SQLエスケープにおける「\」の取り扱い
補足 この記事は旧徳丸浩の日記からの転載です。元URL、アーカイブ、はてなブックマーク1、はてなブックマーク2。 備忘のため転載いたしますが、この記事は2008年6月2日に公開されたもので、当時の徳丸の考えを示すものを、基本的に内容を変更せずにそのまま転載するものです。 補足終わり 昨日のエントリ(徳丸浩の日記 - そろそろSQLエスケープに関して一言いっとくか - SQLのエスケープ再考)は思いがけず多くの方に読んでいただいた。ありがとうございます。その中で高木浩光氏からブクマコメントを頂戴した。 \がescape用文字のDBで\のescapeが必須になる理由が明確に書かれてない。\'が与えられたとき'だけescapeすると…。自作escapeは危うい。「安全な…作り方」3版で追加の「3.失敗例」ではDBで用意されたescape機能しか推奨していない このうち、まず「\」のエスケープが必
メルカリ社内ドキュメントツールの Crowi を Kubernetes に載せ替えました | メルカリエンジニアリング
最近、SRE になった @b4b4r07 です。今回は、直近のタスクだった社内アプリを Kubernetes に載せ替えた話をします。 前置き メルカリでは全社的 1 に Crowi という Markdown で書ける Wiki アプリケーションをナレッジベースとして採用しています。 site.crowi.wiki 以前は、プロダクトチームは Qiita:Team、コーポレート系は Google Sites と言った具合に、各部署ごとに異なるドキュメントツールを使っていました。これではよくないと、エンジニアに限らず誰でも書きやすく参照しやすい Wiki のようなサービスが必要とされ、Crowi の採用に至りました。 まずはみんなに使ってもらうために広めていこうと、試験的に導入が始まったため、今回の移行話までは 1 台の EC2 インスタンスにアプリケーションサーバと Nginx、Mongo
徳島県警察の誤認逮捕事件についてまとめてみた - piyolog
2017年9月10日、チケット売買を巡り、徳島県警察(三好署)により詐欺容疑で女性Aが逮捕、勾留されていた事件について、別人(女子中学生B)によるなりすましの犯行であり、女性Aは誤認逮捕であったと報道されました。ここでは関連情報をまとめます。 インシデントタイムライン 日時 出来事 2016年8月頃 女性AがTwitter上にチケット売買を書き込み。 2016年8月17日 女子中学生BがAになりすましてC、Dと架空の売買契約。 その後 徳島県内の女子高生C、Dがチケット代として計8万円を振り込み。 2016年9月 チケットが届かなかったとして女子高生Cが被害届を徳島県警察三好署へ提出。 女性A逮捕直前 徳島県警察が女性Aの自宅を家宅捜索。 2017年5月15日 現金をだまし取ったとして女性Aが詐欺容疑として徳島県警察により逮捕。同月送検。*1 ：(19日間) 女性Aを勾留。 2017年6月
ざっくり分かる脆弱性指標 - CVE CVSS CWE - Qiita
背景 ソフトウェアの脆弱性を確認する際、必ず出てくる用語であるCVE, CVSS, CWEをざっくり把握しておく。 簡単に言うと、 CVEは世の中の脆弱性の一元的なID、 CVSSはその脆弱性の深刻度点数、 CWEはその脆弱性がどのカテゴリなのか を表す。 参考文献 情報セキュリティスペシャリスト - SE娘の剣 - IPA - 共通脆弱性評価システムCVSS概説 CVE Details CVE (Common Vulnerabilities and Exposures) - 共通脆弱性識別子 一言でいうと、「世の中の脆弱性情報を一意に管理するためのID」 様々のソフトウェア製品の脆弱性に一意の識別番号「CVE識別番号(CVE-ID)」を付与し、脆弱性を管理 命名規約は、「CVE-YYYY-XXXX」 : YYYYは年、XXXXは一意の番号を表す。 例）CVE-2014-3566（SSLv
Attack method of open redirect using basic authentication / Basic認証を用いたオープンリダイレクトの攻撃手法 - http80
