サーバのバージョンは隠すのが常識? | スラド オープンソース
ストーリー by yoosee 2007年09月03日 11時38分 いっそApache100.0とか表示しとけばいいじゃない 部門より 技術系ブログ「ウノウラボ」に「5分でできるウェブサーバのセキュリティ向上施策」という記事が掲載されて話題になっています。ApacheやOSのバージョンを表示しないようにする方法や、PHPでX-Powered-Byを応答しなくする方法が紹介された記事ですが、コメント欄や260件以上の登録を集めたはてなブックマークでは賛否両論になっています。「セキュリティがみじんも上がっていない」という意見や「セキュリティの甘さが見え見え」という意見がある一方で、隠さないでいると「こんな基本的なこともやっていないサイトと思われるよ」という意見も。そういえば、7月の@ITの記事「たった2行でできるWebサーバ防御の「心理戦」」にも同様のことが書かれていました。セキュリティ会社
Pythonにディレクトリトラバーサルの脆弱性
印刷する メールで送る テキスト HTML 電子書籍 PDF ダウンロード テキスト 電子書籍 PDF クリップした記事をMyページから読むことができます 30日（デンマーク時間）、Secuniaは「Python」に、脆弱性が発見されたと公表した。 Pythonは、日本のRuby同様に欧米で人気のあるプログラミング言語のひとつ。今回、ディレクトリトラバーサルの脆弱性が発見された。ディレクトリトラバーサルとは、「../」のようなパスをさかのぼり、管理者が意図していないファイルやディレクトリにアクセスしたり、アプリケーションを実行される攻撃手法。 影響を受けるバージョンは、それぞれ以下のとおり。 Python 2.5.x 影響度は「Less critical」に位置づけられている。執筆時現在の解決策は、開発版である「Python 2.6」を利用すること。 詳細は、下記のセキュリティーアドバイザ
ぼくはまちちゃん！(Hatena) - Port801 (初心者向け)セキュリティ勉強会 Hamachiya2編
こんにちはこんにちは！！ 先日、Twitterで声をかけてもらって、 第一回 Port801 セキュリティ勉強会っていうのに参加してきたよ！！ (↑pw: security) そこで、すこし喋った時のビデオを頂いたので、もったいないので公開しちゃいますね！ プレゼンだとかそういうの慣れてなくて、ぐだぐだな感じだけど、 よかったら何かの参考にしたり、晩ご飯のおかずにしてください＞＜ Port801 セキュリティ勉強会 - Hamachiya2 その1 (http編) Port801 セキュリティ勉強会 - Hamachiya2 その2 (CSRF編1) Port801 セキュリティ勉強会 - Hamachiya2 その3 (CSRF編2) Port801 セキュリティ勉強会 - Hamachiya2 その4 (XSS編1) Port801 セキュリティ勉強会 - Hamachiya2 その5
ケータイの暗証番号が解読される？ : サイバー護身術 : セキュリティー : ネット＆デジタル : YOMIURI ONLINE（読売新聞）
携帯電話（以下ケータイ）には、他人に勝手に操作されないようにするロック機能が必ずある。ケータイを守るためのセキュリティ機能だが、あまり信用できるものではない。実はロック用の暗証番号を解読される危険性があるのだ。 ケータイ盗難でお金を盗まれる事件発生 財布とケータイを入れていたカバンを盗まれ、犯人によって銀行口座の現金を引き出されるという事件が起きている。犯人が何らかの手段で、被害者のキャッシュカードの暗証番号を知ったためだ。なぜ暗証番号がわかったのか？ その原因は、ケータイの操作ロック機能にあった。 ケータイの操作ロックでは、ロック設定と解除に暗証番号を利用する。なんとこの暗証番号が、パソコンソフトで解読できてしまうのである。犯人はまずケータイの暗証番号をパソコンで解読。それでわかった暗証番号を、銀行のキャッシュカードに入れてみたところ、ドンピシャ当たりだったというわけ。つまり被害者が「ケ
Port801セキュリティ勉強会の資料 - nothing but trouble
箇条書きテキストしか用意していなかった。超適当 Webアプリケーションセキュリティ初歩の初歩 〜はまちやの傾向と対策〜 はじめに どうセキュリティに取り組むべきか 脆弱性の殆どは、境界で起きる 基本はバリデーションとエスケープ バリデーション そのシステムで予期しているデータのみ受け入れる エスケープ 出力先に応じて適切な出力を送る 出力先での特殊文字に注意する でも、IEとか バッドノウハウ的に対応せざるを得ないものがある CSSXSS的なのとかContent-Type判別を利用した攻撃とか 当然、自システム内での脆弱性の作り込みには注意する Cなんかでは、Buffer Overflowとか作り込みやすいよね バッドノウハウ/グッドラッパー 金床さんの文章 http://www.jumperz.net/texts/bkgw.htm 脅威のカテゴリ Spoofing(なりすまし/偽装) T
Ubuntuホスティングサーバの一部が乗っ取られ、攻撃の踏み台に | スラド
ITmediaの記事によると、去る8月6日、Canonicalが援助しているUbuntuのホスティングサーバが乗っ取られ、他のマシンの攻撃に使われていたという。8台のサーバのうち、5台をオフラインにせざるを得なかった、と記事は伝えている。サーバで使われていたOSなどのバージョンは古く、脆弱性を抱えたままであり、さらに世界中にいるメンバーが平文パスワードを用いてFTPアクセスをしていたらしく、root権限の奪取やパスワード漏えいの可能性もあるという。 一般に、Windowsよりも堅牢であると考えられているLinuxサーバで、しかもユーザから信頼されているコミュニティのサーバが、複数の脆弱性を抱えたままアップデートもできず、かつセキュリティに無頓着な運用をされていたことに驚きを隠せない人も多いのではないだろうか。
