Cross Site Scripting Prevention - OWASP Cheat Sheet Series
Introduction Index Alphabetical Index ASVS Index MASVS Index Proactive Controls Index Top 10 Cheatsheets Cross Site Scripting Prevention Cheat Sheet¶ Introduction¶ This cheat sheet helps developers prevent XSS vulnerabilities. Cross-Site Scripting (XSS) is a misnomer. Originally this term was derived from early versions of the attack that were primarily focused on stealing data cross-site. Since t
Exploiting Unicode-enabled software
IUC 33 October 2009 Chris Weber chris@casabasecurity.com Casaba Security Unicode Transformations And Security Vulnerabilities IUC 33- October 2009 © 2009 Chris Weber • Visual spoofing • Text transformation attacks www.casabasecurity.com What’s this about? IUC 33- October 2009 © 2009 Chris Weber • Why you should care about Visual Integrity… – Branding – Identity – Cloud Computing www.casabasecurit
I8jesus.com is for sale | HugeDomains
Working with hugedomains.com was a quick and easy process. We got to speak to multiple real people located in Colorado without having to wait on hold! Our only complaint was we felt we had to overpay more than this particular domain was worth, and we weren't able to negotiate it down to a level that we felt was fair. However, payment and delivery were seamless, and within a few hours we had all of
アンダーグラウンドの臭いがする「Nine-ball」，アジアに忍び寄る危機
JSRedir-R（通称，GENOウイルスやGumblar）の模倣犯が増加している。FTPアカウントの盗用によるWebコンテンツ改ざんにより，そのWebサイトを閲覧したユーザーのパソコンにウイルスを埋め込む手口である。代表的なものの一つに，4万サイト以上を改ざんしたとされる「Nine-ball」がある。Nine-ballの特徴は，JSRedir-Rの感染メカニズムに過去に流行したサイバー攻撃手法の仕組みを取り込んだことだ。どうやら，攻撃手法がパターン化され，アンダーグラウンド・ビジネスに悪用されつつあるようだ。 今回注目したいのは，改ざんされたWebコンテンツからリダイレクトされる先のサーバーである。5月に話題になったJSRedir-Rが利用していたサーバーは，Adobe ReaderとFlash Playerに的を絞ったものだけだった。これらの攻撃コードは頻繁に微妙な変更を繰り返しており
Don’t use strip_tags, strip_links and sanitize - Ruby on Rails Security Project
Update: This is about earlier releases, Rails 2.0 provides a new sanitize method which uses a white list. Also, strip_tags and strip_links have been updated, the attack vectors below do not work anymore. Rails includes several insecure text helpers, especially strip_tags, strip_links and sanitize. Do not rely on the these as they do not fulfill what the name promises. Here are two examples: Note:
Afrous プラットフォームサービスをリリースしました、番外編 - snippets from shinichitomita’s journal
昔懐かしのAfrousですが、まだ実はやってます。というかうちの会社のメインプロダクトです。だいぶブランド名として使いまわしてる感はありますが。 ということで、本日リニューアルオープンしました。 HugeDomains.com - Shop for over 300,000 Premium Domains 基本的に会社関連の話は会社の方でやるべきだと思うので（市場性とかうんぬん）、ここではそれはおいておいて、中身にどういう要素を使ってるかというところを書きます。 まずは基本的なところ。 Ext JS ライブラリにはExt JSつかってます。これは見た目ですぐわかりそうなところで、前からそうだったんで言う必要もないところですけど、1.1.1ベースだったのを2.1に変えました（ほぼ書き直し）。こういったお仕着せのUIについていやがる人もいるかもしれませんが、まあ実装側としてはこれがあって正直か
window.nameによるクロスドメイン通信 - snippets from shinichitomita’s journal
随分前になるが、SitePenの人 (dojo) が書いたブログに window.nameを使ったクロスドメイン通信についてまとめられていた。 window.name Transport - Blog | SitePen 気になっていたがちゃんと読む時間がなかったので、今ごろ見てみる。抜粋して訳。 window.name による通信 The window.name transport is a new technique for secure cross-domain browser based data transfer, and can be utilized for creating secure mashups with untrusted sources. window.name is implemented in Dojo in the new dojox.io.windowN
Security in Depth: Local Web Pages
$200K 1 10th birthday 4 abusive ads 1 abusive notifications 2 accessibility 3 ad blockers 1 ad blocking 2 advanced capabilities 1 android 2 anti abuse 1 anti-deception 1 background periodic sync 1 badging 1 benchmarks 1 beta 83 better ads standards 1 billing 1 birthday 4 blink 2 browser 2 browser interoperability 1 bundles 1 capabilities 6 capable web 1 cds 1 cds18 2 cds2018 1 chrome 35 chrome 81
再度chromeのクロスドメインセキュリティチェック探訪 « ku
前回のchromeのクロスドメインセキュリティチェック探訪では、なんでinspectorからだとクロスドメインのIFRAMEの中が読み出せるのか、というのがけっきょくわかんないままでしたが、理由がわかりました。 src/webkit/port/bindings/v8/v8_proxy.cppの中にクロスドメインチェックを行うV8Proxy::CanAccessPrivateという関数があり、これがinspectorのようなブラウザ組み込みのページのためのprotocolを特別扱いするようになっていました。 // Check if the current execution context can access a target frame. // First it checks same domain policy using the lexical context // // This
