XXE攻撃 基本編 | MBSD Blog
2017.11.30 プロフェッショナルサービス事業部 諌山 貴由 先日 OWASP Top 10 - 2017 がついに公開されました。 このOWASP Top 10 とは、OWASP Top Ten Projectが最も重大と考えるセキュリティリスクの Top 10をまとめたものです。変更点はいくつかありますが、今回OWASP Top 10 - 2017 の中にXXE(XML External Entity)がランクインしていました。 XXEを用いた攻撃（以降 XXE攻撃）は、セキュリティ界隈においては、かなり昔から知られている攻撃手法ですが、開発者等にはあまり認知されていないと思われますので、あらためてこのXXE攻撃について解説を行っていきます。 今回触れていない攻撃手法については、またの機会に紹介をしたいと思っています。 XXEとは XXEとは XML External Entit
CVE-2014-8080: REXML におけるXML展開に伴うサービス不能攻撃について
Posted by nagachika on 27 Oct 2014 REXML において XML のパラメータエンティティの展開によりサービス不能攻撃が可能となる脆弱性が報告されました。 この脆弱性は CVE-2014-8080 として CVE に登録されています。 ユーザーの皆さんには Ruby を更新することを強くお勧めします。 詳細 XMLドキュメントからテキストのノードを読み込む際にREXMLパーサーに極めて大きな String オブジェクトを生成させることで、マシン上のメモリを使い果たさせてサービス不能攻撃(DoS)を成立させることができます。 影響を受けるのは以下のようなコードです: require 'rexml/document' xml = <<XML <!DOCTYPE root [ # ENTITY expansion vector ]> <cd></cd> XML
Ronin - Rails PoC exploits for CVE-2013-0156 and CVE-2013-0155
TL;DR: Exploits are out, update Rails! rails_dos.rb rails_jsonq.rb rails_sqli.rb rails_rce.rb On January 8th, Aaron Patterson announced CVE-2013-0156, multiple vulnerabilities in parameter parsing in Action Pack allowing attackers to: Bypass Authentication systems Inject Arbitrary SQL Perform a Denial of Service (DoS) Execute arbitrary code However, rumors of this vulnerability had been circulatin
XML －XML文書の構文－
■ ＸＭＬ宣言の基本 ＸＭＬ宣言はそのファイルがxmlで記述されていることをXMLパーサに指示するための もので、半角小文字で書きます。 下記が最も基本的な形の宣言で、「xml」が「XML」というように大文字になっても、 「<?」と「xml」の間にスペースが入ってもエラーとなります。 <?xml version="1.0"?> ■ version属性 「version1.0」はxmlのバージョンを指定します。半角小文字以外で記述すると エラーになります。 XML1.1 XML1.1を実装したアプリケーションが発表されれば、version属性に「1.1」を指定することになります。 互換性維持のために「version1.0」と記述したものも同じように扱えるようにすることがXML1.1の仕様書 には明記されています。 <?xml version="1.0" encoding="SHIFT_JIS
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
処理を実行中です
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
