駆け出しデザイナー・エンジニアにこそ見ていただきたいWordPressの脆弱性とセキュリティ - Qiita
WordPressは世界で1番使用されているCMSかつオープンソースであるが故に、悪意のある第三者やプログラムから世界で1番攻撃されやすいCMSと言われています。 私自身も何度か攻撃を受けていて、実害に及ばなかったものから及んだものまで様々でした。クライアントの稼働しているWEBサイトに実害があった場合は、原因究明や報告、一次対応から恒久的対策までを行い、安全性を確保した上で再度稼働させる必要があり、その作業は簡単なものではありません。 被害があるのはクライアントだけではなく、そのサイトにアクセスしたユーザーに及びます。たとえ納品後の保守契約を結んでいなかったとしても、実装者の責任としてクライアント、ユーザーに安心して利用できるWEBサイトを目指さなければいけません。 私はセキュリティの専門家ではないもののWordPressを10年以上触っている中で様々な問題に当たり、対応してきました。そ
無料・インストール不要でルーターがマルウェアに感染していないか確認してくれるツール「am I infected?」を使ってみた
自宅でWi-Fiを利用する際に必要なルーターは、購入してセットアップしたら後は放置してしまいがちなもので、気付かないうちにマルウェアに感染して踏み台になっていることも。そんなルーターについて、メールアドレスを入力するだけでサクッとウイルスチェックができるサービスが「am I infected?」です。 am I infected? - マルウェア感染・脆弱性診断サービス https://amii.ynu.codes/ 「am I infected?」のページはこんな感じ。横浜国立大学の情報・物理セキュリティ研究拠点が運営しているサービスとのこと。 下にスクロールするとサービスの説明がされています。マルウェアがルーターに感染した場合、いわゆる「自覚症状」が無いため気付くのは難しく、知らないうちに外部に迷惑をかけていた……なんてことも。 日本だけでも17万個以上の機器に脆弱(ぜいじゃく)性が見
Malware & URL Scanner - 危険性のあるURLかどうかチェックするGoogle Chrome機能拡張 MOONGIFT
マルウェアや、それを配布するURLは怖いものです。訪問するだけでマルウェアに感染するサイトもあります。Googleの検索結果などではそれらを警告したりしますが、思わず踏んでしまったという経験がある人もいるでしょう。 今回はGoogle Chrome機能拡張を使って害あるURLをスキャンしてくれるMalware & URL Scannerを紹介します。 Malware & URL Scannerの使い方 インストールしました。 URLを入力してチェックします。 DNSやヘッダー、Googleのセーフブラウジングなど様々な情報が確認できます。 Malware & URL Scannerはスキャン機能がメインになるようです。怪しいサイトがあればチェックしてみると良いでしょう。逆に自分のサイトが怪しいと判定されていないかチェックするというのもお勧めです。 Malware & URL Scanner
Googleがインターネット上で使用するパスワードがデータ侵害にあった危険なものでないかを逐一チェックしてくれる「Password Checkup」をリリース
Googleがインターネット上で使用されるアカウントの不正使用を防止するため、入力したパスワードが第三者によるデータ漏えいの影響を受けていないかを自動で調べる拡張機能「Password Checkup」をリリースしました。 Google Online Security Blog: Protect your accounts from data breaches with Password Checkup https://security.googleblog.com/2019/02/protect-your-accounts-from-data.html Googleでは第三者によるデータ漏えいの影響を受けたGoogleアカウントのパスワードを定期的にリセットしています。この戦略により、「過去2年間で約1億1000万人以上のGoogleユーザーをデータ侵害の魔の手から保護することに成功して
無料でデータ侵害の被害者になったかチェック＆通知でお知らせまでしてくれるサービス「Firefox Monitor」
Gmail・Hotmail・Yahoo!などから2億7200万件のメールアドレスとパスワードが流出したり、Yahooの全ユーザー30億人分のアカウント情報が漏洩したりと、普段日常的に使用しているウェブサービスから自身のメールアドレスやパスワードが流出する、ということは起こり得る事態です。しかし、いつそういった情報が盗まれたのかを常に把握しておくというのは非常に難しいもの。そこで、ウェブブラウザのFirefoxを開発するMozillaが、データ侵害にあったことを通知する無料のサービス「Firefox Monitor」をスタートしました。 Introducing Firefox Monitor, Helping People Take Control After a Data Breach - The Mozilla Blog https://blog.mozilla.org/blog/201
怪しいリンク先を簡単に「VirusTotal」でチェックできるChrome用アドオン「VTchromizer」を使ってみた - GIGAZINE
ネットサーフィンをしていると、必ずと言っていいほど出会ってしまう「怪しげなリンク」。クリックすると目的の情報にアクセスできそうですが、フィッシングサイト(詐欺サイト)にアクセスしてしまったり、マルウェアやウイルスに感染してしまうリスクがあります。また、セキュリティソフトが入っていれば、必ずしも大丈夫ということではなく、ソフトによっては検知の精度もバラバラで、知らないうちに被害を受けているなんてことも。無料でインターネットのURLやファイルを検査してくれるウェブサービス「VirusTotal」を使えば、60以上のウイルス対策ソフトやセキュリティソフトで一度に検査してくれますが、怪しいリンクに遭遇する都度、アクセスするのは手間でしかありません。そこで、簡単な操作で怪しいリンクを「VirusTotal」でチェックできる、Chrome用アドオン「VTchromizer」を使ってみました。 VTch
