5分でできるPHPセキュリティ対策 - ぼくはまちちゃん！
こんにちはこんにちは！！ Webプログラミングしてますか！ よく「PHPはセキュリティがダメ」とか言われてるよね。 でもそれって、べつにPHPが悪いんじゃなくて、 たぶん、セキュリティとかが、まだよくわからない人が多いだけなんじゃないかな。 がんばって勉強しようと思っても、なんだか難しい理屈が並んでいたりするしね…。 なので今日は、セキュリティ対策について、 「これだけやっとけば、わりと安全になるよ」ってことを、初心者むけに、大雑把に書いてみます！ 理屈がわからなくても、最初はコピペでも、 なにもやらないより、やったほうがきっとマシになる！ 1. XSS対策 動的なものを表示するとき、全部エスケープすればokです！ (NG) あなたの名前は <?= $name ?> ですね！ ↓ (OK) あなたの名前は <?= htmlspecialchars($name, ENT_QUOTES) ?>
phpMyAdminのsetup.phpの脆弱性を突くサイバー攻撃を確認 - Snufkinski Memo
ちょっとセキュリティ関連が続きますが、これはちょっとヤバイので公開メモ。 MySQLの管理インタフェースとしてphpMyAdminを利用されている方は多いと思いますが、 ここ数日、Apache の access_log に以下のような怪しげな痕跡があったので気になって調べてみました。 パターン１ GET //phpmyadmin/config/config.inc.php?p=phpinfo(); GET //pma/config/config.inc.php?p=phpinfo(); GET //admin/config/config.inc.php?p=phpinfo(); GET //dbadmin/config/config.inc.php?p=phpinfo(); GET //mysql/config/config.inc.php?p=phpinfo(); GET //php-m
開発者のための正しいCSRF対策
著者: 金床 <anvil@jumperz.net> http://www.jumperz.net/ ■はじめに ウェブアプリケーション開発者の立場から見たCSRF対策について、さまざまな情報が入り乱れている。筆者が2006年3月の時点において国内のウェブサ イトやコンピュータ書籍・雑誌などでCSRF対策について書かれている記事を調べた結果、おどろくべきことに、そのほとんどが誤りを含んでいたり、現実的 には使用できない方法を紹介したりしていた。そこで本稿ではウェブアプリケーション開発者にとっての本当に正しいCSRF対策についてまとめることとす る。また、採用すべきでないCSRF対策とその理由も合わせて紹介する。 ■あらゆる機能がターゲットとなりうる ウェブアプリケーションの持つ全ての機能がCSRF攻撃の対象となりうる。まずこのことを認識しておく必要がある。 Amaz
PHPで最低限注意すべきな危険な臭いのする箇所
よく、○○攻撃とか○○脆弱性とかといった、セキュリティ的にまずい部分について攻撃の手法などでまとめることがありますが、今回はコードベースで危険を感じ取れるようなまとめ方にしたいと思います。 PHPで、とあるのは例にあげるコードがPHPだからなのですが、おそらく大体の部分は他の言語でも通用するかと思います。また、ここで挙げるものが注意すべき事項全てではないことをご承知ください。。 フレームワークを使えばかなり防げてしまうような単純な例ばかりですが、参考になればと思います。 画面表示関係 これがいちばん基本的なところだと思います。 printやechoなどでユーザデータを画面に表示する箇所です。パターンとしては、大きく分けて以下の2つでしょうか。 $_GET,$_POST,$_REQUEST,$_SERVER変数の表示 データソースからの値の表示 例えば、以下のようなコードは危険な臭いがします
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
処理を実行中です
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
PHPでセキュリティを真面目に考える
