AntiSamyをためす - teracc’s blog
OWASPがAntiSamyというオープンソースのソフトウェアをリリースしました。 Category:OWASP AntiSamy Project - OWASP ツールの名前は、有名なMySpaceのJavaScript Wormからきています（多分）。 HTML断片から、JavaScript要素を除去するためのソフトで、現行版はJavaで作られています。プロジェクトのホームページによると、将来的にPHPや.NET環境にも移植される予定とのことです。 V1.0をダウンロードしてちょこっと触ってみました。 以下、メモ＆感想です。 ParserとしてNekoHTMLを使用している。 XMLのポリシーファイルと、ポリシーファイルに基づいてHTMLを処理するエンジンで構成されている。 ポリシーファイルには、許可するHTMLタグ・属性名・属性値、CSSプロパティ名・値などのパターンを、正規表現をつ
【レポート】Black Hat USA 2007 - WebセキュリティのSPI、Ajaxのリスクとスーパーワームを警告 (1) 必要がなければAjaxを採用しないのが最善 - SPI Dynamics | エンタープライズ | マイコミジャーナル
Black Hat Briefingsの常連である米アトランタのセキュリティ企業SPI Dynamicsは、今年6月にHewlett-Packard (HP)による買収が発表された。買収完了後はHPのテクノロジーソリューション・グループに統合されるという。HP傘下になれば、これまでのように派手に警鐘を鳴らすような活動は行わなくなりそうだ。だが、今年はこれまで通りAjax導入のリスクとHybrid Webワームという話題性の高い2つの講演を行った。 SPIのリードセキュリティ・リサーチャーのBilly Hoffman氏 容易ではない完璧なAjax導入 「Premature Ajax-ulation」は昨年のAjax Securityの続編と呼べるような内容だった。 Ajaxという技術そのものに深刻な脆弱性がある訳ではない。標準に従い、外部にさらされるプログラムロジックや入力検証の仕組みに留意
XSSed | Cross Site Scripting (XSS) attacks information and archive
Another Ebay permanent XSSWritten by KFTuesday, 13 November 2012 The Indian security researcher Shubham Upadhyay aka Cyb3R_Shubh4M, sent us a new permanent XSS affecting the products listings on Ebay.com read more... F-Secure, McAfee and Symantec websites again XSSedWritten by DPFriday, 13 January 2012 Once again, the websites of the three famous antivirus vendors are vulnerable to cross-site scri
)
.NET アプリケーションのパフォーマンスとスケーラビリティの向上 - 第 5 章 「マネージ コ ード パフォーマンスの向上」
Recommendations on how to design and develop custom applications using the Microsoft platform Each patterns & practices offering contains a combination of written documentation and re-usable source code. Many also include a reference implementation. As the guidance is being developed it is reviewed and approved by internal Microsoft product teams and by external customers and partners. This produc
TLS 1.3 and the Future of Cryptographic Protocols
✕ Synopsys Software Integrity Group is now operating as Black Duck Software, Inc., a subsidiary of Synopsys. Click to learn more. It’s a bold new beginning The All-in-One Application Security Platform Optimized for DevSecOps Whether testing one application or thousands, automate any scan, any time, anywhere, all at once Explore the Polaris platform 2024 Open Source Security and Risk Analysis Repor
Security/CSP/Spec - MozillaWiki
The W3C has undertaken standardization of CSP and you can find the W3C spec here. Old Document Alert: The old Mozilla-specific spec document has been separated into two smaller documents, and those are deprecated in favor of the W3C spec. But in case you want them, here they are. Normative: Security/CSP/Specification Non-Normative: Security/CSP/Design Considerations
Twitter APIがアキレスの踵になるか
文：Ryan Naraine（Special to ZDNet.com） 翻訳校正：石橋啓一郎 2009-05-27 08:36 セキュリティ研究者が、Twitter APIがワーム攻撃に利用される可能性について警告している。 注目を集めるソーシャルネットワーキング・マイクロブログサービスであるTwitterは、ワーム攻撃を阻止するため、クロスサイトスクリプティングやその他の脆弱性の修正に大急ぎで取り組んでいるが、研究者のAviv Raff氏が指摘するように、Twitterを攻撃するワームを送るためにTwitter APIが「弱いリンク」として悪用される可能性が高い。 ブラウザとウェブアプリケーションの脆弱性に関する研究で知られるRaff氏は、APIを利用するサードパーティサービス（Twitpicなど）に1つ脆弱性が存在すれば、それが次のTwitterワームの原因になり得ると指摘している。
Ajaxian ? Gmail CSRF Security Flaw
Enterprise Strategy Group: Go-to-market Expertise to Help You Win
Gmail Vulnerable to Contact List Hijacking
Using a form of cross scripting, it becomes easy to steal a Gmail user’s contact list if they visit a certain type of website. The only condition is you have to be logged in to Gmail at the time of the attack. Gmail is setup to store your contact list in javascript files, which is the core problem. If you log into your Gmail account and click here, you’ll see your contact’s details, along with the
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
Web Application Security
IBM Developer
CSRF Attacks or How to avoid exposing your GMail contacts - Joe Walker
S-120: Universal Plug and Play Vulnerability
When Google disowns you | Software as Services | ZDNet.com