一般ユーザに払い出すと危険なサブドメインやメールアドレス - ASnoKaze blog
ユーザに対して、そのユーザ名のサブドメインやメールアドレスを払い出すWebサービスがあります。 しかし、特定のサブドメインやメールアドレスは特別な用途で使われているものもあります。そのようなサブドメインやメールアドレスを一般ユーザに払い出してしまうと危険です。 現在、IETFでは仕様上利用用途が決められている、それらのラベルをとりまとめる「Dangerous Labels in DNS and E-mail」というdraftが提出されています。 今回はそれを眺めていきます。 （あくまでIETFの取り組みであり、仕様上定義されているものをとりまとめています。クラウドサービスや特定ベンダーで特別利用しているものは現在含まれていません。） サブドメイン ここでとりあげるサブドメインは、利用用途が決まってるため一般ユーザに払い出すべきではありません。(例: mta-sts.example.com)
2017年3月に発生したApache Struts 2で稼働していたとみられるWebサイトへの不正アクセスについてまとめてみた - piyolog
2017年3月に複数のWebサイトが外部からの不正アクセスを受けたことを発表しています。また一部では不正アクセスが成功し、情報が盗まれたり、データが削除されるといった被害が発生しています。 攻撃を受けたWebサイトはApache Struts 2で稼働していたとみられ、またGMOペイメントゲートウェイはApache Struts2の脆弱性を悪用した不正アクセスであったことを明らかにしています。ここでは3月に発表されたApache Struts 2で稼働するWebサイトへの不正アクセスについてまとめます。 被害状況の概要 攻撃を受けたサイトやその被害概要をまとめると次の通り。 運営元 攻撃を受けたサイト 被害状況 トヨタファイナンス GMOペイメントゲートウェイ 都税クレジットカードお支払いサイト(旧) ⇒新しいドメインへ移転 機構団体信用生命保険特約料クレジットカード支払いサイト サイトに
プロキシ業者が一斉捜索を受けた件をまとめてみた - piyolog
2014年11月19日、20都道府県警の合同捜査本部が国内で違法にプロキシサーバーを運営する全国８業者へ一斉捜索をかけました。ここではその関連情報をまとめます。 タイムライン 大光・SUNテクノ関連 日時 出来事 2013年4月〜8月 AmebaへSUNテクノのサーバーから不正ログインが行われた可能性。 2014年1月 愛知県警が偽サイトのIPアドレスからSUNテクノを割り出し。*1 2014年2月頃 SUNテクノのサーバーに大手銀行(MUFJ?)のフィッシングサイトが開設。*2 2014年3月頃 SUNテクノのサーバーに大手銀行(MUFJ?)のフィッシングサイトが設置され当月だけで約1万3千件のアクセス。*3 2014年8月 大光とSUNテクノが捜索を受ける。 その後 大光と他1社がISPから不正行為に関わったとして契約を解除。 その後 大光、SUNテクノが他人のIDを使ってインターネッ
色んなXSS – nootropic.me
2015/4/16(木)：ページの一番下に追記を記述しました。 その昔、なんとかキャンプというセキュリティのイベントに参加した時「アウトプットが大事」と言われたのを思い出しました。 でも、普通自分の見つけた知識は後生大事に抱えておきたいもんだと思います。 そこで今回はそういった何かしょーもないものを捨てるべく、溜め込んだ色んなXSSのPoCを少し書き出してまとめました。 今まで自分で見つけたものや海外のSecurity Researcher達から収集したものもあります。 さて、今回リストアップしたPoCの見方ですがいくつかの項目があります。 一番上の「手法」はタイトルみたいなものだと思って下さい。 二番目の「PoC」はスクリプトを実行する為のコードです。殆どがアラートが出るだけのスクリプトの為危険なコードは無いつもりですがご自分のブラウザで実行する際は自己責任でお願いします。リンクをクリッ
【個人情報】ホットペッパーの登録番号から情報を取得した店長がLINEでお客さんをナンパ!?