WINDOWS が AD およびローカル SAM データベースにパスワードの LAN Manager (LM) ハッシュを格納できないようにする - Windows Server
Windows が Active Directory およびローカル SAM データベースにパスワードの LAN マネージャー ハッシュを格納できないようにする方法 この記事では、Windows が Active Directory およびローカル セキュリティ アカウント マネージャー (SAM) データベースにパスワードの LAN Manager (LM) ハッシュを格納できないようにする 3 つの方法について説明します。 適用対象: Windows 10 - すべてのエディション、Windows Server 2012 R2 元の KB 番号: 299656 概要 Windows では、ユーザー アカウントのパスワードがクリア テキストで保存されません。 代わりに、ハッシュと呼ばれる 2 つの異なるパスワード表現を使用して、ユーザー アカウント パスワードを生成して格納します。 ユー
Windowsのパスワードをわずか数分で解析する「Ophcrack」の使い方 - GIGAZINE
Windowsの各種ユーザーアカウントのパスワードを解析して表示することができるオープンソースソフト「Ophcrack」を使ってみました。Windows Vistaにも対応しており、総当たりで解析するのではないため、非常に素早く解析できるのが特徴。数分程度の時間で解析できてしまいます。今回の実験ではジャスト3分でAdministratorのパスワードが表示されてしまいました、ショック。 通常はISOイメージをCDに焼いてCDブートで起動するのですが、今回はUSBメモリから起動してみました。実際に起動してから終了するまでの様子のムービーもあります。 というわけで使い方などの解説は以下から。 ※あくまでも自分のパスワードの弱さをチェックするためのソフトなので、使用する際には自己責任でお願いします Ophcrack http://ophcrack.sourceforge.net/ ダウンロードは
Ubuntuサーバが乗っ取り被害に
Ubuntuホスティングサーバが何者かに乗っ取られ、攻撃に利用された。コミュニティーは復旧作業を進めているが、アプリケーションは破棄しなければならない。 Ubuntuコミュニティーは8月6日、Canonicalが援助しているUbuntuホスティングサーバが乗っ取られ、ほかのマシンを攻撃していることに気づき、サーバ8台のうち5台をオフラインにせざるを得なくなった。 14日のUbuntuコロケーションチームのIRC（インターネットリレーチャット）会議では、この問題の原因が、「長期にわたるとみられる」ブルートフォース攻撃でUbuntuサーバにログインしようとしていた中国のIPアドレスだった可能性が示唆されたと、会議の参加者は言う。 この日、Ubuntuコミュニティーはデータを回復できるようにサーバを安全な状態で復旧する作業を開始した。残念ながら、コミュニティー管理者ジョノ・ベーコン氏によると、こ
ディスクユーティリティの使い方 - ［Mac OSの使い方］All About
しばらくパソコンを使ったら、たまったデータのバックアップも考えなければなりません。 こんなときに、便利なのが「ディスクユーティリティ」です。 Mac OS X v10.3 ならば、アプリケーション/ユーティリティ フォルダに標準でインストールされています。 今回は、このディスクユーティリティを使ったバックアップの方法などを紹介しましょう。 ディスクイメージを作成する ディスクユーティリティの主な用途として、“ディスクイメージ”の作成があります。ディスクイメージとは、１つのデータファイルをあたかも１つのハードディスクのように振る舞うことができるもので、Mac の世界では 古くから親しまれている形式です。 主に、「.dmg」という拡張子が付いています。 ディスクイメージの作り方は至って簡単。「イメージ」メニューの「新規」で「ブランクイメージ...」または、「フォルダか
Secure Lock Ware
一度インストールすれば全ての対応機器（USBフラッシュメモリ・ハードディスク・各種メディア）がセキュリティ対策できます。 機器ごと個別のインストールは不要です。 「Secure Lock Ware」は、アメリカ政府や無線LAN AirStationシリーズでも採用されている、強度の高い暗号化AES方式を使用しています。 たとえばオフィスで多数のドライブ機器をお使いの場合、セキュリティ強化のためだけに、全てのドライブ機器を購入し直すのは困難です。 Secure Lock Wareは、製品に標準添付またはダウンロードして入手でき、別途セキュリティ専用製品の購入は不要です。今お使いの機器に導入できる無償ソフトウェア「Secure Lock Ware」をご活用ください。
Adobe Flash Playerの「訪問済み Webサイト」の記録を削除する方法 - Eiji James Yoshidaの記録
ブラウザとは別にAdobe Flash Playerにも「訪問済み Webサイト」という情報が記録されることを知らなかったのでメモ。 Adobe - Flash Player: 設定マネージャ（www.macromedia.com） Adobe - Flash Player: 設定マネージャ - ［Web サイトのプライバシー設定］ パネル（www.macromedia.com） 上記の「[Web サイトのプライバシー設定]パネル」のリンクをクリックしてAdobe Flash Playerの[Web サイトのプライバシー設定]パネルを表示したら、「すべての Web サイトの削除」ボタンをクリックし確認ボタンをクリックすることで、すべての「訪問済み Webサイト」の記録を削除することができる。 それにしても、Adobe Flash Playerを設定するのにAdobeのWebサイトに繋がなけ
