FacebookのXHPを導入してみた - おぎろぐはてブロ
XHPとは、 Today, I'd like to take to this opportunity to share with you a project that's quickly becoming a cornerstone of front-end PHP development at Facebook. XHP is a PHP extension which augments the syntax of the language to both make your front-end code easier to understand and help you avoid cross-site scripting attacks. XHP: A New Way to Write PHP | Facebook ということで、フロントエンドのコードを書きやすく理解しやすいものにし
IIS 7.5 详细错误 - 404.0 - Not Found
错误摘要 HTTP 错误 404.0 - Not Found 您要找的资源已被删除、已更名或暂时不可用。
サンシャイン牧場 情報「露出」問題のまとめ | 鳩丸よもやま話
「サンシャイン牧場」において、課金操作を行った人のメールアドレスと電話番号が「露出」していた件のまとめです。 はじめに「サンシャイン牧場」はmixiアプリとして提供されているゲームです。mixiアプリとしては最大の利用者数を誇り、2009年11月23日現在、利用者は300万人を突破しています。運営しているのはRekooという中国の会社です (が、最近、日本法人もできました)。 2009年10月21日、サンシャイン牧場に「Kコイン」の仕組みが導入されました。実際のお金を支払って「Kチャージ」を行うとKコインが増え、Kコインを消費することで、通常では購入できない作物や肥料などを手に入れられる仕組みです。リアルのお金を支払ってアイテムを購入するという、いわゆるアイテム課金の制度になります。支払い方法は、株式会社ゼロの決済代行サービスを利用したクレジットカード払いでした。 ところが、この課金に際し
サンシャイン牧場のクレジットカード脆弱性について@ssig33
ssig33: サン牧で他人のクレカ情報取るの、セッション ID を偽装して Get するだけで、セッション ID はマイミクリスト経由で取れますよ [http://twitter.com/ssig33/statuses/5111706038] ssig33: 一応運営に連絡済、もう直ってると信じたい [http://twitter.com/ssig33/statuses/5111712163] ssig33: あとちょこちょこ SQL インジェクションが残ってたりスウィフファイルが逆コンパイル対策されてなかったり、中国人にセキュリティ対策を求めるのが酷なんじゃないかと思えるレベル [http://twitter.com/ssig33/statuses/5111734931] ssig33: 基本的なこととして、中国人がやってるサービスに個人情報を預けるべきではない、というのはこれはあると
htmlspecialcharsは不正な文字エンコーディングをどこまでチェックするか
補足 この記事は旧徳丸浩の日記からの転載です。元URL、アーカイブ、はてなブックマーク1、はてなブックマーク2。 備忘のため転載いたしますが、この記事は2009年9月30日に公開されたもので、当時の徳丸の考えを示すものを、基本的に内容を変更せずにそのまま転載するものです。 補足終わり このエントリでは、PHPのhtmlspecialchars関数の第三パラメータ（文字エンコーディング指定）により、どこまで文字エンコーディングの妥当性チェックをしているかを報告します。 2007年4月に、寺田氏(id:teracc)の素晴らしいエントリ「htmlspecialcharsと不正な文字の話」により、htmlspecialcharsは、第三パラメータの文字コードを実質的に無視しており、不正な文字エンコーディングが指定された場合、その文字はチェックされずにすり抜けてしまうという結果が報告されています。
Cookie 今昔物語 - はてなるせだいあり
概要 Cookie の不幸な歴史と現状、そして将来についてまとめた。 仕様はどこにあるか Web 上の様々な規格は、誰かが定め、それに皆が合わせるという形で動いている。しかし、Cookie の仕様は誰が決め、どこで規定されているか知っている人は、意外と少ないのではないかと思う。W3C や IETF だと思っている人が多いのではなかろうか。 正解を言ってしまうと、定めたのは 1994 年、Netscape Communications 社であり、文書は http://wp.netscape.com/newsref/std/cookie_spec.html で公開されていた。アクセスしてみればわかる通り、このページはもう存在しないし、Netscape 社自体が AOL に買収されており、今は Mozilla になったというか、消えてなくなっていることを知っている人は多いだろう。当時の文書は例に