怪しいファイルを60種類以上のアンチウイルスソフトで一括ウイルスチェックできるサービス「VirusTotal」
「VirusTotal」はファイルをアップロードするだけで60種類以上のアンチウイルスソフトでまとめてスキャンしてくれるサービスです。無料で利用でき、登録なども一切不要で使える便利なサービスということで、実際に使用してみました。 VirusTotal - ウイルス、マルウェア、URL の無料オンライン スキャナー https://www.virustotal.com/ja/ トップページにいきなりファイルをアップロードでき、64MBまでのファイルをスキャン可能です。「ファイルを選択」をクリックして…… ウイルスかどうかチェックしたいファイルを選択し、「開く」をクリック。ただし、ウイルスチェックのためにアップロードしたファイルはセキュリティベンダーなどに公開されてしまうため、機密情報を含むファイルには使用できません。 ページ下部の「スキャンする」をクリックします。 すると「分析済みのファイル
自分のメールアドレスやID名で検索するとハッキングされて過去の流出リストに入っていたかどうかがわかる「Have I been pwned?」
by Automobile Italia Adobeや不倫・浮気サイトのAshley Madison(アシュリー・マディソン)を始めとする大手ウェブサイトがハッカーから攻撃を受けるなどして、個人情報が流出してしまう事件はたびたび起こっています。過去に起こった個人情報流出事件において、自分のメールアドレスやユーザー名が含まれていたのかを検索可能で、もし今後流出したら教えてくれるサイト「Have I been pwned?」がMicrosoftのMVP社員によって公開されています。 Have I been pwned? Check if your email has been compromised in a data breach https://haveibeenpwned.com/ ということで、公に情報が流出したことのあるサイトのリストは以下の通り。流出件数トップとなっているのは、20
DROWN Attack
Operators of vulnerable servers need to take action. There is nothing practical that browsers or end-users can do on their own to protect against this attack. Is my site vulnerable? Modern servers and clients use the TLS encryption protocol. However, due to misconfigurations, many servers also still support SSLv2, a 1990s-era predecessor to TLS. This support did not matter in practice, since no up
CMSmap·WordPress/Drupal/Joolma対応のセキュリティチェッカー MOONGIFT
WordPressやDrupal、Joomlaは世界的にも圧倒的にシェアの高い3大CMSと言えるでしょう。そんなシェアの高いCMSではセキュリティホールも世界中に知られており、弱いプラグインなどはあっという間に狙われてハッキングの被害に遭います。 そんなセキュリティリスクを低減できるツールがCMSmapです。CMSmapを使ってセキュリティチェックを行っておくのがお勧めです。 CMSmapの使い方 CMSmapはURLを渡すだけで使えます。 $ python cmsmap.py -t http://localhost/wordpress/ [-] Date & Time: 03/08/2015 15:47:59 [-] Target: http://localhost/wordpress [M] Website Not in HTTPS: http://localhost/wordpres
PHP Security Scanner – PHPの静的なセキュリティスキャナ
MOONGIFTはオープンソース・ソフトウェアを紹介するブログです。2021年07月16日で更新停止しました PHPは手軽に書ける反面、その技術力によってコードの内容が大きく変わってきてしまう言語です。特に外部から渡される内容に対して適切に対応しなければ大きなセキュリティ上のリスクになります。 今回はそんなPHPコードのチェック行ってくれるライブラリPHP Security Scannerを紹介します。また開発されたばかりですが今後に期待のかかるソフトウェアです。 PHP Security Scannerの使い方 例えば以下のようなコードがあります。 $ cat demo.php <?php function foo() { mysql_query($_GET["query"]); これをスキャンしてみます。 $ php bin/php-security-scanner scan demo
無料でネットワーク使用状況の可視化やPCデータの流出を通知してくれるセキュリティツール「GlassWire」
ユーザーのネットワーク上での活動を監視し、データ通信量に関するさまざまなデータを表示したり、どのアプリケーションが個人情報をPCから外部に送信しているかなどを検知＆警告したりしてくれ、さらにはファイアーウォールとして動作することも可能な無料のセキュリティツールが「GlassWire」です。 GlassWire Network Security Monitor & Firewall Tool https://www.glasswire.com/ 「GlassWire」は、上記ページの「Download GlassWire Free」から無料でダウンロードできます。 「ファイルを保存」をクリック。 PC内にダウンロードされた「GlasswireSetup.exe」を起動。 「実行」をクリック。 「Next」をクリック。 ソフトウェア利用許諾書を読んで同意したら「I accept the ter
