Docker が俺の Postgres を勝手に全世界に公開しやがって色々怒られた話 - Qiita
こちらは 「本番環境などでやらかしちゃった人 Advent Calendar 2023」 22 日目の記事になります。 はじめに Happy Coding!🤶 みなさん年末いかがお過ごしでしょうか。 私は卒論の抄録執筆が終わらないし、今年体調崩しまくってるしで泣きそうです😭 この記事では「Docker が俺の Postgres を勝手に全世界に公開しやがって色々怒られた話」について述べていきたいと思います。 ※所属団体の関係で、技術的な話以外のところの一部で詳しく話せないところはぼかしたり、デタラメなことで置き換えたりしています。ご了承ください。 背景 私は大学 4 年で、働いているという訳でもなく、 個人やちょっとした団体で Web アプリや API サーバなどを作って、みんなが使えるようにしています。 今回は数年前に起こった、とある団体でのお話です。 サービス構成 そこではオンプレ
これってどーなの？大ヒット映画『君の名は。』に学ぶセキュリティ | NO MORE 情報漏えい
こんにちは。フリーライターの山田井ユウキです。 私たちが普段楽しんでいる映画、漫画、ゲームなどの創作物。フィクションとはいえ、なかには「これってセキュリティ的にどーなの？」と思うような場面もあったりなかったり…。 そんなあれやこれやについて、セキュリティのプロフェッショナル・徳丸浩先生にまじめに聞いちゃおうというコーナーです。 第一回のテーマはあのヒット作『君の名は。』 【あらすじ】 東京在住の男子高校生・瀧（たき）と、飛騨の田舎町に暮らす女子高生・三葉（みつは）。ある朝目を覚ますと瀧は三葉に、三葉は瀧になっていた。週に2〜3度訪れる「入れ替わり」現象に戸惑う二人だったが、スマートフォンやノートに残したメッセージを通して次第に打ち解けていく－－。
マイナンバー歴44年の僕から一言
あなたのマイナンバーは届いたかな？ 実は僕、皆さんより一足先にマイナンバーを持っているんだ。なんと44年前からね。 ということで今回は"マイナンバーの先輩"として色々話させてもらいましょう。 もちろん、僕が持っているのはアメリカのものだから、正確にいうと「マイナンバー」ではない。アメリカの場合はSocial Security Number(社会保障番号、略してSSN)と呼ばれている。 考えてみれば英語で「マイナンバー」とは「私の番号」という意味。"Can I have your my number?"（あなたの私の番号を教えてください）は、結構ばかばかしいセンテンスとなってしまう。日本の役所の方々は英語でやり取りするときはどう対応するのかな？ 時は1936年、大恐慌の真っ最中だった。ニューディール政策の一環として発足した社会保障プログラムに合わせ、SSNは発行された。当時は年金の管理用だっ
STOP!パスワード使い回し! - 時系列でたどるドワンゴの不正ログイン被害
JPCERTコーディネーションセンターが2014年よりスタートした「STOP!パスワード使い回し!」というキャンペーンがあります。ほかのサービスで使用しているパスワードを使い回すことで、そのパスワードが外部に漏れた場合、あらゆるサービスから自分の個人情報が漏れる可能性があるため、使い回しには多大なリスクがあると言われています。 今回、マイナビニュースでは特集として、JPCERTコーディネーションセンターや日本を代表するネット企業10社から寄稿いただき、「なぜパスワードを使い回してはいけないのか」「パスワードを使い回すとどのようなセキュリティリスクがあるのか」など、具体的な事例を交えて解説を行います。 5回目は、ドワンゴ プラットフォーム事業本部 共通基盤開発部 担当部長 高橋 健太氏による寄稿です。 【特集】STOP!パスワード使い回し! ヤフー、楽天らネット企業10社が語る"リスク"と"
/epgrec/へのWebアクセスは何がしたいのかを探る - ろば電子が詰まつてゐる
www.morihi-soc.netさんの「ハニーポット観察記」を見ていたら、EPGrecへのアクセスの話が出てきていた(http://www.morihi-soc.net/?p=66)。 [14/Oct/2013:00:48:49 +0900] "GET /epgrec/LICENSE.txt HTTP/1.1" 200 7637 "-" [14/Oct/2013:00:48:57 +0900] "GET /epgrec/LICENSE.txt HTTP/1.1" 200 7637 "-"ちょうどうちのハニーポットもどきApacheにもこの/egprec/アクセスが来ていたので、せっかくだからこのアクセスをしている人たちは何をしようとしているのか、観察記をまとめてみる。 EPGrecとは何か EPGrecの公式サイトは http://www.mda.or.jp/epgrec/ で、これは
AbuseIPDB - IP address abuse reports - Making the Internet safer, one IP at a time
