「セキュアなPHPアプリケーションを作成するための7つの習慣」のサンプルがとんでもなく酷い - ockeghem's blog
はてブで250以上のブックマークを得ている以下のエントリ。 PHP アプリケーションを作成する際には、可能な限りセキュアなアプリケーションにするために、次の 7 つの習慣を守る必要があります。 入力を検証する ファイルシステムを保護する データベースを保護する セッション・データを保護する XSS (Cross-Site Scripting: クロスサイト・スクリプティング) の脆弱性から保護する フォームへの投稿を検証する CSRF (Cross-Site Request Forgeries: クロスサイト・リクエスト・フォージェリー) から保護する ほう。しかし、内容はどうだろうか。 読んでびっくりした。説明も微妙なところが多いが、サンプルが酷い。こんなサンプルでは悪い習慣が身についてしまう。全部は書ききれないと思うので、目についたところからピックアップして紹介する。 パストラバーサル
crossdomain.xml と CSRF 脆弱性について - 2nd life (移転しました)
crossdomain.xml を安易に設置すると CSRF 脆弱性を引き起こす可能性があります。というのも、ここ数が月、それなりの数の crossdomain.xml による CSRF 脆弱性を発見し(現在、それらのサイトでは対策がなされています)、まだまだ Web プログラマに脆弱性を引き起こす可能性がある、という考え方が浸透してないんじゃないか、と思ったので。 先月、Life is beautiful: ウェブサービスAPIにおける『成りすまし問題』に関する一考察にも crossdomain.xml について書かれてたのですが、その後もいくつかのサービスで crossdomain.xml を許可ドメインすべてにしているサービスがあったので、注意喚起としてエントリーに書き起こします。 自分も一年半ぐらい前は、crossdomain.xml を許可ドメインすべて ('*') にして設置し
はてなグループの終了日を2020年1月31日(金)に決定しました - はてなの告知
はてなグループの終了日を2020年1月31日(金)に決定しました 以下のエントリの通り、今年末を目処にはてなグループを終了予定である旨をお知らせしておりました。 2019年末を目処に、はてなグループの提供を終了する予定です - はてなグループ日記 このたび、正式に終了日を決定いたしましたので、以下の通りご確認ください。 終了日: 2020年1月31日(金) エクスポート希望申請期限:2020年1月31日(金) 終了日以降は、はてなグループの閲覧および投稿は行えません。日記のエクスポートが必要な方は以下の記事にしたがって手続きをしてください。 はてなグループに投稿された日記データのエクスポートについて - はてなグループ日記 ご利用のみなさまにはご迷惑をおかけいたしますが、どうぞよろしくお願いいたします。 2020-06-25 追記 はてなグループ日記のエクスポートデータは2020年2月28
Ajaxのセキュリティ――悪用防止の5つの対策
グーグルのGmailは最近、Ajax（Asynchronous JavaScript and XML）の可能性をめぐってWeb開発者コミュニティーの間で関心を集めた。Ajaxは、ブラウザの機能を拡張するために組み合わせて用いられる技術セットであり、ユーザーとアプリケーションがコンテンツにアクセスし、それを共有、編集することを可能にする。このWeb開発手法は特に新しいものではないが、Web 2.0（次世代のWebサービス）の一部と見なされている。Ajaxはすべてのインターネットベースのサービスと同様、独自のセキュリティ問題を抱えている。Ajaxの仕組み、それを悪用する手口、そして攻撃を防ぐための対策をみることにしよう。 Ajaxの仕組み Ajaxアプリケーションは基本的に、ユーザーのマシン上で実行される。これらのアプリケーションは、Webページ全体をリロードしなくても済むように、ユーザーに意
Web 2.0的アプリのセキュリティ：再考「機密情報にJSONPでアクセスするな」｜アークウェブのブログ
SEの進地です。 2007年1月に投稿した「Web 2.0的アプリのセキュリティ：機密情報にJSONPでアクセスするな」は多くの方にお読みいただきました。誤りも指摘され、元エントリーに改修を加えましたが、かなり読みづらい状態になってしまっています。また、JSON、JSONPのセキュリティに関する新たな話題もSea Surfers MLで議論されているのを読み、自分自身の認識や理解も変化しているので、このエントリーでもう一度JSON、JSONP（+JavaScript）に機密情報を含めることの是非と方策を整理、検討したいと思います。 ○JSON、JSONP、JavaScriptによるデータ提供時にセキュリティ対策上留意すべき特徴 JSON、JSONP、JavaScriptによるデータ提供時に留意すべき特徴としてあるのが、「クロスドメインアクセス可能」というものです。JSONPだけでなく、JS
Ajaxの特徴に潜むリスクをサンプルアプリで確認しよう ― ＠IT