svchost.exeのプロセスの中身が何かを調べて表示するフリーソフト「Svchost Process Analyzer」
svchost.exeはWindowsの中で最もミステリアスなプロセスの1つ。DLLで走るホストプロセスの総称であり、多くのプロセスで使用されるsvchost.exeですが、ウイルスなどもこのファイルを使い、その活動内容を隠したりします。 無料で利用可能な「Svchost Process Analyzer」では、全ての実行中svchost.exeファイルをリスト化し、そのプロセスをチェック、これによりWindowsを狙ったマルウェアであるConfickerのようなワームを発見しやすくなります。 Svchost Process Analyzer - a svchost.exe file checker http://www.neuber.com/free/svchost-analyzer/index.html 「Ctrl+Alt+Del」キーの同時押しで起動可能な、Windowsタスクマネー
UPnPの脆弱性が自分のルーターにあるかどうかがクリックするだけでわかる「Checkmyrouter」
モバイルルーターやブロードバンドルーターに存在するUPnPの脆弱性について、結局のところ自分の持っている製品は大丈夫なのかどうか？という点をサクッと調べて確認することができて非常に便利なのが「Checkmyrouter」です。 Checkmyrouter http://www.checkmyrouter.org/ 使い方は簡単、「Get started!」をクリック 自分のIPアドレスに向かってUPnPのパケット送信をするかどうか尋ねられるので、そのまま「Check Now!」をクリック 使用する上での注意事項や自己責任で使ってねという規約が表示されるので「I accept!」をクリックして同意 このような表示になるので、右端の「Status」にあるローディング表示が終わるまでしばらく待ちます。 「Passed」と表示されたので大丈夫だったようです。さらに詳細を確認するため「Details
PCのセキュリティを分析してスコアを出すフリーソフト「OPSWAT Security Score」
PCのファイアウォール・暗号化・パッチ管理・バックアップ・共有ファイル・アンチウイルス・アンチフィッシングのセキュリティを分析してスコアを出してくれるフリーソフトが「OPSWAT Security Score」です。Windows XP、Vista、7、8上で起動可能となっています。 ダウンロード、インストール、操作方法については以下から。 Check the security score of your device | Powered by OESIS http://www.opswat.com/products/security-score 上記サイトの「FREE DOWNLOAD」をクリック。 ダウンロードしたインストーラーをクリック。 操作画面が表示されます。 上にチェックを入れて、「START」をクリック。 セキュリティのチェックが開始されます。 チェックが完了すると、ファイア
Windowsで動いているプロセスがウイルスかどうかを検査できるフリーソフト「System Explorer」
Windows標準のタスクマネージャと同じように使え、さらにそれ以上に多彩な機能を搭載したフリーソフトが「System Explorer」です。タスクやプロセスにスタートアップといったさまざな情報をまとめて管理することができ、標準で日本語に対応しています。 数回のクリックで簡単に動いているプロセスのウイルスチェックが可能な上、ソフトウェア上でアプリケーションの一覧を表示してアンインストールの実行などもできるので「何か変だな」とPCの動作に疑問を持ったときにはこのソフトウェアを立ち上げると役に立ちます。なお、Windows XP以降のOSに対応したソフトウェアです。 ダウンロードにインストール、機能の紹介などは以下から。System Explorer - Keep Your System Under Control http://www.systemexplorer.net/ 上記ページ内「
パスワードがどのくらいの時間でクラックされてしまうかチェックできるオンラインサービス -How Secure Is My Password?
パスワードがどのくらいの時間でクラックされてしまうかチェックできるオンラインサービス -How Secure Is My Password?
HASHコンサルティング徳丸浩の日記 - 自分でできる - 「かんたんログイン」DNSリバインディング耐性のチェック方法
■「かんたんログイン」DNSリバインディング耐性のチェック方法 このエントリでは、ケータイ向けWebサイトがDNSリバインディング攻撃に対する防御耐性があるかどうかをチェックする方法を説明します。ケータイ向けに「かんたんログイン」機能をもつWebサイトをチェック対象とします。 基本的な前提として、検査対象のWebサイトの管理者が自ら検査することを想定しています。 用意するもの チェック対象のWebアプリケーション(かんたんログイン機能あり) 携帯電話（かんたんログイン可能なもの） インターネット接続されたパソコン ステップ0:IPアドレスの調査 検査対象のWebサーバーのIPアドレスを調べます。一例として、検査対象サーバーのホスト名が mobile.example.com の場合、以下のコマンドでIPアドレスを調べることができます。 C:>nslookup mobile.example.
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
同じネットワークにあるすべてのデバイスを検知する、Win向けユーティリティ『Wireless Network Watcher』 | ライフハッカー・ジャパン