単純ではない、最新「クロスサイトスクリプティング」事情
単純ではない、最新「クロスサイトスクリプティング」事情：HTML5時代の「新しいセキュリティ・エチケット」（2）（1/3 ページ） 連載目次 皆さんこんにちは。ネットエージェントのはせがわようすけです。第1回目は、Webアプリケーションセキュリティの境界条件であるオリジンという概念について説明しました。 現在のWebブラウザーでは、同一オリジンのリソースは同じ保護範囲にあるものとし、オリジンを超えたアクセスについてはリソースの提供元が明示的に許可しない限りはアクセスできないという、「同一オリジンポリシー（Same-Origin Policy）」に従ってリソースを保護しています。 その保護範囲であるオリジンを超え、リソースにアクセスする攻撃の代表事例であるクロスサイトスクリプティング（XSS）について、今回、および次回の2回に分け、HTML5においてより高度化された攻撃と、その対策を説明しま
第7回 DOM-based XSS その2 | gihyo.jp
前回は、DOM-based XSSの原因と対策についての概略を解説し、DOM-based XSSを引き起こすシンクの事例としてinnerHTMLへのHTMLの代入やlocationオブジェクトへのURLの代入をとりあげました。今回は、innerHTMLやlocationオブジェクトほど頻繁ではないものの、実際にDOM-based XSSの原因として見かけるシンクの代表的なものについて説明します。 document.write／document.writeln～できるだけ使わず、代替手段を利用する DOMのレンダリングを遅延させるなどの理由から、以前に比べるとdocument.writeの使用される頻度は減っていますが、それでもなお広告用のJavaScriptなど一部では根強くdocument.writeが使われています。document.writeやdocument.writelnでは、引
間違いから学ぶSPFレコードの正しい書き方 : 迷惑メール対策委員会
岡山大学 山井成良 2011年4月 1. はじめに 2. 典型的な誤りと正しい書き方 2.1 SPFレコードが複数行存在する 2.2 機構（メカニズム）の記述に誤りがある 2.3 参照方法に誤りがある 2.4 必要な空白文字がない 2.5 その他の間違い 3. チェック方法 1. はじめに 迷惑メールは、現在のところ、送信元アドレスが詐称された状態で送られるものが大多数を占めます。これにより、迷惑メールの送信源追跡を困難にしたり、フィッシング詐欺に利用されたりします。そこで、送信元アドレスの詐称を防止する送信ドメイン認証技術が開発されました。 現在までに実用化されている送信ドメイン認証技術はいくつか存在しますが、そのうち最も普及しているものがSPF（Sender Policy Framework）です。平成22年6月時点におけるjpドメインでの普及率はドメイン数ベースで約40パーセントであ
PHPMailerの脆弱性CVE-2016-10033はWordPressにどの程度影響するのだろうか - Qiita
まず前提として、PHPMailerの脆弱性は https://github.com/opsxcq/exploit-CVE-2016-10033/blob/master/www/index.php#L33 この箇所のコード、外部からの入力$emailを送信者アドレスとして$phpmailer->setFrom($email, $name)と設定することで発生する。 または直接$phpmailer->Sender = $emailとしても同じ。 それ以外ではPHPMailerのSenderプロパティが書き換わることは無く脆弱性も発生しないという認識なんだけれども。合ってるだろうか。 WordPressのメール送信はwp_mailという関数で実行されていて、そこには /** * Filters the email address to send from. * * @since 2.2.0 *
日産「リーフ」のアプリに脆弱性、他人の車を遠隔操作可能に
アプリのAPIに認証の仕組みがなく、車両識別番号の下5ケタが分かれば、他人の車を制御できることが判明。オーストラリアからインターネット経由で、英国にあるリーフのエアコンやファンを作動させたり、運転履歴を取得することができてしまった。 日産自動車の電気自動車「リーフ」の専用アプリに、他人のリーフのエアコンなどを遠隔操作できてしまう脆弱性があることが分かり、セキュリティ研究者が2月24日、ブログで詳細を公表した。地球の裏側から他人の車を操作する実証ビデオも公開している。 セキュリティ研究者トロイ・ハント氏のブログによると、問題が発覚したきっかけは、同氏がノルウェーで行ったワークショップで、たまたまリーフを保有している参加者が、iPhoneアプリのリスクを指摘したことだった。 詳しく調べたところ、リーフのアプリのAPIには認証の仕組みが実装されておらず、個々の車に割り当てられている車両識別番号（
「Google Drive」、無料ストレージ2GBをプレゼント中ーー「セキュリティ診断」完了で | ゴリミー