はてなブックマーク開発ブログ
はてなブックマークのブックマーク数が多い順に記事を紹介する「はてなブックマーク数ランキング」。2024年2月のトップ50です*1。 順位 タイトル 1位 マンションリフォーム虎の巻 2位 死ぬほど嫌でした｜佐藤秀峰 3位 「面倒なことはChatGPTにやらせよう」の全プロンプトを実行した配信のリンクを整理しました｜カレーちゃん 4位 管理職必読 順番に読むと理解が深まる「マネジメントの名著」11冊 | 日経BOOKプラス 5位 メルカリで値段の「¥マーク」を小さくしたら購入率が伸びた理由、ペイディがサービス名を「カタカナ表記」にする理由など、プロダクトのマーケ施策まとめ30(2023)｜アプリマーケティング研究所 6位 7年適当に自炊してきて調味料について思ったことを書く 7位 ウクライナ軍に入隊したアジャイルコーチが、さまざまなメソッドを駆使して中隊長としてのリーダーシップを実現した話（
情報処理推進機構：情報セキュリティ：調査・研究報告書：情報セキュリティ技術動向調査（2008 年下期） 5 テンポラリファイルの扱い
2008年下期には、Perl の File::Path モジュールの rmtree 関数に関する CVE が 3件発表された。 (CVE-2008-2827, CVE-2008-5302, CVE-2008-5303)また、symlink attack に関する CVE は 100件以上出ている。 テンポラリファイルの扱いに関する問題は古くからあるが、いまだに多くの問題が発生する。そこで本稿ではテンポラリファイルの扱いかたについて解説する。また、安全な削除に利用できる新しいシステムコールが提案されているので、それについても触れる。 テンポラリファイルはプログラムが一時的に利用するファイルである。 Unix においては /tmp や /var/tmp というディレクトリが提供されており、すべてのユーザがそのディレクトリ下にテンポラリファイルを生成・削除するのが慣習である。本稿では、これらのデ
エフセキュアブログ : Reddit.comのXSSワーム
Reddit.comのXSSワーム 2009年09月28日20:12 ツイート mikko_hypponen ヘルシンキ発 by：ミッコ・ヒッポネン 「Reddit（reddit.com）」は、DiggやSlashdotよりもさらに素晴らしいソーシャル・ニュースWebサイトだ。 しかし、同サイトは今日、サイト上のコメントを介して広がるXSSワームに攻撃を受けた。 すべては、「xssfinder」という似合いな名のユーザーから始まった。 彼のアカウントはすでに削除されている。 このユーザーは、ユーザーがマウスをテキスト上で動かしている際、Redditがある種の事例でJavaScriptをフィルタリングしていなかったという事実を利用して、テスト・コメントを何度か投稿した。 xssfinderは自身のスクリプトを機能させる際、「Guy on a bike in New York 'high f
エフセキュアブログ : ネットのフィッシング、リアルの銀行ATMスキミング
ネットのフィッシング、リアルの銀行ATMスキミング 2009年09月16日03:26 ツイート gohsuke_takama オフィシャルコメント by：高間 剛典 スウェイジ・スパム のポストにあるように、ネット上で人々の注目を引く出来事には、すぐにそれを利用してマルウェアサイトへ誘導するスパムが発生しています。フィッシングを仕掛ける側は手段を選びません。しかし人を騙すことにおいては、ネットの世界のテクニックとリアルの世界のテクニックは変わらくなってきているようです。 最近、事件映像を集めているLiveLeakに上がっていたのは、監視カメラに写った、ブラジルのとある銀行ATMのカード読み取りスロット部分に覆いかぶさる、スキミング用の偽のカバー部品を取り付けている最中の男の姿でした。幸いにも、映像の後半でこの男の仲間と思われる人物が現金をおろしている最中に、警察に捕まって手錠をかけられて
W2Cマークアップエンジニア・ワーキンググループ 「マークアップエンジニアが知っておきたい3つの脆弱性」 | 作者プロフィール
