徳丸浩さん、著名PHPアプリの脆弱性に学ぶセキュアコーディングの原則 〜PHPカンファレンス2017 ゲストスピーカーセッション | gihyo.jp
PHPカンファレンス2017 レポート 徳丸浩さん、著名PHPアプリの脆弱性に学ぶセキュアコーディングの原則 〜PHPカンファレンス2017 ゲストスピーカーセッション 2017年10月8日、東京・大田区産業プラザPiOにて、PHPカンファレンス2017が開催されました。本稿では、ゲストスピーカーセッションであるEGセキュアソリューションズ株式会社 代表取締役 徳丸浩さんの講演「著名PHPアプリの脆弱性に学ぶセキュアコーディングの原則」をレポートします。 著名なPHPアプリケーションでも脆弱性を狙った攻撃が絶えません。徳丸さんは「脆弱性対処の王道はプレースホルダによるSQLインジェクション対策のように、とにかく個別の脆弱性から守るための局所対策が大切。とはいえ、脆弱性対処を束ねる総論も必要だ」と言います。 今回の講演では、一般的なセキュアコーディングの原則、そしてPHPの著名アプリの脆弱性
セッションハイジャックを防ぐ７つの方法 – sawara.me
会社のブログに寄稿させていただきました。 PHPのセッション情報をデータベース（MySQL）に保存するぜ！ こちらの記事ではセッション情報をDBサーバーに保存させて、ロードバランサーで接続するサーバーが切り替わってもセッションが維持される方法について記載しましたが、セッションハイジャックについては言及しておりません。ということで今回はセッションハイジャックを防ぐ方法について紹介します。 セッションハイジャックとはなにか そもそもセッションハイジャックとはなにか。cookieでセッション管理を行うPHPの場合はcookieにセッションIDを保存します。このセッションIDを他のユーザーのものに書き換えてなりすましてしまうのがセッションハイジャックです。cookie情報なんてのはブラウザで簡単に書き換えられてしまいますからね。 セッションハイジャックにおける対策としては大まかに分けて２つの対策、
PHPのunserialize関数に外部由来の値を処理させると脆弱性の原因になる
既にいくつかの記事で指摘がありますが、PHPのunserialize関数に外部由来の値を処理させると脆弱性の原因になります。 しかし、ブログ記事等を見ていると、外部由来の値をunserialize関数に処理させているケースが多くあります。 ユースケースの一例としては、「複数の値をクッキーにセットする方法」として用いる場合です。 PHP クッキーに複数の値を一括登録する方法という記事では、以下の方法で複数の値をクッキーにセットしています。 $status = array( "height" => 167, "weight" => 50, "sight" => 1.2 ); setcookie("status", serialize($status)); クッキーの受け取り側は以下のコードです。 print_r(unserialize($_COOKIE['status'])); 出力結果は以下
5分でできるPHPセキュリティ対策 - ぼくはまちちゃん！
こんにちはこんにちは！！ Webプログラミングしてますか！ よく「PHPはセキュリティがダメ」とか言われてるよね。 でもそれって、べつにPHPが悪いんじゃなくて、 たぶん、セキュリティとかが、まだよくわからない人が多いだけなんじゃないかな。 がんばって勉強しようと思っても、なんだか難しい理屈が並んでいたりするしね…。 なので今日は、セキュリティ対策について、 「これだけやっとけば、わりと安全になるよ」ってことを、初心者むけに、大雑把に書いてみます！ 理屈がわからなくても、最初はコピペでも、 なにもやらないより、やったほうがきっとマシになる！ 1. XSS対策 動的なものを表示するとき、全部エスケープすればokです！ (NG) あなたの名前は <?= $name ?> ですね！ ↓ (OK) あなたの名前は <?= htmlspecialchars($name, ENT_QUOTES) ?>
PHPのイタい入門書を読んでAjaxのXSSについて検討した(1) - ockeghem's blog
このエントリでは、あるPHPの入門書を題材として、Ajaxアプリケーションの脆弱性について検討します。全3回となる予定です。 このエントリを書いたきっかけ twitterからタレコミをちょうだいして、作りながら基礎から学ぶPHPによるWebアプリケーション入門XAMPP/jQuery/HTML5で作るイマドキのWeという本を読みました。所感は以下の通りです。 タレコミ氏の主張のように、本書はセキュリティを一切考慮していない 主な脆弱性は、XSS、SQLインジェクション、任意のサーバーサイド・スクリプト実行（アップロード経由）、メールヘッダインジェクション等 脆弱性以前の問題としてサンプルスクリプトの品質が低い。デバッグしないと動かないスクリプトが多数あった 上記に関連して、流用元のソースやデバッグ用のalertなどがコメントとして残っていて痛々しい 今時この水準はないわーと思いました。以前
川o´-｀）＜jknd life - Re: 「Ajax + PHP」でRSSリーダーを作る : きまぐれ日記2『オンとオフの狭間』
GIGAZINEの記事経由で知った記事。RSSリーダ作成には興味があったため読んでみました。その内容については・・・よろしくないことが普通にかかれています。 件の記事で作ろうとしているものはRSSリーダーですが、Ajax―つまりWebブラウザ側―でRSSをどうにかする式のものです。 このたった一言で読者の50%には何となくイヤな予感がよぎっているのではないかと思ったりもします。 さて、先に書いたとおり記事にあるRSSリーダーはAjaxでサーバからRSSをとってくる仕組みです。しかしながら一般的にAjaxと呼ばれる技術で使うXMLHttpRequestなどは異なるドメインにアクセスすることをセキュリティ上の観点から許可していません。そうなるとWebブラウザベースのRSSリーダーとしては大変困るわけです。RSSを読みたいのに他のドメインのものを取得できないのでは。それではこういった場合どうする
ボヤキ:猿真似は危険『「Ajax PHP」でRSSリーダーを作る』で破滅 - livedoor Blog（ブログ）
これは愚行録です。 サイトを閉鎖したため、こちらへ転記します。(by 破滅した管理人) 3月8日付けのエントリー『「Ajax + PHP」でRSSリーダーを作る』 「RSSリーダーを作ってみたい」という思いつきで始めた今回の一件。 さて「RSSリーダー」ってどうやって作るんだろうか。 とネット検索してみると初心者向けの分かりやすいページが見つかった。 Ajaxを使おう RSSリーダーを作る 掲載されているソースの改造に取り掛かるが、すぐに壁にぶち当たる。 「summary」の表示が上手くいかない。 「<summary>」なら良いのだが「<summary type="text/plain">」だと「[object Object]」が表示されてしまう。 なんだろうね、これって。 summary = xml.feed.entry[i].summary.type なら「text/plain」が表示
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
Amazon.co.jp: 体系的に学ぶ 安全なWebアプリケーションの作り方 脆弱性が生まれる原理と対策の実践: 徳丸浩: 本
ウェブアプリのセキュリティをちゃんと知ろう
PHPサイバーテロの技法 - 攻撃と防御の実際
http://blog.quall.net/program/67/