NuCaptcha」。 音声CAPTCHAというのは存在しましたが、今度は動画CAPTCHAがでました。 現在、PHPと.NETによるサンプルプログラムが配布されており、比較的容易に実装が可能。WordPressプラグイン、Joomlaプラグイン形式でも配布されています。 どんなサイトにも、APIを使ってこの機能を実装することができるようです。 動画も色々カスタマイズが可能です。 イタチごっこかもしれませんが、これを破るのは骨が折れそうです。 関連エントリ GoogleライクなCAPTCHAをPHPで作成するサンプル jQueryで実装するシンプルなグラフィックCAPTCHA「jQuery SimpleCaptcha」 これは新しい妹CAPTCH
ぼくがPDOを採用しなかったわけ(Shift_JISによるSQLインジェクション)
補足 この記事は旧徳丸浩の日記からの転載です。元URL、アーカイブ、はてなブックマーク1、はてなブックマーク2。 備忘のため転載いたしますが、この記事は2010年7月1日に公開されたもので、当時の徳丸の考えを示すものを、基本的に内容を変更せずにそのまま転載するものです。 補足終わり PHPのデータベース・アクセス・ライブラリPDOは、DB接続時の文字エンコーディング指定ができないため、文字エンコーディングの選択によっては、プレースホルダを使っていてもSQLインジェクション脆弱性が発生します。 追記(2011/06/19) ここに来て急にブクマが追加されはじめていますが、このエントリを書いてから状況が改善しています。PHP5.3.6(2011/03/17)にて、PDOでもデータベース接続の文字エンコーディングを指定できるようになりました。この版で、UNIX版のPHPでは解決しましたが、Win
CakePHPのユーザDBで Basic 認証するには！ ( ラボブログ )
スパイスラボ神部です。 以前、CakePHP で Basic 認証のやりかたについて書きました（CakePHP 1.2 の Basic 認証設定があまりにも簡単すぎる ( ラボブログ ) ）。この方法はたしかに簡単なのですが、ｱｶﾝと／パスワードの組み合わせを beforeFilter などにハードコーディングしなければならないという状況がありました。 そこでちょっと考えてみてください。もし AuthComponent を使ってユーザ管理を行っている場合、ここで使っているユーザIDとパスワードを上手に使って Basic 認証などの認証を上記のような Security コンポーネントの取り回しをすることができれば、サイトの可能性がもっと広がるかもしれません。例えば、OpenID の認証なんかをうまくハンドリングすることが出来るかもしれません。今回はそのやりかたの基礎的な部分についてかんたんに
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
PHPでセキュリティを真面目に考える
IBM Developer