PHPのJSON HashDosに関する注意喚起
4年前にHashDos（Hash Collision Attack）に関する効率的な攻撃方法が28C3にて公開され、PHPを含む主要言語がこの攻撃の影響を受けるため対策を実施しました。しかし、PHP以外の言語が、ハッシュが衝突するデータを予測困難にする対策をとったのに対して、PHPは、GET/POST/COOKIE等の入力データの個数を制限するという対症療法を実施したため、PHPにはHashDosに対する攻撃経路がまだ残っているということは、一部の技術者には知られていました。例えば、以下の様なつぶやきにも見ることができます。 だって、 hashdos 脆弱性の時、 Python とかの言語が、外部入力をハッシュに入れるときに衝突を狙えないように対策したのに、phpだけPOST処理で対策したからね？ json を受け取るような口もってるphpアプリのほとんどがhashdos残ってるんじゃない
Silex + OptionsResolver で FizzBuzz パラメータ編 - k-holyのPHPとか諸々メモ
Silex + OptionsResolver で FizzBuzz の続きです。 前回のサンプルだとSilex使っている意味がないので、パスで指定された値を使ってFizzBuzzを実行するよう、エントリスクリプトを書き換えました。 "/{var}/{type}" という2つのパラメータを含んだパスへのGETリクエストのハンドラを設定しています。 1つ目のパラメータは「1-100」というようにFizzBuzzの範囲をハイフン区切りで指定でき、2つ目のパラメータでは戻り値のフォーマット(html or json)を指定します。 Silex\Route::value()メソッドによって、1つ目のパラメータは "1-100" 2つ目のパラメータは "html" を初期値に指定し、パラメータ指定のないパス "/" へのリクエストもこのハンドラで処理させています。 ハンドラの戻り値は文字列ではなく、
徳丸本に載っていないWebアプリケーションセキュリティ
2. 本日お話しする内容 • キャッシュからの情報漏洩に注意 • クリックジャッキング入門 • Ajaxセキュリティ入門 • ドリランド カード増殖祭りはこうしておこった…かも? Copyright © 2012 HASH Consulting Corp. 2 3. 徳丸浩の自己紹介 • 経歴 – 1985年 京セラ株式会社入社 – 1995年 京セラコミュニケーションシステム株式会社(KCCS)に出向・転籍 – 2008年 KCCS退職、HASHコンサルティング株式会社設立 • 経験したこと – 京セラ入社当時はCAD、計算幾何学、数値シミュレーションなどを担当 – その後、企業向けパッケージソフトの企画・開発・事業化を担当 – 1999年から、携帯電話向けインフラ、プラットフォームの企画・開発を担当 Webアプリケーションのセキュリティ問題に直面、研究、社内展開、寄稿など を開始 –
JSONに関しては、例えば、PHPを避ける | 配電盤
ここで紹介している問題は、PHP 5.4で解決されました。 JavaScriptのための記法であるJSONですが、最近はさまざまなプログラミング言語でサポートされています。たとえば、PHP 5には、JSON文字列をオブジェクトに変換するための関数、json_decode()が用意されています。 <?php var_dump(json_decode('{"id":12345}')); [/php] <p>この実装はなかなか親切で、<a href="http://codepad.org/XT2fs3S5">実行結果</a>を見るとわかるように、データが数値なら、数値として取り出してくれます。</p> <p>しかし、最近ではTwitterのつぶやきのIDがintの範囲を超えたりしているので、ちょっと不安です。下の例では、$idaと$idbの値は異なることが期待されますが、<a h
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
GitHub - raphaelstolt/php-jsonpointer: JSON Pointer implementation for PHP
Regex to validate JSON
PHP: How to easily provide JSON and JSONP
GitHub - jsonrainbow/json-schema: PHP implementation of JSON schema. Fork of the http://jsonschemaphpv.sourceforge.net/ project