Report abusive IPs engaging in hacking attempts or other malicious behavior and help fellow sysadmins! Report IP Now What is AbuseIPDB? AbuseIPDB is a project dedicated to helping combat the spread of hackers, spammers, and abusive activity on the internet. Our mission is to help make Web safer by providing a central blacklist for webmasters, system administrators, and other interested parties to
「Tor」使い不正アクセス 17歳少年逮捕 NHKニュース
発信元の特定を難しくする特殊なソフトを使って、東京の出版社のサーバーに不正にアクセスしたなどとして、川崎市の１７歳の少年が警視庁に逮捕されました。 少年は、企業などにサイバー攻撃を繰り返し、その状況をネット上に書き込んでアピールするハッカーを名乗っていて、警視庁は、ほかにもサイバー攻撃を繰り返していたとみて調べています。 警視庁によりますと、少年はサーバー会社を装って出版社の社員にメールを送りつけて偽のページに誘導し、盗み取った社員のＩＤなどを使って出版社のサーバーに侵入したということです。 調べに対し、少年は容疑を認めているということです。 警視庁などによりますと、少年はネット上で「０ｃｈｉａｋｉ」と名乗り、企業などにサイバー攻撃を繰り返し、その状況をツイッターなどでアピールするハッカーとして知られています。 出版社の事件でもツイッターに「ターゲットは決まった」とか「ハードディスクを使え
HashiCorp社が出したVaultとはどういうものなのか - 理系学生日記
HashiCorp 社から、新たなソフトウェアである Vault by HashiCorp がリリースされました。 - HashiCorp Blog: Vault この Vault について、Getting Started を一通り実施した後に Docs の一部を確認してみたので、簡単にその内容をまとめてみます。 Vault とは何なのか Vault を一言で言うと、機密情報(Secret) を管理するツールです。 これだけ IT が広がっている現在、機密情報の範囲も広がり続けており、データベースにアクセスするためのユーザ/パスワードや、連携するシステムの API キー等、多岐に渡ります。こういった情報、おまえのところのシステムではどう管理してた？XML に生で書いてる、あるよねそういうの。jdbc.properties に直書き、うんうんわかるわかる。ちょっとがんばったら crypt で
脆弱性"&'\ Advent Calendar 2014 (17日目) - 葉っぱ日記
この記事は脆弱性"&'<<>\ Advent Calendar 2014の17日目の記事です。今日は少し昔話をしようと思います。がはは。 かつて、日本製TwitterのようなWassrというサービスがありました。当時、Twitterは数日に一度くらいはサービスが落ちていて、Twitterユーザーも「またか」と思いながら我慢して使うようなサービスであり、Twitterが落ちるたびにWassrはユーザーを増やすとともに、画像の添付のように当時Twitterにはまだなかった機能をどんどんアグレッシブに取り入れていく、使っていて楽しいサービスでした。 さて、そんなWassrがある日絵文字機能を導入しました。当時はUnicode絵文字もなくスマートフォンも普及しておらず、主にレガシーな携帯電話で使える絵文字をなんとかWeb上でも使えるようにしたという感じのものでした。 絵文字をパレットから選択すると
プードルも結構だけど、クッキーにセキュア付いてますか？
Hiromitsu Takagi @HiromitsuTakagi あなたの利用サイト、クッキーにセキュア付いてます？ Safariで確認 ①ログインし、登録情報変更の画面へ行き、https://であることを確認 ③コマンド+オプション+Iで「Webインスペクタ」を表示 ④リソースでcookieを選ぶ ⑤「保護」にチェック有りが1個以上あるか 2014-12-14 23:35:37 ナカムラッコ @nakamurakko ANAから「パスワード変更するためにログインしてね」って連絡来てるけど、ログインIDとパスワードはSSLで暗号化していないトップページで入力する事になっている… 2014-09-05 12:09:06
高木浩光＠自宅の日記 - やはり退化していた日本のWeb開発者「ニコニコ動画×iPhone OS」の場合
■ やはり退化していた日本のWeb開発者「ニコニコ動画×iPhone OS」の場合 一年前、「退化してゆく日本のWeb開発者」という題で、ケータイWebの技術面での蛸壺化について次のように書いた。 iPhoneに契約者固有ID送信機能が搭載される日 （略）こうして退化してゆくケータイWebが、日本のスタンダードとなってしまい、いつの日か、PC向けの普通のインターネットまで、単一IDの全サイト送信が必須になってしまうのではないかと危惧した。 （略）iPod touchでNAVITIMEを動かしてみたところ、下の図のようになった。 （略）契約者固有IDがないとどうやって会員登録システムを作ったらいいのかわからないんじゃないのか……というのはさすがに穿ち過ぎだと思いたい。NAVITIMEからソフトバンクモバイルに対して、契約者固有ID送信用プロキシサーバの用意を要請している……なんてことがなけれ
