ぼくがPDOを採用しなかったわけ(Shift_JISによるSQLインジェクション)
補足 この記事は旧徳丸浩の日記からの転載です。元URL、アーカイブ、はてなブックマーク1、はてなブックマーク2。 備忘のため転載いたしますが、この記事は2010年7月1日に公開されたもので、当時の徳丸の考えを示すものを、基本的に内容を変更せずにそのまま転載するものです。 補足終わり PHPのデータベース・アクセス・ライブラリPDOは、DB接続時の文字エンコーディング指定ができないため、文字エンコーディングの選択によっては、プレースホルダを使っていてもSQLインジェクション脆弱性が発生します。 追記(2011/06/19) ここに来て急にブクマが追加されはじめていますが、このエントリを書いてから状況が改善しています。PHP5.3.6(2011/03/17)にて、PDOでもデータベース接続の文字エンコーディングを指定できるようになりました。この版で、UNIX版のPHPでは解決しましたが、Win
auのSSLでのCookieの挙動がおかしい - maru.cc@はてな
auはCookieを使うことが出来る。キャリアの公式情報としても公開されている。 「404 Not Found」 EZweb対応端末においてCookieは、EZサーバに保管されます。 ただし、WAP2.0ブラウザ搭載端末ではEnd to EndのSSL通信時は端末に保管されます。 なお、EZサーバに保管されたCookieはKDDI設備のメンテナンスなどによりリセットされる場合があります。 つまり httpの非SSL領域では、ゲートウェイ（EZサーバ）がCookieを保管する httpsのEnt to EndのSSL領域では、端末がCookieを保管する ということだ。 これが結構曲者である。 さらに、公式な資料はないけど、端末の挙動から想像するに以下のような挙動をする。 http領域では、GWと端末の両方のCookieを送ってくる http領域で、GWと端末に同じ名前でCookieが設定さ
ESET Smart Security のパーソナルファイアウォール機能バージョン1047(20090525)の通信障害について - キヤノンITソリューションズ：ESET Smart Security / NOD32アンチウイルス：サポート情報：[an error occur
ESET Smart Security のパーソナルファイアウォール機能バージョン1047(20090525)の通信障害について [現象] ESET Smart Security V3 および V4.0をご利用の一部のユーザーさまにおきまして、インターネットにつながらなくなる、通信ができなくなるなどの現象が発生しております。 [原因] ※ 2009年6月26日 14:00 更新 ESET Smart Security のパーソナルファイアウォール機能における侵入検出の判定に誤りがありました。 [対象のウイルス定義データベースのバージョン] 4179(20090622)以降のバージョン ※4179(20090622)は、2009年6月23日02:00頃配信 [対象のパーソナルファイアウォールのバージョン] 1047(20090525) ※バージョンの確認方法は こちら をご覧ください。 ※
「Adobe Reader」にまたもパッチ未公開の脆弱性
米国時間4月28日、人気のPDFリーダー「Adobe Reader」の脆弱性が報告された。これを受け、セキュリティ専門家は同ソフトでJavaScriptを無効にするよう勧めている。 米コンピュータ緊急事態対策チーム（US-CERT）の勧告によると、問題の脆弱性はJavaScript関数「getAnnots()」のエラーに起因するもののようだ。このエラーが悪用されれば、コードがリモート実行されるおそれがあるという。 この勧告には「US-CERTはユーザーおよび管理者に対し、リスクを軽減するためAdobe ReaderのJavaScriptを無効にすることを奨励する」とある。Adobe ReaderのJavaScriptを無効にするには「『環境設定』ダイアログボックスを開く。『編集』から『環境設定』を選んで『JavaScript』を選択し、『Acrobat JavaScript を使用』のチェ
完全放火マニュアル（ブログ的な意味で） - VIPPER vs VIPブログ連合
そろそろ書いてもいいかと思った。 誰かが今後の祭りに役立ててくれればと思う。 #contents ---- *放火側の鉄則 祭りの基本は短期決戦。~ 勢いで閉鎖まで押し切れば勝ち、それ以外は負け。~ 放火側の最重要課題は勢いの維持。 **２ちゃんねるでやれ 2chでスレを立ててやるのが基本。理由はいくつかある。 -新規参入者が増える 参加直後はテンションが高く勢いがある。~ わざわざMixiとかしたらばに移り勢いを減らすのは愚策。 -相手に精神的ダメージを与える 「便所の落書き」と言ってるヤツほどそれを気にしている。 **まとめサイトを作れ 2chのスレだけで現状を把握できるわけが無い。~ 「見れば祭りに参加できる」状態のまとめサイトを作る事で、参加者を増やす事ができる。~ その際、更新は基本的に自分ひとりで行う覚悟をしておく事。~ 既存ページの編集権限は自分だけのものにするべき。~ Wi
『Firefox（Win）で、記事欄にクリップボードからのペーストができない場合の対処法』
