XSS (Cross Site Scripting) Cheat Sheet Esp: for filter evasion By RSnake Note from the author: XSS is Cross Site Scripting. If you don't know how XSS (Cross Site Scripting) works, this page probably won't help you. This page is for people who already understand the basics of XSS attacks but want a deep understanding of the nuances regarding filter evasion. This page will also not show you how to

何故かあたり前にならない文字エンコーディングバリデーション | yohgaki's blog ってあるように、いまいち文字コードの不正な判定による危険性ってのが分かってない。 SJISの問題は、（2/3）SQLインジェクションを根絶！セキュア開発の極意 - 第5回■注目される文字コードのセキュリティ問題：ITproの記事がわかりやすかった。 というか、やっぱりPHP使ってると誰でも一度は「なんじゃこの『￥』は？」って思うもんなんで。 なるほど、確かに↓の図のように「あるバイト」が2つの意味を持つっていう文字コード形態はやばいんだなと。 EUC-JPはそんなことはしないで、1つのバイトには1つの意味しか取らせない。 だけど、これでも文字化けが起こることがある。経験的には、「マルチバイトをXX文字で切り落としたい」とかやった場合。ちゃんと文字コードを判定してくれるPHPでいえばmb_subst

我らがはてなの OpenID ですが、残念ながら 1.1 のみの対応となっています 認証を開始する前に、はてなIDを入力しなければならない ワンクリックで認証できるのは 2.0 から だからコンシューマのログイン画面も、はてなだけちょっと扱いが違う たとえば wonderfl build flash online | 面白法人カヤック 目立って逆にかっこいい… しかし、不便ですよね そこで本日ご紹介するのが、はてな OpenID 用 OP Identifier です http://ido.nu/ayaya/hatena_openid こいつは、はてなの OpenID を、擬似的に 2.0 っぽく動かすためのリダイレクタです 前述の例でいうと wonderfl build flash online | 面白法人カヤック に「はてなでログイン」というボタンを置くことができます 詳細は読み飛ばし

任天堂とはてなが提携して「うごメモはてな」が発表されましたが、老若男女問わず不特定多数が参加するお絵描き投稿の場というのは思った以上に混沌とすることが予測されます。 「こくばん.in」ではユーザ数こそ圧倒的に劣るものの利用年齢層がDSiの購入層と近いと考えているので、過去に起こった事例に当てはめて「うごメモはてな」で発生しうる事態を挙げてみます。 1．通報するはてな市民のモチベーション低下 2．不特定多数とピクトチャットができる 3．アニメーションを利用した不適切な投稿の隠蔽 4．他人の作品に書き足すことによる弊害 5．悪質なユーザを遮断できない 6．狙い撃ち通報 7．通報が追いつかない あくまで一部ですが、事例も含め共有しておいた方がいいと思ったので簡単ですがまとめてみました。 いずれも起こらないことに超したことはありません。 1．通報するはてな市民のモチベーション低下 まず、はてな市民

Gmail が OpenID Provider になったので、 google.com とか gmail.com とかでログインできるのかと思いきや、Yahoo! や mixi はドメイン入れれば OK だけど、Google はちょっと違うのね。 Google のエンドポイントはこちら。 https://www.google.com/accounts/o8/id （httpも可） 最低でも google.com/accounts/o8/id まで入力しないといけないので、やっぱり「Gmail アカウントでログイン」というボタンが必要か。 前後の記事へ « iPhone で iKnow! ができ トップ 未来のなでしこ Japan を応援しに »

2007年12月にOpenID 2.0の最終仕様がリリースされたばかりだというのに、気の早い人がいるもので、すでにOpenIDコミュニティでは「OpenID 3.0」という言い方をする人が出てきている。OpenIDの受容が急速に進んでいる理由の1つは、用途を限定してシンプルにしたことにあるのだろうが、デジタル・アイデンティティが解決すべき課題は幅広い。例えば業界団体のリバティ・アライアンスがこれまでに策定した仕様や取り組んでいる仕様案を見れば、OpenIDが解決しつつある問題が、巨大なパズルの一部分に過ぎないことがよく分かる。リバティでは例えば“Advanced Client”とか“Smart Client”という呼び名で、ネットに接続できないモバイル端末でユーザー認証を行うメカニズム「Liberty Alliance ID-WSF Advanced Client 1.0 Specific

