文字コードに起因する脆弱性を防ぐ「やや安全な」php.ini設定
補足 この記事は旧徳丸浩の日記からの転載です（元URL、アーカイブ、はてなブックマーク1、はてなブックマーク2）。 備忘のため転載いたしますが、この記事は2010年9月27日に公開されたもので、当時の徳丸の考えを示すものを、基本的に内容を変更せずにそのまま転載するものです。 補足終わり PHPカンファレンス2010にて「文字コードに起因する脆弱性とその対策」というタイトルで喋らせていただきました。プレゼンテーション資料をPDF形式とslideshare.netで公開しています。 文字コードのセキュリティというと、ややこしいイメージが強くて、スピーカーの前夜祭でも「聴衆の半分は置いてきぼりになるかもね」みたいな話をしていたのですが、意外にも「分かりやすかった」等の好意的な反応をtwitter等でいただき、驚くと共に喜んでいます。土曜にPHPカンファレンスに来られるような方は意識が高いというの
ぼくがPDOを採用しなかったわけ(Shift_JISによるSQLインジェクション)
補足 この記事は旧徳丸浩の日記からの転載です。元URL、アーカイブ、はてなブックマーク1、はてなブックマーク2。 備忘のため転載いたしますが、この記事は2010年7月1日に公開されたもので、当時の徳丸の考えを示すものを、基本的に内容を変更せずにそのまま転載するものです。 補足終わり PHPのデータベース・アクセス・ライブラリPDOは、DB接続時の文字エンコーディング指定ができないため、文字エンコーディングの選択によっては、プレースホルダを使っていてもSQLインジェクション脆弱性が発生します。 追記(2011/06/19) ここに来て急にブクマが追加されはじめていますが、このエントリを書いてから状況が改善しています。PHP5.3.6(2011/03/17)にて、PDOでもデータベース接続の文字エンコーディングを指定できるようになりました。この版で、UNIX版のPHPでは解決しましたが、Win
Unicode の雪だるま - bkブログ
Unicode の雪だるま Unicode Snowman for You というサイトを知りました。Unicode の雪だるま (U+2603 SNOWMAN ☃) が表示されるだけのサイトです。が、ソースを見ると font-face で EOT 形式のウェブフォントが使われていることに気づきました。 この EOT (Embedded Open Type) 形式のウェブフォントは IE しか対応していないようです。IE で表示するとこのような雪だるまが表示されました。これはおそらく Arial Unicode MS の雪だるまです。ちょっとこわいような。。 一方、他のブラウザで表示すると、このような雪だるまが表示されました。これは私がデフォルトのフォントに設定しているメイリオの雪だるまです。これはかわいい。意外なところにも力が入っています。
何故かあたり前にならない文字エンコーディングバリデーション
(Last Updated On: 2018年8月8日)私が4年前（2005年）に「Webアプリセキュリティ対策入門」を執筆していた時には、既に壊れた文字エンコーディングなどの不正な文字エンコーディングを利用したJavaScriptインジェクションやSQLインジェクション攻撃は比較的広く知られていました。この問題は当時のスラッシュドットジャパンでも取り上げられていました。/.で取り上げられたので、そこら中のWebサイトとユーザが被害に合うのでは？とヒヤヒヤしたので良く覚えています。 不正な文字エンコーディングを利用した攻撃は、文字エンコーディングを厳格に取り扱い、文字エンコーディングをバリデーションすれば無くなります。これを怠ると、システムのどこで問題が発生するか予想できなくなります。つまり、いい加減に文字エンコーディングを取り扱うと安全なシステムは作れないのです。 参考：エンジニア向けに
Mojibake - Wikipedia
This article needs additional citations for verification. Please help improve this article by adding citations to reliable sources. Unsourced material may be challenged and removed. Find sources: "Mojibake" – news · newspapers · books · scholar · JSTOR (March 2023) (Learn how and when to remove this template message) The UTF-8-encoded Japanese Wikipedia article for Mojibake displayed as if interpr
HTTP要求経由のジオコーディング - Scrapcode@はてなダイアリー
Google Maps APIとLWPを使って、地名やキーワードから住所を取得(ジオコーディング)していました。が、いつからか取得データが英語表記になっていることに気付きました。 しかし、ブラウザのURL欄に直接データ取得のURLを書いてアクセスしても、日本語で表示されます。 簡単なものでテスト。 #!/usr/bin/env perl use strict; use warnings; use utf8; use LWP::UserAgent; use URI::QueryParam; my $uri = URI->new( 'http://maps.google.com/maps/geo' ); $uri->query_form_hash( q => '大阪市', output => 'xml', key => 'APIキー', ); my $ua = LWP::UserAgent->