2009年9月16日、W2Cマークアップエンジニア・ワーキンググループでお話しした「マークアップエンジニアが知っておきたい3つの脆弱性」に関するサポートページです。とりあえず資料がダウンロードできます。 資料ダウンロードプレゼンテーション資料の PDF 版がダウンロードできます。 bakera_w2cWG.pdf (PDFファイル 487KB) 無断での再配布はご遠慮ください。また、資料内に含まれる画面キャプチャは全て削除されていますので、一部不自然な空白があります。 以下に若干の補足があります。 マークアップエンジニアが知っておきたい3つの脆弱性:補足 参考サイト話の中で触れたり、参考にしたりしたサイトです。 情報処理推進機構 (www.ipa.go.jp)経済産業省告示「ソフトウエア製品等脆弱性関連情報取扱基準」(PDF) (www.meti.go.jp)ソフトウェア等の脆弱性関連情報
IT news, careers, business technology, reviews
Heads on: Apple’s Vision Pro delivers a glimpse of the future
【４３歳無職女性】 ９時〜２２時勤務・無休のバイト先で名簿に名前を書いたら代議士になっていたでござるの巻 : Birth of Blues
弱者の戦略―人生を逆転する「夢・戦略・感謝」の成功法則 山田さんが、八百屋やタイゾーなど得体が知れない小泉チルドレンと違い小沢チルドレンは殿下お墨付きの優秀な精鋭部隊。一緒にするなボケ。 と書かれていました。 それだったら「小沢チルドレン」では字面が気持ち悪いので「綺麗なチルドレン」って命名してあげればいいかと思います。 Twitter / 磯谷香代子: 選挙事務所でのバイトの打診が。投票日まで朝８時〜夜１ ... via kwout Twitter / 磯谷香代子: でも友人・知人が、倒れそうになりながらも駆け回ってい ... via kwout Twitter / 磯谷香代子: 今日は某選挙関係者の事務所に行く予定。選挙の話って、 ... via kwout Twitter / 磯谷香代子: 昨日、これぞ「晴天の霹靂」という事態が発生。人生、い ... via kwout 岐阜１区 「
高木浩光＠自宅の日記 - エコポイント申請画面が共用SSLサイト上にある件
■ エコポイント申請画面が共用SSLサイト上にある件 「エコポイント」の情報システムがわずか３週間で完成した理由, 有賀貞一, NIKKEI NET, 2009年8月26日 こうした問題を解決するために、エコポイント事務局と関係省庁が選択したのが、米セールスフォース・ドットコムの基盤サービス「Force.com」だった。セールスフォースはこのForce.comを「クラウドコンピューティングプラットフォーム」と表現している。利用者はサーバーなどのインフラを持つことなく、この基盤上で独自のシステムを構築できる。 という記事を読んで、「エコポイント」のサイトを初めて訪れたのだが、これはまずい。 「エコポイント」公式サイトの運営者は、「グリーン家電エコポイント事務局」となっていて、プライバシーポリシーでも個人情報取扱責任者が「グリーン家電エコポイント事務局」として書かれている。しかし、国民の視点か
高木浩光流 インターネットの歩き方(後編) | ITスペシャリストに聞く | 情報セキュリティブログ | 日立システムアンドサービス
ITスペシャリスト 前編では、秋葉原に思いをはせる高木少年がセキュリティ・エバンジェリストになるまでのお話を伺いました。後編では、人気ブログ『高木浩光@自宅の日記』秘話を通じて、私たちが気をつけておきたい、否、気をつけなければならない、そして声をあげていかなければならないセキュリティの問題についてお話を伺います。話はだんだん白熱して･･･。 高木浩光（たかぎ・ひろみつ） 独立行政法人 産業技術総合研究所 情報セキュリティ 研究センター 主任研究員 1994年、名古屋工業大学大学院博士後期課程修了。博士（工学）。 同大助手を経て、1998年、通商産業省工業技術院電子技術総 合研究所に転任。2001年、独立行政法人産業技術総合研究所 に改組。2002年より同グリッド研究センターセキュアプログ ラミングチーム長。2005年4月より現職。専門は並列分 散コンピューティング、プログラミング言語処理系
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
3200万人の個人情報漏洩―RockYouのハッカー侵入への対応は最悪
とくまるひろしのSession Fixation攻撃入門 - ockeghem's blog
Be Suspicious. Online Security Blog - Suspek.org
専門職大学院 | AIIT産業技術大学院大学
IT news, careers, business technology, reviews