mixiがOpenIDに対応したということで早速Google App Engineで実装してみた。以前のエントリで紹介したがGoogle App Engineのサンプル集にOpenID ConsumerというWebアプリがあるので、そのソースコードを利用させてもらった。 しかし、実際に使ってみればわかるのだがこのコードにはいくつかのバグ(とGoogle App Engineの制限)があってちゃんと動かない。下記のリンク先は正常に動くように修正したものだ。 mixi OpenID テスト 以下にバグの箇所とその修正コードを示す。 consumer.py 344-345行目の以下のコードを self.response.set_status(302) self.response.headers['Location'] = redirect_url 以下のように修正する。 self.respons

ケータイの端末ID・ユーザIDの取得についてまとめてみました Tweet 2008/9/8 月曜日 matsui Posted in au, DoCoMo, PHP, SoftBank | 12 Comments » ケータイサイトでは、端末ID・ユーザIDを取得する、という処理をよく行うことがあります。 ログインの度に、ユーザ名とパスワードを入力するというのは、ケータイの操作性の面からも現実的ではないためです。 今回はそんな各種IDの取得方法について、PHPを使った場合を例にとりまとめてみました。 ※ここでは端末IDを「ケータイに振られた個体識別情報（製造番号など）」、ユーザIDを「契約に紐付くID」として解説しています。 ドコモ端末での取得方法 1. utnを使う ドコモ端末ではutn属性を使うことによって、フォームやリンクから個体識別情報を取得することができます。 対応機種は、iモー

SceneCritique IRC (Internet Relay Chat)とは、元来、専用クライアントを用いてテクストベースでリアルタイムの対話を行うためにインターネット上に構築されたネットワークであった. 就中ここSceneCritique(SC)では一般のIRCネットワークと異なる特性を持つサービスが稼働している. 従来のIRCシステムへの補遺として、SCは以下を提供する: 1. Webブラウザによるログイン 2. ユーザアカウント/チャンネルメンバーシップの包括管理システム 3. ユーザホスト/IPアドレス非表示(一意性は保持) 4. 日本語対応 これらにより、SCでは、ユーザがプライバシーを維持しつつ高品質なIRCサービスを享受することが可能である. [SCへ参加] [ユーザコントロールパネル] IRCクライアントでログインする場合、サーバアドレスは irc.scenecrit

python-openidを直接使ってOpenID認証の流れを確認してみた。 URLとか直接書いちゃってて適当なプログラムだけど、とりあえず認証したURLを取得して表示するまで。 greetingとか、sampleappはpaste_deployのテンプレートに入ってるやつが残ってるだけなので、意味はないです。 signin が認証フォーム submitSignin でopenidのconsumerモジュールを使って、認証サーバーにリダイレクトすると同時に、認証セッションを作成。 認証後verifyに戻ってくるので、認証セッションを終了させて、結果を取得する。 privateを保護するようなサンプルを考えていたんだけど、まだやってない。 passurlをセッションに置いてとか、middleware書くのもだるいので、とりあえずこんなとこ。 OpenID2.0では、Attribute Exc

(Summary in English of this entry) Utilizing Yahoo! Site Explorer, it is possible for third parties to prevent your site by being displayed in search results. The reason is that the meta tag used for administrative rights confirmation is accepted even in the the page body even if it is html escaped. 3rd parties can gain control of your site simply by adding a comment to one of your pages. こんにちはこんに

iPhoneの一般修理店は予約なしでも来店できる？ 基本的には飛び込みで修理に行ってもOK iPhoneを置いていたソファにうっかりと腰かけてしまい、パネルを割ってしまった、こんな時はスマホの一般修理店へ行きましょう。画面割れは、スマホやタブレットの故障原因として非常に多いものです。予約なしで突然お店に行っても平気かしらと、不安に思う方々もいらっしゃるかもしれません。結論としては特に問題はなく、予約なしで訪問しても画面割れの修理はお願いできます。 ただし他のサービス業のお店同様、予約なしの場合、お店が混雑していると順番待ちをしなければいけないです。特に繁盛しているスマホ修理のお店だと、行列が店内で出来ており、予約なしだと、自分の順番が巡ってくるまで長時間待たされる可能性があります。平日の朝、昼なら利用客が少ない場合が多く、飛び込みでも比較スムーズに修理が頼めます。 予約は入れた方が時短に、