IPAにIPAの脆弱性を報告した - kusano_k’s blog
JVNDB-2014-000133 iLogScanner におけるクロスサイトスクリプティングの脆弱性 IPAはソフトウェアやウェブアプリケーションの脆弱性関連情報の届け出を受け付けている。 IPAがiLogScannerというツールを出していることを知った。 Apacheとかのログを入力すると攻撃の兆候を検出してくれるという便利そうなツール。 IPAのソフトに脆弱性があったら面白いと思い、探すことにした。 とりあえず、まずは動かしてみようと、ksnctfのログを食わせてみた。 何もしていないけど、終了。 脆弱性の詳細 iLogScannerは攻撃と思われるログを出力するけど、その際エスケープが行われていなかった。ブラウザのURLに<や>などを入力してもURLエンコードされてしまうが、telnetなどで直接書き込むとApacheのログにも<や>が残る。 脆弱性の悪用方法 攻撃者がターゲッ
Abusing JSONP with Rosetta Flash – Miki's Blog
Abusing JSONP with Rosetta FlashJuly 8, 2014 In this blog post I present Rosetta Flash, a tool for converting any SWF file to one composed of only alphanumeric characters in order to abuse JSONP endpoints, making a victim perform arbitrary requests to the domain with the vulnerable endpoint and exfiltrate potentially sensitive data, not limited to JSONP responses, to an attacker-controlled site. T
http://notice.nicovideo.jp/ni046768.htmlで自社からの流出ではないと断定できる理由はなんですか？こういうのいろんなサービスでみてきましたが、流出を隠蔽して他人のせいにしている気がしてなりません。 | ask.fmhttps://ask.fm/tokumaru
サイト運営者の立場で考えると、不正ログインに悪用されたIDとパスワードが、自社から流失したものか、他社に由来するものかの判定は比較的容易です。自社から流失したものであれば、ほぼ100%の確率で不正ログインに成功するはずです。また、パスワードが流失した経路などにもよりますが、サーバーに不正侵入してパスワード情報を得た経路の場合、それとは別に不正ログインをする動機がない場合も多いと考えられます。個人情報の取得などは、不正侵入の時点で終わっているはずだからです。一方、ポイントの不正利用等の場合、サーバー側のロジックを解析する手間よりも、不正ログインによりポイントを悪用した方が楽という場合もあるでしょう。この場合、パスワードがハッシュ値などで保護されているかどうかなどの条件も考慮する必要がありますが、サイト運営者であれば、ある程度判断は可能です。また、ログなどから悪用の状況を判断できる場合もあるで
OAuthとOpenIDに深刻な脆弱性か--Facebookなど大手サイトに影響も
OpenSSLの脆弱性「Heartbleed」に続き、人気のオープンソースセキュリティソフトウェアでまた1つ大きな脆弱性が見つかった。今回、脆弱性が見つかったのはログインツールの「OAuth」と「OpenID」で、これらのツールは多数のウェブサイトと、Google、Facebook、Microsoft、LinkedInといったテクノロジ大手に使われている。 シンガポールにあるNanyang Technological University（南洋理工大学）で学ぶ博士課程の学生Wang Jing氏は、「Covert Redirect」という深刻な脆弱性によって、影響を受けるサイトのドメイン上でログイン用ポップアップ画面を偽装できることを発見した。Covert Redirectは、既知のエクスプロイトパラメータに基づいている。 たとえば、悪意あるフィッシングリンクをクリックすると、Faceboo
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
New, in your face, malware attacks me: /Ringing.at.your.dorbell! - Dog Is My Copilot
https://senta.me/ja/blog/2012-02-24/server-attack-footprints/