オンラインストレージが多いことに越したことはない。無料でもらえるものはもらっておこう！ 昨年に引き続き、今年も「Safer Internet Day 2016」を記念してGoogleアカウントの「セキュリティ診断」を行ったユーザーに対し、「Google Drive」の無料ストレージを2GB追加してもらえるプレゼントキャンペーンを実施している！ アカウントの復旧情報や接続端末、権限の確認など 僕の場合、なぜか「セキュリティ診断」の内容がすべて英語で表示されていたが、アカウント復旧情報、接続端末、アカウント権限の確認を済ませるだけで無料ストレージ2GBが手に入るのだ。作業時間も2、3分で終わる内容となっているため、自分のGoogleアカウントのセキュリティ状況を確認しつつ行うべし！ なお、僕も試したところ無事2GBのストレージが追加されていることが確認できた。昨年に引き続き2回目のキャンペーン
【注意喚起】 Internet Explorer のサポートポリシーが変更、バージョンアップが急務に：IPA 独立行政法人 情報処理推進機構
2016 年 1 月 12 日（米国時間）を過ぎると Microsoft 社が提供するウェブブラウザ「Internet Explorer」（以後、IE）のサポート対象が“各 Windows OS で利用可能な最新版のみ”にポリシーが変更されます(*1)。サポート対象外となる IE は、セキュリティ更新プログラムが提供されなくなるため、新たな脆弱性が発見されても解消することができません。脆弱性が見つかり攻撃者がそれを悪用すると、ウイルス感染により「ブラウザを正常に利用できなくなる」ほか「情報が漏えいする」などの被害に遭うおそれがあり（図1）、早急なバージョンアップが求められます(*2)。 図1：IE のバージョンごとの影響（イメージ） 1. IE の脆弱性 IPA が運営する脆弱性対策情報データベース JVN iPedia(*3)に登録されている IE 7 から IE 10 までの脆弱性対策
TeslaCrypt(vvvウイルス)についてまとめてみた - piyolog
12月5日頃より、TeslaCryptに関連する投稿が国内で増えました。ここではこのマルウェアの気になった情報をまとめます。 暗号化される際の拡張子(.vvv)からvvvウィルスとも呼称されているようです。 12月5日に国内で騒がれたvvvウィルスについてセキュリティベンダの見解 各社の見解をまとめると次の通り。一部は報道情報より。 ベンダ名 感染経路 vvvウィルスの存在 被害状況 ソース TrendMicro マルウェアスパム経由と脆弱性攻撃サイト経由の2種の攻撃の存在を確認 不正広告経由は確認できておらず CrypTeslaの一種である スパムメールは約1万9千件を確認 国内の開封数は12/8時点で100件程度 Interwatch記事(12/07 20:53) TrendMicro社Blog Symantec 具体的な確証は得られておらず 継続調査中 継続調査中 ノートン公式Fac
WordPressの「キャッシュプラグイン」に関するプロフェッショナルな方々のTwitter話が為になりすぎる
以前「ちょっと待て！素人がWordPressのキャッシュ系プラグインをわけわからずに使うと悲惨な目に遭うぞ！」という記事を書いたのですが、それを星野邦敏さんに拾って頂いて、WordPress界の名だたる方々がツイッターで話されていたのを拝見し、非常に濃く有意義な内容なのに基本はメンションなのでほとんど一般タイムラインに流れない会話内容です。 こんな会話がTwitterで終わるなんて勿体ない！ 皆さんが頭を悩ませるWordPressのキャッシュ系プラグインに関して正しい見識を知ることが出来ます。 こういったバックエンドに詳しいプロフェッショナルな方々の声が もっと聞けるといいんですが。 ※今回の記事は会話の主の@miya0001さんにご承諾いただき掲載しております。 事の発端は僕の「Wp Super Cache」を使用したらWordPressが ぶっ壊れた人がいるという記事より。 （以下、T
WordPress で Web サイトの制作を請け負って保守契約も結ぶときに意識しておいたほうが良い5つのこと
反応をウォッチしていると「WordPress を導入する場合、セキュリティを考えると当然システム保守契約を結んで保守することが必要」という意見がちらほらあって、僕としてもそれは当然のことでむしろやっていない人は作成した後えらいことになってないのか少し心配になったりしてしまうのですが、じゃあクライアントと保守契約を結べたとしてどういうことに気をつけたほうが良いかということを少し書いてみたいと思います。 コア・プラグインのアップデートは必ず実施する 大前提すぎてあれなのですが、セキュリティを維持して攻撃を防ぐためにお客様にシステム保守契約を結んでいただくわけなので、コアやプラグインのバージョンアップは必ず行わないといけません。企業さんのサイト制作の場合だとテーマはオリジナルのことが多いと思いますが、テーマも自作でないのであればきちんとアップデートするべきです。 「コアの自動アップデートをとめる
ノートンブログ - ヒント、教育、FAQへの回答
若い世代を中心に人気のティックトック（Tik Tok）について、そこに潜んでいる危険性と、その危険性に適切に対処する方法を解説します。
SQLインジェクション対策もれの責任を開発会社に問う判決
ポイントは下記の通りです。 X社（原告）はセキュリティ対策について特に指示はしていなかった 損害賠償について個別契約に定める契約金額の範囲内とする損害賠償責任制限があった 当初システムはカード決済を外部委託し直接カード情報を扱っていなかった X社が「カード会社毎の決済金額を知りたい」とY社に依頼をして、その結果カード情報をいったんDBに保存する仕様となった（2010年1月29日） X社からの問い合わせに対してY社は、カード情報を保持しない方式に変更することが可能で、そのほうが安全となり、費用は20万円程度である旨を伝えた（2010年9月27日）が、その後X社は改良の指示をしなかった 以下の脆弱性その他が認められた システム管理機能のIDとパスワードが admin/password であった 個人情報が記載されたお問い合わせログファイルの閲覧が可能（ディレクトリリスティングと意図しないファイ