僭越ながら、脆弱性"&'<<>\ Advent Calendar 2016 の6日目の記事です。 端的に言うと、URLにBasic認証を埋め込む方法があるのですが、これをオープンリダイレクトの攻撃に応用できます。 この手法は昨年に発見し、もう1年以上経っているので、既にご存知の方もいるかと思われますが、Web初出でしょうか。日々の健全な脆弱性診断にご活用ください。 www.adventar.org ●オープンリダイレクトの脆弱性 診断ベンダによっては「オープンリダイレクタ」「外部サイトへ誘導可能」といったタイトルで揺らぎはありますが、本質的には同じです。*1 実はこの脆弱性、OWASP TOP 10(2013)に仲間入りしている悪いヤツです。 Top10-2013-A10: Unvalidated Redirects and Forwards (原文) 日本語版PDFでは、未検証のリダイレ
PHPのunserialize関数に外部由来の値を処理させると脆弱性の原因になる
既にいくつかの記事で指摘がありますが、PHPのunserialize関数に外部由来の値を処理させると脆弱性の原因になります。 しかし、ブログ記事等を見ていると、外部由来の値をunserialize関数に処理させているケースが多くあります。 ユースケースの一例としては、「複数の値をクッキーにセットする方法」として用いる場合です。 PHP クッキーに複数の値を一括登録する方法という記事では、以下の方法で複数の値をクッキーにセットしています。 $status = array( "height" => 167, "weight" => 50, "sight" => 1.2 ); setcookie("status", serialize($status)); クッキーの受け取り側は以下のコードです。 print_r(unserialize($_COOKIE['status'])); 出力結果は以下
「会社を辞める」という意味の単語のまとめ<resign、quit、retireなど>
これが代表的です。 その違いについて説明していきます。 resign 「resign」についてですが、ニュアンスとして「～を辞任する」という意味があり、辞表を提出し会社を辞めるというニュアンスを含みます。 そのため、フォーマルな響きがありますが、「辞表を提出して会社を辞任した」という意味なので、社外の人に対して使う表現ではなく、同じ社内の人がこのようにして会社を去る場合に使うというイメージです。 Our manager resigned from his position. 私たちの課長は彼の地位を辞任しました。 このように「resign from～」という形で「～を辞任する」という使い方をします。 quit 「quit」はインフォーマルなニュアンスがあるので、どちらかというと仲間内で使う表現です。 「彼、会社やめたみたいだよ」という感じで使われる単語です。 ちなみに「quit」は「qui
可能性を信じ、もっと面白いマクドナルドを作る！――ポケモンGOとのコラボ仕掛け人、日本マクドナルド 唐澤俊輔氏 | GLOBIS学び放題×知見録
人材育成のプロが組織の成長に伴走します。生成AIを活用した各種機能、MBA基礎〜DXなど最新知識まで測定もできるeラーニングも用意。 詳細を見る 7月22日（金）に日本でも始まった「ポケモンGO」。日本マクドナルドは、日本全国の約2900店舗を「ジム」あるいは「ポケストップ」とする単独ローンチパートナーとなるという思い切った手を打った。そのプロジェクトの仕掛け人、日本マクドナルドの唐澤俊輔氏は、グロービス経営大学院卒のMBA（経営学修士）取得者（2013期）として活躍中。2016年に入ってからの日本マクドナルドのマーケティング施策について聞いた。（聞き手は、水野博泰＝GLOBIS知見録「読む」編集長） 【ゲスト紹介】 唐澤俊輔（からさわ・しゅんすけ）氏 日本マクドナルド株式会社 マーケティング本部ナショナルマーケティング部 部長 慶應義塾大学法学部卒業。グロービス経営大学院経営学修士(MB
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
クロスサイトリクエストフォージェリ(CSRF)とその対策
Kap - Capture your screen
スマートスピーカー旋風、テレビのHDRが進化? 「IFA 2017」で見たトレンド