セキュリティ設定とユーザー権限の割り当てを変更すると、クライアント、サービス、およびプログラムの問題が発生する可能性があります - Microsoft サポート
要約 セキュリティ設定とユーザー権限の割り当ては、ドメイン コントローラーとメンバー コンピューターのセキュリティを強化するために、ローカル ポリシーとグループ ポリシーで変更できます。 ただし、セキュリティ強化の欠点は、クライアント、サービス、およびプログラムとの非互換性の導入です。 この記事では、Windows Server 2003 ドメインまたは以前の Windows Server ドメインで特定のセキュリティ設定とユーザー権限の割り当てを変更する場合に、Windows XP または以前のバージョンの Windows を実行しているクライアント コンピューターで発生する可能性がある非互換性について説明します。 Windows 7、Windows Server 2008 R2、Windows Server 2008 のグループ ポリシーの詳細については、次の記事を参照してください。
＠IT：Firestarterでファイアウォール設定をGUI化
Fedora Coreなどは、「セキュリティレベル」というプログラムでファイアウォールの設定を行うことができる。しかし、「セキュリティレベル」は機能的な制限が多く、使い勝手があまりよくない。例えば、「セキュリティレベル」では許可するサービスが6種類（HTTPSやFTPなど）しか用意されておらず、SambaやBitTorrentなどを使う場合は、使用するポートやプロトコルなどを入力する必要がある。 ここでは、Fedora Core 4をクライアントとして使用する際に便利なファイアウォール設定ツール「Firestarter」を紹介する。Firestarterは、http://www.fs-security.com/からダウンロードできる。FC2／3、SUSE LINUX 9.2、Debian GNU/Linuxなど、各種ディストリビューション用パッケージやソースのtarボール、SRPMなどが用
About Secunia Research | Flexera
Secunia delivers software security research that provides reliable, curated and actionable vulnerability intelligence. Organizations can expect to receive standardized, validated and enriched vulnerability research on a specific version of a software product. Secunia Research supports four solutions:
無線LAN禁止、VPN禁止、FTP禁止……は管理者の怠慢か
無線LAN禁止、VPN禁止、FTP禁止……は管理者の怠慢か：システム管理の“ここがヘンだよ”（1/3 ページ） 社内ネットワークは危険がいっぱい。しかし、実は禁止事項が多いオフィスほど、しっかりとセキュリティ対策を講じていない証拠だと言われる。あなたの会社は大丈夫ですか？ 社内ITの保全は、情報システム部門に課せられた最大のミッションである。しかも、その要求水準は年々高まるばかりだ。情報漏えいや持ち込みPCからのウイルス／ワーム感染、共用サーバへの不正アクセスといった数々のリスクは、どのような企業にも存在している。 だが現実は厳しい。予算が足りない、人手も足りない。しかも、管理部門のスキルも十分ではない――など、企業によってさまざまな事情がある。そこで陥りがちなのが、「とりあえず危なそうなものはすべて禁止する」という安直な禁止政策だ。だが、本当にそのような政策を進めていいのだろうか？ 今後
TrueCrypt - Free Open-Source On-The-Fly Disk Encryption Software for Windows Vista/XP, Mac OS X and Linux
WARNING: Using TrueCrypt is not secure as it may contain unfixed security issues This page exists only to help migrate existing data encrypted by TrueCrypt. The development of TrueCrypt was ended in 5/2014 after Microsoft terminated support of Windows XP. Windows 8/7/Vista and later offer integrated support for encrypted disks and virtual disk images. Such integrated support is also available on o
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
http://tl-bar.com/index.php?cron-apt%A4%C7%BC%AB%C6%B0%A5%A2%A5%C3%A5%D7%A5%C7%A1%BC%A5%C8
http://news.livedoor.com/article/detail/3271517/
About Secunia Research | Flexera