DoSの踏み台にされているJPドメインのWordPressをまとめてみた - piyolog
Krebsが自分のサイト(KrebsOnSecurity)に対して41,000超のWebサイトからDoSを受けていると報告しています。 このDoSはWoredpressのpingbackを悪用したものらしく、先日、Sucuriもpingback機能を悪用したDoSについて報告していました。 More Than 162,000 WordPress Sites Used for Distributed Denial of Service Attack WordPressの16万サイトが大規模攻撃の踏み台に、「Pingback」機能悪用 - ITmedia エンタープライズ pingbackを悪用したDoS方法 pingbackはハイパーリンクを設置したことを通知する仕組みですが、リモート投稿(XMLRPC)の機能（WordPressのxmlrpc.php）に対して次のPOSTを送信するとそのW
Googleドメイン用の不正証明書が発行される、各社が失効措置へ
「google.com」「.google.co.jp」などのドメイン用の不正証明書が発行されていたことが分かり、Google、Microsoft、Mozillaが対応を表明した。 米Googleは12月7日、同社傘下の複数のドメイン用に不正なデジタル証明書が発行されていたことが分かり、問題の証明書を失効させるなどの措置を講じたことを明らかにした。Googleから連絡を受けたMicrosoftやMozillaも対応を表明した。 Googleによると、不正な証明書は12月3日に発見され、調べたところ、フランスの政府系認証局ANSSI傘下の中間認証局で発行されていたことが分かった。 電子証明書は、ユーザーがアクセスしているWebサイトが本物であることを確認するために使われる。不正な証明書を利用すれば、偽サイトであってもWebブラウザの警告が表示されず、ユーザーがだまされて個人情報などを入力してし
なぜFirefoxは自己署名証明書をブロックするのか - Mozilla Flux
FirefoxがWebサイトと暗号通信を行う場合、相手方サイトが保有するSSL証明書（電子的な証明書の一種）は、第三者機関が認証した署名によるものでなければならない。そのサイト独自の署名がつけられているにすぎないとき、Firefoxは警告を発して通信をストップさせる。ユーザーはそのような自己署名証明書を受け入れるかどうか選択することができ、受け入れた場合のみ通信が再開される。 なぜ、こうした仕組みになっているのだろう。日本では「オレオレ証明書」の通称もある自己署名証明書。これを最初から受け入れる設定になっていない理由は何なのか。 Mozilla Foundation所属のセキュリティ研究者であるGervase Markham氏が"Firefox 3 and Self-Signed Certs"の中で強調するのは、「セキュリティ ＝ 暗号化 × 認証」という点だ。これは、通信の過程でいかに強
クラウド型セキュリティ バーチャルフォーラム - ＠IT
このバーチャルフォーラムで学べること 有識者が解説する、最新セキュリティ動向 従来型とクラウド型の「メリット・デメリット」 クラウド型セキュリティサービスが提供する「5つの価値」 従来型とクラウド型の「4年間のTCO比較」 導入事例 企業IT環境の変化に伴い、セキュリティにも変化が求められています。外部からの攻撃手法が日々進化する一方で、スマートデバイスや在宅勤務の普及に伴い「守るべきポイント」はむしろ増加の一途を辿っています。 このバーチャルフォーラムでは、従来のオンプレミス型（サーバ設置型）とは異なるさまざまなメリットが注目を集めるクラウド型セキュリティ「Security as a Service」にフォーカス。第3者による検証結果などを交えながら、リスク低減効果や運用コスト削減効果など、その「真の実力」を探っていきます。
複合機からネットに内部資料漏れる 東大や琉球大：朝日新聞デジタル
コピーやスキャナー、ファクスなどの機能を１台にまとめた複合機を通じ、東京大や琉球大など複数の大学で学内試験の答案などの内部資料がインターネット上で誰でも閲覧できるような状態になっていたことがわかった。パスワードなど事前のセキュリティー設定が不十分だった可能性があるという。複合機は官公庁や企業などに普及しており、リコーや富士ゼロックス、キヤノンのメーカー各社は自社のホームページでセキュリティーの仕組みや設定方法を紹介するページを設けた。 東大広報課によると、６日午後、学内から「（ネット上で）内部情報が閲覧できるようになっている」との指摘があった。漏出した資料は東大医科学研究所のものとみられる。同研究所に設置され、ネットに接続された複数の複合機から漏出したらしい。東大広報課は「漏出した資料に個人情報が含まれていたかどうかを調査中」としている。 琉球大では、今年実施した学内試験の答案がネット上に
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
【やじうまWatch】「パスワードの定期変更をユーザーに求めるべきではない」……NISTの文書でついに明示へ
WordPress推しブログ – ねたわん
TechCrunch | Startup and Technology News
