槻ノ木隆の「BBっとWORDS」
■ SSHとは SSHとは「Secure SHell」の略で、リモートからUNIXのシェルを使用する場合に暗号化を施すというもので、前回説明した「SSL」と非常に良く似たものです。 SSHは本来、リモートからUNIXを使うときに、途中で通信の傍受や改ざんなどがされてしまわないようにするためのものでした。しかし、これを利用してさまざまな通信をさせようという拡張が行なわれており、また比較的簡単に実装できることや、ほとんどのLinuxディストリビューションが標準でSSHを搭載しているといったことから、広く利用されるに至っています。 ■ シェルというもの まず最初に、UNIXのシェルについて簡単に説明しておきます。このシェルというのは、UNIXにおいてはユーザーとの直接的なインターフェイスを提供するプログラムです。こうしたものを「コマンドインタープリタ」と呼びますが、昔のMS-DOSならば「COM
Web アプリケーションの脆弱性に対する攻撃と防御 — Gruyere - 1.1
2010-06-13: Codelab アプリケーションの名前を Gruyere (旧 Jarlsberg) に変更。ブックマークを更新してください。 ハッカーを打ち負かしたいですか ?¶ ハッカーがどのようにしてセキュリティの脆弱性を見つけるのかを学ぶ ! ハッカーがどのように Web アプリケーションを攻撃するのかを学ぶ ! それをどのように防ぐかを学ぶ ! この codelab では、どのようにして Web アプリケーションの脆弱性が攻撃されるか、 またその攻撃をどのように防御するかを見ることができます。 学習するための最善の道は実際にやってみることであり、 実アプリケーションに対して侵入をテストすることができます。 具体的には、以下の内容を学習します: どのようにして、アプリケーションへの クロスサイトスクリプティング (XSS) やクロスサイトリクエストフォージェリー (XSRF
IPA ISEC セキュア・プログラミング講座：Webアプリケーション編 第2章 アクセス制限対策：アクセス認可対策
(1) 3段階の構成 Webアプリケーションにおいて、アクセス認可の判定内容は概ね次の 3段階の構成になる（図2-6）。これらの最終的な判定結果が「Yes」の場合のみ、Webページ等のリソースへのアクセスを執行するようなPEP（Policy Enforcement Point）を設置する。 a) ログイン有無による制限 b) ページ単位のアクセス許可・禁止 c) パラメータ単位のアクセス許可・禁止 (2) https:の使用 アクセス認可の対象となるWebページは原則としてhttps:を使用する。さもないと、正規のユーザがコンテンツを取得する際の通信を許可されていない第三者が傍受し、不正にコンテンツを閲覧するおそれがある。 ただし、Webサイトのセキュリティの方針として、盗聴されるリスクを容認する旨の意思決定をした場合はその限りではない。 ログイン有無による制限 会員制のサイトや有償コンテ
Google、「ハッキング学習用Webアプリ」を公開 - スラッシュドット・ジャパン
Googleが「ハッキングを通じてWebアプリのセキュリティや脆弱性を学ぶ」ことを目的としたWebアプリ「Jarlsberg」を公開した Google Online Security Blog）。 Jarlsbergは、「ハッカーがどのようにセキュリティ脆弱性を見つけるか」「どのようにWebアプリを攻撃するか」「どうすればそのような行為への対策を行えるか」を学習することを目的としたもの。Google Apps上で動作しているWebアプリで、ユーザーが実際にさまざまな攻撃をテストしてみることが可能。「jarlsberg.appspot.comドメイン上で任意のスクリプトを実行できるようなファイルをアップロードせよ」などの課題やヒント、その解答と対策なども多数用意されている。また、ソースコードについてもすべて公開されている。 ドキュメントはすべて英語だが、セキュリティに興味のある方は挑戦してみ
PHP と Web アプリケーションのセキュリティについてのメモ
このページについての説明・注意など PHP は、Apache モジュールや、CGI、コマンドラインとして使用できるスクリプト言語です。このページでは、主に PHP における、Web アプリケーションのセキュリティ問題についてまとめています。 Web アプリケーションのセキュリティ問題としては、以下の問題についてよく取り挙げられていると思いますが、これらのセキュリティ問題について調べたことや、これら以外でも、PHP に関連しているセキュリティ問題について知っていることについてメモしておきます。 クロスサイトスクリプティング SQL インジェクション パス・トラバーサル(ディレクトリ・トラバーサル) セッションハイジャック コマンドインジェクション また、PHP マニュアル : セキュリティや、PHP Security Guide (PHP Security Consortium) には、PH
レガシーASPと”Cookie: = ” - 赤羽橋日記
超古い穴だらけのASPアプリケーションに某WAFを導入してAppScanかけてみた。まぁ、その某WAFの評価のためなんだが。 やってみた結果、ほぼパーフェクトな検知率。でも、ほんの一部漏れたものがある。つまり、AppScanは「攻撃リクエストだ」と称しているリクエストのほんの一部が通過した。どう見ても攻撃が成立するとは思えないが。 （まぁ、いちがいにAppScanのシグニチャがぜんぶ攻撃リクエストだとは思わないけど。つまり、単にテストパターンとして含めているシグニチャもあると思うので。） で、その中のひとつのリクエストがこれ。 GET /AAAA/BBBB.asp HTTP/1.0 Accept: */* Accept-Language: ja User-Agent: Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1;.NET C
セミナー申し込みフォームがスパムの踏み台？
セミナー申し込みフォームがスパムの踏み台？：星野君のWebアプリほのぼの改造計画（1）（1/4 ページ） 朝7時。いつもより30分早く起きる。星野君、27歳の秋。 今日は、星野君がかねて希望していたWeb担当へ配属替えになる日。星野君の会社では創立記念日の今日を機に、Webに力を入れるための新しいチームが発足するのだ。 足取りも軽く、星野君は会社へ出社する。まだ、「Web担当になる」ということ以外、具体的なことは一切知らされていないが、とてもわくわくしている。 この会社では、人事発令があるときは1人ずつ社長室に呼ばれる。星野君が自席でそわそわしていると、一番に声が掛かった。 社長 「星野君、入りなさい」 星野君は2年ほど前にこの会社へ転職してきた。前職では、簡単なWebアプリケーションの作成やFlash作成などのコーディングが中心のWebデザインの仕事をしていた。Webデザインの仕事を希望
脆弱なWebアプリケーションから脱却する5つのコツ
ショッピングサイトのように多くの個人情報を扱うWebサイトを運営しているのであれば、Webアプリケーションの脆弱性について早急に対策を取るべきだ。Webアプリケーションの安全性を高めるために考えられる対策として5つの方法を提案したい。 Webアプリケーションと個人情報 多くの個人情報を扱うWebアプリケーションの1つに、ショッピングサイトがある。ショッピングサイト上には、利用者の名前や住所、電話番号などの個人情報が蓄積されている。それだけではなく、購入履歴やアンケートといった、他人には知られたくないような情報が登録されていることも多い。通常これらの情報は、データベース（DB）で管理されていることがほとんどだと思うが、WebアプリケーションにSQLインジェクションの脆弱性が存在すると、DB内の個人情報を一気に抜き取られてしまう。Webアプリケーションの脆弱性にはさまざまなものがあるが、個人情
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
https://atmarkit.itmedia.co.jp/fsecurity/
Build seven good object-oriented habits in PHP
PHPでのセキュリティ対策についてのメモ - Liner Note
IBM Developer
Burp Proxy & Burp Suite – Attacking Web Applications
はてなブログ | 無料ブログを作成しよう