10月12日のポータル部分のドメイン変更の影響により、Firefox で記事欄にペーストできなくなりました。 ４月の最悪なリニューアル後も、記事欄にクリップボードからペーストしようとすると、セキュリティに関する警告メッセージが出ました。 Firefox で javascript にクリップボードへのアクセスを許可しないようになっているようです。 ４月のときに対処したのですが、ポータル部分のドメイン変更が行われたため再度修正しました。 この対処は、Firefox 用のプロファイルを作成・編集することで回避することができます。（Setting Prefs for the Mozilla Rich Text Editing Demo ） 以下、その対処法です。 1. Firefoxを終了します。 2. 「user.js」ファイルは初期にインストールした状態では存在しないので、テキストエディタ等で
IT news, careers, business technology, reviews
Heads on: Apple’s Vision Pro delivers a glimpse of the future
www.shibata.tv - Essay - ProFTPD 覚え書き FFFTP対策とかウィルス対策とか編
とある会社の共用レンタルサーバに使ってるウェブサーバをハードウェアごとリプレースするなんて計画がありまして、どうせならセキュリティ性を向上してサービスの品質を高めようっちゅう至極最もな意見が誰からともなく出たりしまして、その対応のひとつとして「じゃあ、FTPサーバでもウィルスチェックしますか」なんて自分の首を締めるだけの不用意な発言をサーバ管理者(＝サーバ構築担当者＝俺)がぶっちゃけてしもたわけですわ、はい。 そんな発言も記憶の彼方に忘れ去られ、ようやくほとんどの客のウェブサイトの動作チェックを終えてほっと一息。 そんなリプレース 3日前になって、急に「FTPサーバでウィルスチェックしよう問題」が発生。 何で今頃かっちゅうと・・・、 F-Secure Linuxサーバセキュリティを買ってもらえなさそうやしっ！！。 ぎゃふん。 88,000円やで。 年間の保守費用
【コラム】Windows XPスマートチューニング (128) UPnP機能を完全に無効にする | パソコン | マイコミジャーナル
こんにちは、阿久津です。このうだる暑さの中に悲報が舞い込んできました。ネットで報道されたことで初めて知ったのですが、Proxomitronの作者であるScott R. Lemmon氏が5月1日に亡くなったそうです。享年36歳だったとのこと。筆者は以前に同ツールの記事を書いたこともあって思い入れがあり、驚きと同時に何とも切なくなってしまいます。 ご存じない方へ簡単に説明すると、同ツールはWebサーバから受信するデータをパターンによって書き換え、ポップアップ広告を除去したり、任意の機能を追加するWebフィルタリングツールです。ML上のトラブルが原因で開発は終了していましたが、Proxomitronの利便性は非常に高く、躍起になってカスタマイズしていた頃から数えて4年近く経つものの、いまだに使い続けている数少ないオンラインソフトのひとつでした。 現在では当時ほど盛り上がりはありませんが、コミュニ
特定のサブディレクトリに別のBASIC認証をかける - Do You PHP はてブロ
BASIC認証のかかっているディレクトリがあり、そのサブディレクトリに別のBASIC認証をかけたい場合があったのでメモ。 たとえば、http://example.com/hoge/ にすでにBASIC認証がかけられているが、http://example.com/hoge/fuga/ に別のBASIC認証「だけ」をかけたい、といった場合です。 簡単に考えると、ディレクティブやディレクティブを2つ並べればうまくいきそうなもんですが、両方の認証がかかってしまいます。 そこで、ディレクティブとディレクティブの両方を使うと期待通りに動作しました。具体的な設定例は次の通り。 <Location ~ "^/hoge/fuga"> AuthType Basic AuthUserFile /path/to/.htpasswd.fuga AuthName "Enter password for fuga" R
Bypass amavisd-new scanning HOWTO
Bypass amavisd-new scanning - Postfix integration There is a disclaimer for this document located at http://www200.pair.com/mecham/spam/. This 'How do I bypass amavisd-new?' topic comes up often on both the Postfix and the amavisd-new mailing lists. While it appears there should be a simple answer, and often there is, it must first be determined exactly what the mail administrator is trying to acc
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
Archived MSDN and TechNet Blogs | Microsoft Docs
日本ベリサイン - Enterprise & Internet Security Solutions
SANS.edu Internet Storm Center - SANS Internet Storm Center
BIGLOBEなんでも相談室サービス終了のお知らせ
https://www.jpcert.or.jp/at/2008/at080007.txt
SElinux and FC5 - Cacti
VPN_XP
How to I handle a daemon that wants to write to a file in etc_t?
New Features in Fedora 8 - disable dontaudit rules