JavaScriptでセキュアなコーディングをするために気をつけること – cybozu developer network
（著者：サイボウズ kintone開発チーム 天野 祐介） kintoneはJavaScriptを使って自由にカスタマイズすることができます。 カスタマイズにより独自のリッチなUIを構築したり、新しい機能を追加したりできるようになりますが、セキュアなコーディングをしないとクロスサイトスクリプティング脆弱性を作り込んでしまう危険性があります。 この記事では、JavaScriptでセキュアなコーディングをするための基本的な点を解説します。 主な原因 脆弱性を作り込む主な原因になるコードは、要素の動的な生成です。特に、レコード情報などのユーザーが入力した値を使って要素を生成するときに脆弱性が発生しやすくなります。 対策 document.write()やelement.innerHTMLを使って要素を生成するときは、コンテンツとなる文字列をかならずHTMLエスケープするようにしましょう。 以下は
Web Security
The goal of this document is to help operational teams with creating secure web applications. All Mozilla sites and deployments are expected to follow the recommendations below. Use of these recommendations by the public is strongly encouraged. The Security Assurance team maintains this document as a reference guide. Table of Contents Cheat Sheet Transport Layer Security (TLS/SSL) HTTPS HTTP Stric
クロスドメイン制約を回避するChromeショートカットを作る - Qiita
No 'Access-Control-Allow-Origin' header is present on the requested resource. のエラーのせいでドメインを跨いだファイル読み込みの検証ができなかったので、 Chrome起動オプションによる無効化をショートカットで作成してみました。 まずはChromeのショートカットを普通に作成し、 [プロパティ]から、「リンク先」に--disable-web-security と --user-data-dirを追加する。 "C:\Program Files (x86)\Google\Chrome\Application\chrome.exe" --disable-web-security --user-data-dir="C:\Users\ユーザ名\Local\Google\Chrome\User Data" ショートカット作成
CORS(Cross-Origin Resource Sharing) - とほほのWWW入門
クロスサイトリクエストフォージェリ(CSRF)などのセキュリティ攻撃を防止するために、ブラウザは「同一生成元ポリシー(Same-Origin Policy)」という仕組みを実装し、異なるオリジンのリソースへのアクセスに制約をかけています。CORS (Cross-Origin Resource Sharing)は、この制約を一部解除し、異なるオリジン間でリソースを共有するための仕組みです。 例えば、site-a.example.com から他オリジンの site-b.example.com のリソースを参照したい場合、ブラウザは site-b へのリクエストヘッダにアクセス元のオリジン情報を付加します。XMLHttpRequest によるアクセスや、crossorigin="anonymous" を指定した img, script, audio, video, link アクセスの場合などに
Exploits Database by Offensive Security
The Exploit Database is maintained by OffSec, an information security training company that provides various Information Security Certifications as well as high end penetration testing services. The Exploit Database is a non-profit project that is provided as a public service by OffSec. The Exploit Database is a CVE compliant archive of public exploits and corresponding vulnerable software, develo
【WordPress】WordPressのここがダメ - Qiita
巷では、少し前からアフィブログを WordPress で作るのが流行っているようですが、主に PHP 開発者＆サーバー管理者の観点から、WordPress のダメだと思うところを、思うままに書いてみました。 WordPress をディスるつもりはありませんので、注意喚起：解決法：ポエム ＝ 4：1：5 ぐらいの感覚でご覧いただければ幸いです。 ⇒ 【WordPress】WordPressのここがイイ 1.設計が古すぎる 先日書いた記事で、気になって admin-ajax.php のコードを眺めてみましたが、Oh... これは酷い…。 require_once が連呼され、global 空間に define() とコンフィグ用の配列が入り乱れ、$_GET $_POST $_REQUEST が舞い踊り、ファイルはクラスどころか関数にすらなっていない…200 行に満たないコードはネタの宝庫で、1
WordPressなWeb屋のセキュリティマニュアル - Qiita
WordPressでサイト構築・運用を行う場合に特化した、サイトの改ざんなどへの対策と発生した場合の行動マニュアルを作りました。 更新履歴の管理のため、同じ文書をgithubにアップロードしています。 なるべく多くの人が使えるように、具体的な内容で仕上げていきたいと考えています。 ここはこうしたほうがいい、とか不備があればコメントを頂けると幸いです。 更新履歴 17/5/8 設定の一部修正。 プラグインの自動アップデートのコードの記載場所はwp-config.phpではなかったため修正。（英文公式サイトにconfigに書くなって書いてました。正しいのは多分function.phpだと思う。自信がないので各自調べてください m(_ _)m） この文書について WordPressを用いたウェブサイト制作者向けのセキュリティマニュアルとして作成した。 本マニュアルは主にサイトへの不正侵入、改ざん
GoogleやFacebookへの不正アクセスを防御する約3000円の神デバイス
企業からアカウント情報が漏洩したり、マルウェアやフィッシング詐欺など、ウェブサービスへの不正アクセスリスクは高まる一方。そこで、万一パスワードが漏洩しても不正アクセスできないように、2段階認証という仕組みがある。今回は、Googleも採用しているUSBセキュリティーキーを利用した不正アクセスの防御技を紹介しよう。 アナログのセキュリティキーで 鉄壁の防御を構築する 二段階認証とは、GoogleやFacebookなどにサインインする際、パスワードを入力した後に登録済みの携帯電話にSMSでコードを送り、入力するというもの（「2段階認証でGoogleやSNSで不正アクセスを防止する技」を参照）。これで単にパスワードをゲットしただけでは不正アクセスできなくなる。しかし、毎回スマホでコードを受け取って入力するのは少々手間なので、2段階認証を使うのをやめてしまう人もいるようだ。 そこで紹介したいのが、
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
reCAPTCHA: Easy on Humans, Hard on Bots
same-site/cross-site, same-origin/cross-originをちゃんと理解する
Amazon.co.jp: 体系的に学ぶ 安全なWebアプリケーションの作り方 第2版 脆弱性が生まれる原理と対策の実践: 徳丸浩: 本
Amazon.co.jp: 体系的に学ぶ 安全なWebアプリケーションの作り方 脆弱性が生まれる原理と対策の実践: 徳丸浩: 本