ちゃんゆき🍺 @knykhkusk 美容室でやたら褒めてきて帰り際に連絡先聞かれて教えなかったはずの美容師からまさかのLINEが来てた事案に震えてるんだけど？？？？？？？？ 2014-12-08 00:48:34
Firefoxの認証ツールチップがうざい - 怒涛のめもめもリンク集
Firefoxの認証ツールチップがうざい Firefoxでアドレスバーのアイコンにカーソルを合わせると、認証されてるかどうかのポップアップというかツールチップが「運営者を証明する証明書がありません」などと出るが、アドレスアイコンをドラッグしてブックマークしようとするときにもコイツが表示されて邪魔でしょうがない。 前から折に触れて調べてて対処法が見つからなかったが、今回検索すると about:config で、browser.chrome.toolbar_tipsをfalseに設定すればいいみたい（ツールバーの他のツールチップも表示されなくなりますが）。 追記： なんてこった！便利に使っていたが、これでオフにすると、ツールバーだけでなく、表示本体でのツールチップまで表示されなくなってしまう…。ということで、Googleのマウスオーバー辞書を始め、aタグのリンクでtitle属性に指定された語ま
Ryushutu2ch
このサイトは何？ 流出した2ch書き込み情報を元に、ユーザ別の書き込み先スレッド、書き込み時刻を調べるためのページです。 ユーザ情報は匿名化しています。 2ch板一覧 臨時地震 (スレッド数: 67) 臨時地震+ (スレッド数: 2) 緊急自然災害 (スレッド数: 95) 登山キャンプ (スレッド数: 95) 遊園地 (スレッド数: 2) 高校野球 (スレッド数: 131) 陸上競技 (スレッド数: 24) 花火 (スレッド数: 7) ソフトドリンク (スレッド数: 3) スマホアプリ (スレッド数: 125) 交通情報 (スレッド数: 14) 面白ネタnews (スレッド数: 15) なんでも質問 (スレッド数: 1) ビジネスnews+ (スレッド数: 208) ニュース速報+ (スレッド数: 2641) ニュース二軍+ (スレッド数: 125) 萌えニュース+ (スレッド数: 141
メール配信のプロが教える 2012年決定版 ドコモ(docomo)携帯 迷惑メール対策設定
今年は結構な迷惑メールがドメインを変えて届くので最新設定を公開します というのもiPhone4S購入によりパケ・ホーダイからパケ・ホーダイダブルに変更したので月4650パケットに収めるという目標ができたためです 今まで(2011、2012年)に届いたドメインと送信IPは下記に記述してあります 続･メール配信のプロが教える docomo 迷惑メール、メール拒否設定例 http://kuni92.net/2012/05/-docomo-1.html 2012/06/18現在15通届いているので(2011年は7通) 業者も手を変え品を変えドメインを変え必死に送っています (アドレス抜きアプリとかいろいろありましたし) 設定として有名どころでは 許可リストに@mixi.jpで拒否リストにmixi.jp 許可リストに@gree.jpで拒否リストにgree.jp 許可リストに@mbga.jpで拒否リス
ウイルス作成罪初適用！ウイルスを作成して送りつけたアニメサイト運営者逮捕！｜やらおん！
コンピューターウイルスを作成して知人に送りつけたとして、大阪府警サイバー犯罪対策室は２６日、不正指令電磁的記録供用の疑いで、同府松原市天美南の無職、小林浩忠容疑者（２８）を逮捕したと発表した。 小林容疑者が「私がウイルスを作りました」と作成を認めたため、府警は同日、不正指令電磁的記録作成容疑を加えて、送検。府警によると、ウイルス作成罪の適用は全国で初めてという。 府警によると、小林容疑者が昨年９月、「『ブログを閉鎖しなければ、両親を殺して家を燃やす』という書き込みが自分のサイトにあった」と府警に被害相談。 書き込みの発信元が神奈川県に住むサイトの共同運営者の男性（２６）と判明したが 男性のパソコンには書き込みの履歴などが残っていなかった。 その後の捜査で、小林容疑者が、自動的にサイトに書き込みをしてしまうよう仕組まれたウイルスが添付されたメールを、男性に送信していたことが発覚。男性のパソコ
Evernote の XSS 脆弱性に関して mala 氏のつぶやき
要するに、解決されるまではログアウトしとけということだそうデス。 【2011/04/20 12:20 追記】ひゃっはー的なおまけを追加しました。 【2011/04/20 00:30 追記】多分これで最後。以降は Evernote の正式発表を待った上で、それを信用して利用するかどうかは各個人の判断にお任せします。 【2011/04/19 17:05 追記】午後の部追記。なお、エントリを起こされている方がおりましたのでご紹介。＞『bulkneets氏によって報告されたEvernoteのXSS脆弱性とは 危険と対策』( http://d.hatena.ne.jp/pichikupachiku/20110419/1303158373 ) 続きを読む
ファイアウォール構築(iptables) - Fedoraで自宅サーバー構築
Linuxサーバー上にファイアウォールを構築する。 ここでは、Linuxのパケットフィルタリング機能であるiptablesを使用して、Web等外部に公開するサービス以外のポートへのアクセスをブロックするようにする。 ※通常はルーター側にもファイアウォール機能があるため、Linuxサーバー上でファイアウォールを構築後にポートを開放する場合は、ルーター側とLinuxサーバー側の2箇所でポート開放を行う必要があることに注意 【想定するネットワーク環境】 [root@fedora ~]# vi iptables.sh ← ファイアウォール設定スクリプト作成 #!/bin/bash #---------------------------------------# # 設定開始 # #---------------------------------------# # インタフェース名定義 LAN=
岡崎市中央図書館に1秒間に1回アクセスしたら逮捕されたけど不起訴になった件について
岡崎市中央図書館に1秒間に1回アクセスしたら逮捕されたけど不起訴になった件について。 当事者からの報告とそれに関連した高木先生などのつぶやきをまとめています。不完全かつ進行中です。
JavaScript変態文法最速マスター - 葉っぱ日記
Java変態文法最速マスター - プログラマーの脳みそをリスペクト。 JavaScriptの変態文法・技法一覧です。あんまり使わないけど、知ってるとXSSとか攻撃したいのにWAFに妨害されるなど、いろいろ制約があるという場合に便利。 文字列の生成 引用符を使わずにさくっと文字列を作る。fromCharCode とか使ってもいいけどめんどくさいので、正規表現やE4Xを利用。 alert( /string/.source ); alert( <>string</> ) 空白文字を使わず記述 文脈上、スペースを書きたいけれどいろいろ制約があって書けない場合にはコメントで代替。実行するコードを作り上げてevalしてもいいけど大袈裟なので。 var/**/x=1; */ を含むコードブロックをコメントアウト コードの塊りをコメントアウトしようと思って /* */ で囲むと、コード内に string.