第1回 Ajax技術の目に見えない通信内容をのぞいてみようでは、Ajaxの技術背景を解説しました。今回は、「セキュリティ」という観点でAjaxを見ていきたいと思います。 2回目の今回は、非常に幅広く、奥が深い「Ajaxの特徴に潜むセキュリティリスク」を、実際のサンプルアプリケーションの通信や、マウスの動きを動画で見ながら、理解しましょう。スパイウェアやキーロガーへの基本的な対策も解説します。 通常のWebアプリと異なるAjaxの特徴に潜むリスク 「Ajaxのセキュリティ」といきなりいっても、『Ajaxとはいえ、単なるWebブラウザで動作するアプリケーションなのだから、これまでのWebアプリケーションのセキュリティとあまり変わらないのでは？』と予想される方も多いでしょう。確かに、Webアプリケーションとして注意すべきセキュリティのポイントは、Ajaxにおいても共通して当てはまると考えて問題あ
無料オンライン・サービスを狙うミスリーディング・アプリ
このところ，スパム・メールやフィッシング，ソーシャル・ネットワーキング・サービス（SNS）などを悪用するソーシャル・エンジニアリング攻撃で広がるマルウエアを見かける。我々は，そうした攻撃を仕掛ける連中が無料オンライン・サービスを狙い始めたことに気付いた。当記事では，オンライン・ノート・サービス「Google Notebook」を悪用する例を紹介するが，この手の攻撃に悪用されるのは，同サービスに限ったことではない。 攻撃者たちは，ミスリーディング・アプリケーションをばらまくための新たなソーシャル・エンジニアリング攻撃手段として，Google Notebookを使い始めている。ミスリーディング・アプリケーションは，ユーザーをだまして，パソコンに削除すべき好ましくないプログラムがあると思わせたり，セキュリティが危険にさらされていると信じ込ませたりするアプリケーションだ（通常，実際には危険は存在し
「今までにないタイプのSQLインジェクション」――ゴルフダイジェストへの不正アクセス手口が判明
ゴルフダイジェスト・オンライン（GDO）への不正アクセスは，同社データベースへのSQLインジェクション攻撃であることがわかった。 GDOでは，同社Webサイトを構成するデータベースの一部が不正アクセスを受けたとして，2008年10月2日からWebサービスを全面的に停止していた（関連記事）。攻撃の具体的な手順は明らかにしていなかったが，「今までにない新しい手法のSQLインジェクションだった」（同社広報）という。なお，最近セキュリティ・ベンダーからCookieを悪用した新手のSQLインジェクションについて警告が出ている（関連記事）が，この件との因果関係については「コメントできない」（同社広報）としている。 この攻撃の影響で，GDOの配信メールの一部に不正なURLが埋め込まれ，URLをクリックしたユーザーはマルウエアに感染する危険性が生じた。「URLを埋め込まれた可能性のあるメールは，2008年
SQLインジェクションの仕組み
前回はSQLインジェクションが急に増えた事情を概説した。今回は，SQLインジェクション攻撃の流れをたどってみよう（図1）。ここではユーザーが指定した商品をデータベースから探せるショッピング・サイトを想定している。 改ざんされたサイトにアクセスしてきたエンド・ユーザーは，最終的にマルウエアに感染してしまう。図中のSQLの内容を変更すれば，攻撃者はデータベースを思うがままに操作できる。なお，図中にある「xxx」という文字列は，ユーザーが入力した「デジタル一眼レフカメラ」という文字列を符号化したもの。 最初に，ユーザーがWebページ上で入力した数値や文字列（「xxx」，これはユーザーが入力した文字列「デジタル一眼レフカメラ」をWebブラウザなどのアプリケーションが符号化したもの）は，HTTPリクエストとしてWebサーバー側に送信される。Webサーバーは，リクエストから数値や文字列を取り出して，W
ユーザのクリックを乗っ取る「クリックジャック」 | スラド
ZDNet（日本語訳）にて、多くのブラウザやAdobe Flashに存在するクリックジャック（Clickjacking）に対する脆弱性について報じられている（本家/.より）。この脆弱性はIE、Firefox、Safari、Operaなど多くブラウザやAdobe Flashに存在し、影響を受けないブラウザはLynxくらいだそうだ。 クリックジャックされると、ユーザのクリック全てがクリックジャックのクリックとなり、ユーザの意図や動作とは無関係にページ上のリンクやボタンをクリックしたことになってしまう。このため、Flashゲームなどは格好のターゲットとなり得る。攻撃はブラウザの根本的な欠陥を突いたもので、DHTMLを利用しているとのこと。また、JavaScriptは必須ではないため、JavaScriptを無効にしても完全には防げないそうだ。 クリックジャックはOWASP NYC AppSec 2
クリックジャッキング：研究者が複数のブラウザに対する新たな脅威について警告