本当は怖い文字コードの話 記事一覧 | gihyo.jp
運営元のロゴ Copyright © 2007-2024 All Rights Reserved by Gijutsu-Hyoron Co., Ltd. ページ内容の全部あるいは一部を無断で利用することを禁止します。個別にライセンスが設定されている記事等はそのライセンスに従います。
MySQL4.1 で dump ファイルが文字化けした際の対処法 | バシャログ。
先日、シーブレインのサイトをリニューアルいたしました。 見た目の変更もさることながら、 内部的には MT を随所に組み込み、 更新のし易いサイトへと変貌を遂げました。 ぜひ一度ご訪問ください。ぜひぜひ。ぜひ。 さて。 MT を使う際に、MySQL を使用しました。 MySQL のバージョンは 4.1。 ここでピンときた方も多いと思いますが、 MySQL の 4.1 は文字コード関係でいろいろと問題があります。 いろいろと苦労したのでその旨を書き記しておこうと思います。 クライアントさまの DB はきちんと設定して使っていましたが、 自分の所の DB は特に何もせずデフォルトのままで使用していました。 MySQL の 4.1 は、デフォルトで使用すると、 ほとんど全ての文字コードが「latin1」となります。 しかし、その状態でバックアップをとろうと mysqldump を行うと、 「lat
MySQL 文字化け問題を本気で直す
mysql> status; -------------- mysql Ver 14.7 Distrib 4.1.20, for redhat-linux-gnu (i386) using readline 4.3 Connection id: 36 Current database: staff2006 Current user: maiha@localhost SSL: Not in use Current pager: lv Using outfile: '' Using delimiter: ; Server version: 4.1.20 Protocol version: 10 Connection: Localhost via UNIX socket Server characterset: latin1 Db characterset: latin1 Client char
MySQLのキャラクターセット - Ogawa::Memoranda
Posted by: Hirotaka Ogawa @ July 04, 2006 05:53 PM | ドキュメントを読まない私が、いまさらMySQLのキャラクターセットで結構面倒な作業をさせられたのでその記録。 もともとMySQL 4.0.xを使っていた。 「skip-character-set-client-handshake」オプションが導入された4.1.15が出たタイミングで、4.1.15に移行した。 このとき、「--with-charset=latin1」でコンパイルされ、かつmy.cnfなどでdefault-character-setを特に指定していないMySQL 4.1.15で、4.0からアップグレードした。したがって各データベースのテーブルには、「DEFAULT CHARSET=latin1」が付与された。 「skip-character-set-client-hands
SET NAMESは禁止
(Last Updated On: 2018年8月13日)MySQLには文字エンコーディングを変更する「SET NAMES」SQL文が用意されています。（PostgreSQLも同様のSQL文、SET CLIENT_ENCODINGがあります）この機能はSQLコンソールからは使ってよい機能ですが、アプリケーションからは使ってはならない機能です。SQLインジェクションに脆弱になる場合があります。 Ruby on Railsの本を読んでいて、ActiveRecordを説明している部分にMySQLの文字エンコーディングを変更する場合の例としてSET NAMESが利用されていました。アプリケーションからはSET NAMESは使ってはならない事を周知させるのは結構時間が必要かなと思いました。 PHPも5.2の途中からMySQLモジュールにlibmysqlの文字エンコーディング設定APIのラッパー関数が
PalmGate
■PalmGateとは PalmGateとは、PalmOS5.4以降のマシンに標準搭載されたBlazerにおける、 日本語サイト文字化け問題を解決する為の文字コード変換サービスです。 本サービスはPalmOS端末に特化したサービスであり、該当機種をお持ちのPalmユーザの方なら、どなた様でも無料でご利用頂けます。 ■PalmGateアプリのインストール PalmGateをご利用頂くには、マシン本体にPalmGateアプリをインストールする必要があります。 PalmGateアプリは、以下よりダウンロードし、解凍後マシン本体へ導入してください。 本アプリにより端末をPalmOSに限定する事で、サーバトラフィックを抑え、快適にご利用頂けるよう配慮いたしました。 ■パスポートの取得 PalmGateのサービスを利用するにはパスポートが必要です。 PalmGateアプリを起動して頂きますと、まず以下
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