How to write SQL injection proof PL/SQL
How to write SQL injection proof PL/SQL An Oracle White Paper December 2008 4-December-2008 www.oracle.com/technology/tech/pl_sql/pdf/how_to_write_injection_proof_plsql.pdf NOTE The following is intended to outline our general product direction. it is intended for information purposes only, and may not be incorporated into any contract. It is not a commitment to deliver any material, code, or
Webセキュリティ – 正しい認識が必要
(Last Updated On: 2008年9月13日)大規模なWebサイト構築を行っている方ならF5にお世話になっている方も多いでしょう。F5のブログで私と全く同じ意見のブログ – Why it’s so hard to secure JavaScriptを見つけたので紹介します。 Webクライアント側でのページフィルタリングは有用なのか?でシグニチャベースのページフィルタリングは有用では無いと書きましたが、WAF（Web Application Firewall）を販売しているF5の方も同じ考えです。 As we learned from preventing SQL injection and XSS, attackers are easily able to avoid detection by these systems by simply adding white space
chromeのクロスドメインセキュリティチェック探訪 « ku
ブラウザにはjavascriptのコードがそのウインドウにアクセスすることができるか same origin policy に従ってチェックしている部分があります。この部分はセキュリティチェックと呼ばれています(FirefoxではnsScriptSecurityManager, WebKitではSecurityOriginで実装されている)。 Firefoxはjavascriptのオブジェクトひとつひとつに、そのオブジェクトを定義したページのドメインをもとにprincipalを設定し、実行時にアクセスしようとしているオブジェクトのprincipalと実行コンテキストのprincipalが一致するかをチェックすることで same origin policy を実装しています。Firefoxは実行コンテキストがネイティブコードや拡張機能由来のもののときには、常にprincipalが一致するもの
Category:OWASP CAL9000 Project - OWASP
Overview CAL9000 is a collection of web application security testing tools that complement the feature set of current web proxies and automated scanners. CAL9000 gives you the flexibility and functionality you need for more effective manual testing efforts. Works best when used with Firefox or Internet Explorer. CAL9000 is written in JavaScript, so you have full access to the source code. Feel fre
XSS (Cross Site Scripting) Cheat Sheet
XSS (Cross Site Scripting) Cheat Sheet Esp: for filter evasion By RSnake Note from the author: XSS is Cross Site Scripting. If you don't know how XSS (Cross Site Scripting) works, this page probably won't help you. This page is for people who already understand the basics of XSS attacks but want a deep understanding of the nuances regarding filter evasion. This page will also not show you how to
ホワイトリストはどう作る?
(Last Updated On: 2018年8月13日)まずホワイトリストの基本中の基本は”デフォルトで全て拒否する”であることに注意してください。全て拒否した上で許可するモノを指定しないとホワイトリストになりません。 例えば、CSPはホワイトリストで不正なJavaScriptの実行を防止する仕組みです。2016年のGoolgeの調査によると95%のCSP定義が、実際にはJavaScriptインジェクション脆弱性の防止に役立っていない、との調査結果を発表しています。原因はホワイトリストの作り方の基本、全て拒否した上で許可するモノを指定する、を理解していないことにあると考えられます。1 私はいつも基本的に能動的なセキュリティ対策2を選択するようにお勧めしています。能動的なセキュリティ対策とは全ての入力値の厳格なバリデーション処理であり、出力時に過剰とも言えるエスケープ処理です。入力／出力の
PHP と Web アプリケーションのセキュリティについてのメモ
このページについての説明・注意など PHP は、Apache モジュールや、CGI、コマンドラインとして使用できるスクリプト言語です。このページでは、主に PHP における、Web アプリケーションのセキュリティ問題についてまとめています。 Web アプリケーションのセキュリティ問題としては、以下の問題についてよく取り挙げられていると思いますが、これらのセキュリティ問題について調べたことや、これら以外でも、PHP に関連しているセキュリティ問題について知っていることについてメモしておきます。 クロスサイトスクリプティング SQL インジェクション パス・トラバーサル(ディレクトリ・トラバーサル) セッションハイジャック コマンドインジェクション また、PHP マニュアル : セキュリティや、PHP Security Guide (PHP Security Consortium) には、PH
The Problem(s) with OpenID – ID-Corner
On occasion, my colleagues and I are asked whether Credentica is working to ensure that our innovative technology for user-centric identity management will work with OpenID. My short answer – “No” – is sometimes followed by the question “Why not?” Let me explain. OpenID was designed as a lightweight solution for “trivial” use cases in identity management: its primary goal is to enable Internet sur
誤ったWAFの使い方 – 国連でも
(Last Updated On: 2018年8月8日)WAF(Web Application Firewall)とは、通常のレイヤー2や3（IP, TCP/UDP）レベルのファイアーウォールよりもさらに上のレベルのアプリケーション層のファイアーウォールです。アプリケーションはレイヤー7とも言われ、ネットワークスイッチなどではアプリケーションの中身まで参照してスイッチングするスイッチはレイヤー7スイッチと呼ばれてきましたが、ファイアーウォールではレイヤー7ファイアーウォールと呼ばれる事は少なく、WAFと呼ばれる事が多いです。 WAFの目的は名前からも明白です。Webアプリケーションを脅威から守るために利用されます。WAFはWebアプリケーションをセキュリティ上の脅威から守る事ができますが、昔レイヤー2/3のファイアーウォールの能力が誇大に広告され、誤った認識で利用されていたように、WAFの
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
http://svn.techno-weenie.net/projects/plugins/white_list/
SELinux and Chrome