ぼくがPDOを採用しなかったわけ(Shift_JISによるSQLインジェクション)
補足 この記事は旧徳丸浩の日記からの転載です。元URL、アーカイブ、はてなブックマーク1、はてなブックマーク2。 備忘のため転載いたしますが、この記事は2010年7月1日に公開されたもので、当時の徳丸の考えを示すものを、基本的に内容を変更せずにそのまま転載するものです。 補足終わり PHPのデータベース・アクセス・ライブラリPDOは、DB接続時の文字エンコーディング指定ができないため、文字エンコーディングの選択によっては、プレースホルダを使っていてもSQLインジェクション脆弱性が発生します。 追記(2011/06/19) ここに来て急にブクマが追加されはじめていますが、このエントリを書いてから状況が改善しています。PHP5.3.6(2011/03/17)にて、PDOでもデータベース接続の文字エンコーディングを指定できるようになりました。この版で、UNIX版のPHPでは解決しましたが、Win
IPA、SQLインジェクション検出ツールをバージョンアップ | OSDN Magazine
独立行政法人 情報処理推進機構（IPA）は2008年11月11日、WebサイトのSQLインジェクション検出ツール「iLogScanner」をバージョンアップしたと発表した。検出可能なSQLインジェクション攻撃パターンを従来の1.5倍に強化。動作プラットフォームにCentOS 5とFirefox 2を追加した。無償で利用できる。 Webブラウザ上で実行されるJavaアプレットのプログラムで、ユーザーが用意したWebサーバのアクセスログファイルの中から、Webサイトの脆弱性を狙った攻撃によく用いられる文字列を検出し、攻撃の痕跡や攻撃が成功した可能性のある痕跡の有無を解析結果としてレポートする。4月から公開、ダウンロード提供している。 新バージョンは、検出可能な攻撃パターンに、「OSコマンド・インジェクション」「ディレクトリ・トラバーサル」「クロスサイト・スクリプティング」「その他（IDS回避を
How to write SQL injection proof PL/SQL
How to write SQL injection proof PL/SQL An Oracle White Paper December 2008 4-December-2008 www.oracle.com/technology/tech/pl_sql/pdf/how_to_write_injection_proof_plsql.pdf NOTE The following is intended to outline our general product direction. it is intended for information purposes only, and may not be incorporated into any contract. It is not a commitment to deliver any material, code, or
【CSL】CSL緊急注意喚起レポート〜新手のSQLインジェクションを行使するボットの確認〜 | LAC
セキュリティソリューション分野でのリーディングカンパニー、株式会社ラック（本社：東京都港区、代表取締役社長:齋藤理、以下ラック）は、自社の研究機関であるサイバーリスク総合研究所のコンピュータセキュリティ研究所から緊急注意喚起レポートを公開しました。 本レポートによると、IDS/IPS、WAF などの防御システムをすり抜け、Webサイトの管理者が気づきにくい手法で攻撃する新手のSQLインジェクション攻撃を行使するボットを確認したと報告されています。また、この新手のSQLインジェクション攻撃はラックのセキュリティオペレーションセンターJSOC（ジェイソック）でも9月30日早朝から検知されており、また、実際の被害に遭ったWebサイトも確認されたため、広く注意喚起する目的で本レポートを公開しました。 本レポートでは、攻撃の特徴、攻撃による影響、対策方法についてそれぞれを詳細に解説しています。一般利
ホワイトリストと出力
(Last Updated On: 2018年6月12日)先週末、まっちゃ445というセキュリティ勉強会にお呼び頂きました。未修正のPHP4/5の脆弱性やパネルディスカッションのパネラーとして話をさせて頂きました。関係者の皆様、いろいろ参考になりました。ありがとうございました。 この勉強会の主題の一つがWeb Application Firewall(WAF)でした。パネルディスカッションのテーマもWAFでした。進行役にはサイバー大学の園田さん、パネラーにはサーボーズラボの竹迫さん、HASHコンサルティングの徳丸さん、そして私の4人でパネルディスカッションを行いました。 3人ともWAFの効用や限界に意見の相違はなかったのですが、私と徳丸さんにはシステム開発に於けるブラックリストとホワイトリストの使い方には意見の相違があったと思います。うまく議論をまとめられなかったのでブログに書きます。 追
リネージュ資料室 - ガイド >> セキュリティ対策 （ウィルス情報 - 感染源サイト）
これまでに確認した主にリネージュ関連のトロイの木馬感染源となるサイトについて、 それぞれの手口をご紹介します。 決してここにご紹介したサイトがすべてというわけではありません。 あくまで、具体的な手口の参考情報としてお読みください。 安全のため悪意あるサイトのURLへはリンクしていませんが、 危険ですので興味本位にでもアクセスしたりしないでください。 なお、以前はどのようなHTMLコードが含まれているのかご紹介していましたが、 Norton AntiVirusなどでそのサンプルHTMLをウィルスと誤検出することがあるため （実際にはウィルスではありませんし、 仮にテキストにコピーしてブラウザに読み込ませても感染しないよう加工してはありましたが）、 サンプルを削除しました。 L2クエスト攻略サイト改竄 XREA利用サイトの改竄 XREA広告改竄 さくらインターネット経路ハイジャック SeedC
誤ったWAFの使い方 – 国連でも
(Last Updated On: 2018年8月8日)WAF(Web Application Firewall)とは、通常のレイヤー2や3（IP, TCP/UDP）レベルのファイアーウォールよりもさらに上のレベルのアプリケーション層のファイアーウォールです。アプリケーションはレイヤー7とも言われ、ネットワークスイッチなどではアプリケーションの中身まで参照してスイッチングするスイッチはレイヤー7スイッチと呼ばれてきましたが、ファイアーウォールではレイヤー7ファイアーウォールと呼ばれる事は少なく、WAFと呼ばれる事が多いです。 WAFの目的は名前からも明白です。Webアプリケーションを脅威から守るために利用されます。WAFはWebアプリケーションをセキュリティ上の脅威から守る事ができますが、昔レイヤー2/3のファイアーウォールの能力が誇大に広告され、誤った認識で利用されていたように、WAFの
SQLインジェクション検出ツール「iLogScanner」を機能強化：IPA 独立行政法人 情報処理推進機構
なお、iLogScannerでSQLインジェクション攻撃が検出された場合や、特に攻撃が成功した可能性が検出された場合は、ウェブサイトの開発者やセキュリティベンダーに相談されることを推奨します。 iLogScannerは簡易ツールであり、ウェブサイトの脆弱性を狙った攻撃のアクセスログが無ければ脆弱性を検出しません。また、実際の攻撃による脆弱性検査は行っていません。攻撃が検出されない場合でも安心せずに、ウェブサイトの脆弱性検査を行うことを推奨します。 IPAとしては、ウェブサイト運営者が、この脆弱性検出ツールを利用することにより、自組織のウェブサイトに潜む脆弱性を確認するとともに、ウェブサイト管理者や経営者に対して警告を発し、セキュリティ監査サービスを受けるなど、脆弱性対策を講じるきっかけとなることを期待しています。 また、ウェブサイトの開発者やセキュリティベンダーが、本ツールを取引先等に紹介
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
ニュースリリース | セキュリティ対策のラック
ウェブサイトの攻撃兆候検出ツール iLogScanner | 情報セキュリティ | IPA 独立行政法人 情報処理推進機構
IPA セキュア・プログラミング講座：Webアプリケーション編