セキュリティ研究者が，すべての主要なデスクトッププラットフォームに影響のある，新たな恐ろしいブラウザに対する脅威に対する警告を発している。その対象となるのは，Microsoft Internet Explorer，Mozilla Firefox，Apple Safari，Opera，そしてAdobe Flashだ。 この脅威は「クリックジャッキング」と呼ばれるもので，OWASP NYC AppSec 2008カンファレンスで議論されるはずだったものだが，Adobeやその他の影響を受けるベンダーの要望で，包括的な修正が準備されるまではこの話題を公にすることが取りやめられていたものだ。 これを発見したのは，Robert Hansen氏とJeremiah Grossman氏という2人の研究者で，彼らはこの問題の深刻さを強調するために，いくつかの情報を公開している。 では，クリックジャッキングとは
山口英・内閣官房情報セキュリティセンター情報セキュリティ補佐官 インタビュー
■2006年6月、政府は2006年度における具体的な情報セキュリティ施策の実施プログラム案「セキュア・ジャパン2006」を公表した。ここには、政府機関の情報セキュリティについて「評価および結果の公表」を行う、とある。内閣官房情報セキュリティセンターの山口英・情報セキュリティ補佐官に、情報セキュリティにおける「評価および結果の公表」の意義を中心に話を伺った。 （聞き手：黒田 隆明=本誌編集長 写真：高田 喜三郎） 山口 英（やまぐち・すぐる）氏 内閣官房情報セキュリティセンター 情報セキュリティ補佐官 1964年生まれ。大阪大学基礎工学部卒。奈良先端科学技術大学院大学情報科学研究科教授。工学博士。2004年4月より内閣官房情報セキュリティ対策推進室（現・内閣官房情報セキュリティセンター）情報セキュリティ補佐官に就任。2006年4月より内閣官房情報通信技術（IT）担当室電子政府推進管理室の電子
UTF-8.jp
- WinMirror - 任意のアプリケーションのウィンドウやデスクトップをミラーリングして表示できます。 解説: オンサイトでの登壇で返しのモニターがなくてもデモをやりやすくするツールを作った - SSTエンジニアブログ - 音声字幕機能付きのWebカメラ - Web Audio APIを使ってマイク入力をスピーカーから出力 - LTタイマー - JavaScriptセキュリティの基礎知識：連載｜gihyo.jp … 技術評論社 - HTML5時代の「新しいセキュリティ・エチケット」－ @IT - 教科書に載らないWebアプリケーションセキュリティ － ＠IT - 連載：本当は怖い文字コードの話｜gihyo.jp … 技術評論社 - JSF*ck - encode JavaScript with only 6 letters - []()!+ (broken) JSF*ck demo
第02回まっちゃ４４５勉強会 - ripjyr's blog
開発系情報セキュリティ勉強会を開催します。 同日、Admintech.jp大阪出張開催があり、及川さんのWebKitのお話や五寳さん（IE8 Beta2）、はせがわさんのWebアプリセキュリティ系の勉強会があります。 皆さん、どちらに参加するか悩んでください。Admintech.jpの募集はこちらから！ すみません、サボっている間に埋まってしまいました。キャンセル待ちを募集します！ 日付 2008年09月27日（土曜日） 時間 13時00分〜16時30分 場所 大田区産業プラザC会議室 住所 東京都大田区南蒲田1-20-20 大田区産業プラザ（京急蒲田駅東口より徒歩3分） 地図 http://www.pio-ota.jp/plaza/map.html テーマ ワッフルを食べながらわっふるわっふるを考えよう！（Web Application FireWall） 定員 60名 講師 WAF入門
仮想世界と現実の攻撃：ITpro
McAfee Avert Labs Blog 「Virtual worlds, real attacks」より August 28，2008 Posted by Igor Muttik オンライン・ゲームで遊ぶ息子を見ていると，心配が募る。パソコンの前にいる時間が長過ぎるからではない。今のオンライン・ゲームにはセキュリティ面の問題があまりに多く，気になるのだ。何とか対策を講じなければならない。 そこで，オンライン・ゲーム関係のセキュリティ問題を列挙し，解決につながる可能性のある提案をしてみた。それを研究報告書（PDF）としてまとめ，米マカフィーのWebサイトで公開した。 オンライン・ゲームを使ったマネー・ロンダリング（資金洗浄），仮想世界のテロ攻撃，仮想世界のID窃盗，オンライン・ゲームにかかわるマルウエア，仮想世界で広まるデマなどに関心があるのなら，この報告書を読まずにはいられないはずだ
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
http://livedocs.adobe.com/flash/8_jp/main/wwhelp/wwhimpl/common/html/wwhelp.htm?context=LiveDocs_Parts&file=00001621.html
クロスドメインポリシーファイル(crossdomain.xml)設定について
https://labs.cybozu.co.jp/blog/kazuho/archives/2007/01/crosssite_security.php
United States
ユーザーのクリック操作が乗っ取られる新たな脆弱性が報告される | 情報セキュリティニュース | 情報セキュリティブログ | 日立システムアンドサービス