pitぽーと:avast!ご乱心、誤検知祭り！ - livedoor Blog（ブログ）
December 03, 2009 avast!ご乱心、誤検知祭り！ 起床してPC付けたらプーワ！プーワ！avastが警報鳴らしたので見てみると spybotに反応しやがったので、あ、これは俺のPC終わったかな？と首を… 一応2chも見てみるかとavastスレ見てみると何やら様子がおかしい！ 纏めたぞ！ スタートはココから 613 名前：名無しさん＠お腹いっぱい。[] 投稿日：2009/12/03(木) 09:39:30 今朝PC起動したら、あヴぁすとたんが反応しまくりで何もできない以下誤検知祭り 614 名前：名無しさん＠お腹いっぱい。[sage] 投稿日：2009/12/03(木) 09:40:04 shareもjaneにも反応しまくりワロタ615 名前：名無しさん＠お腹いっぱい。[sage] 投稿日：2009/12/03(木) 09:42:02 avastがspybotに反応してんだ
情報処理推進機構：情報セキュリティ：調査・研究報告書：情報セキュリティ技術動向調査（2008 年下期） 5 テンポラリファイルの扱い
2008年下期には、Perl の File::Path モジュールの rmtree 関数に関する CVE が 3件発表された。 (CVE-2008-2827, CVE-2008-5302, CVE-2008-5303)また、symlink attack に関する CVE は 100件以上出ている。 テンポラリファイルの扱いに関する問題は古くからあるが、いまだに多くの問題が発生する。そこで本稿ではテンポラリファイルの扱いかたについて解説する。また、安全な削除に利用できる新しいシステムコールが提案されているので、それについても触れる。 テンポラリファイルはプログラムが一時的に利用するファイルである。 Unix においては /tmp や /var/tmp というディレクトリが提供されており、すべてのユーザがそのディレクトリ下にテンポラリファイルを生成・削除するのが慣習である。本稿では、これらのデ
Twitterのハッカーとのコンタクトに成功―攻撃手口の詳細が判明した
The tech layoff wave is still going strong in 2024. Following significant workforce reductions in 2022 and 2023, this year has already seen 60,000 job cuts across 254 companies, according to independent layoffs tracker Layoffs.fyi. Companies like Tesla, Amazon, Google, TikTok, Snap and Microsoft have conducted sizable layoffs in the…
ここが危ない！Web2.0のセキュリティ 記事一覧 | gihyo.jp
運営元のロゴ Copyright © 2007-2024 All Rights Reserved by Gijutsu-Hyoron Co., Ltd. ページ内容の全部あるいは一部を無断で利用することを禁止します。個別にライセンスが設定されている記事等はそのライセンスに従います。
「セキュアなPHPアプリケーションを作成するための7つの習慣」のサンプルがとんでもなく酷い - ockeghem's blog
はてブで250以上のブックマークを得ている以下のエントリ。 PHP アプリケーションを作成する際には、可能な限りセキュアなアプリケーションにするために、次の 7 つの習慣を守る必要があります。 入力を検証する ファイルシステムを保護する データベースを保護する セッション・データを保護する XSS (Cross-Site Scripting: クロスサイト・スクリプティング) の脆弱性から保護する フォームへの投稿を検証する CSRF (Cross-Site Request Forgeries: クロスサイト・リクエスト・フォージェリー) から保護する ほう。しかし、内容はどうだろうか。 読んでびっくりした。説明も微妙なところが多いが、サンプルが酷い。こんなサンプルでは悪い習慣が身についてしまう。全部は書ききれないと思うので、目についたところからピックアップして紹介する。 パストラバーサル
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
Iptablesチュートリアル 1.2.2
まとめよう、あつまろう - Togetter
