ダイヤルQ2風の電話番号でInstagramやGoogleやMicrosoftから金をむしりとれる脆弱性
セキュリティ研究者が、とても興味深い脆弱性を報告して報奨金をもらった記事が上がっている。 How I Could Steal Money from Instagram, Google and Microsoft – Arne Swinnen's Security Blog プレミアムナンバーという電話上のサービスがある。これは一時期日本で行われていたダイヤルQ2と同等の仕組みを持つサービスで、プレミアムナンバーという電話番号にかけた電話の通話料は、通常より高い。通話料の差分は、電話サービスの提供元に支払われる。 ダイヤルQ2は電話越しに何らかのサービスを提供して、電話料金で利用料を徴収できる、手軽な仕組みだった。その利用例は、投資顧問、アダルト、占い、人生相談、義援金、ダイヤルアップISPなどに利用されていた。ダイヤルQ2自体は2014年に終わったが、海外ではまだ同等の仕組みをもつサービス
AWSとセキュリティを大人達が寄ってたかって議論する会に行ってきた | ロードバランスすだちくん
シンジです。AWSのユーザー自身が活動するJAWS-UGのセキュリティ専門部隊である、Security-JAWS第一回目が開催されました。イベント参加者数は定員40人、申込者194人と大盛況すぎた。シンジは運営委員ということで、生まれて初めて受け付けをやってみましたが、みなさんセキュリティが強固なのでなかなか受付インジェクションが苦労したという話です。 運営委員集合 18時集合です。意外とちゃんと集まった。とりあえずタリーズで休憩。 LACさん提供の最高の会場 これが看板Debut！！ かーらーのー？ ふむふむ ふむふむ？ 迷宮か ついた はしゃぐ大人達 唐突に始まるカメラバトル クラメソの森永さんです 受け付け開始！受付第一号は まさかのAWSの中の人でした（AWS JAPAN 亀田さん） はっじまっるよー Security-JAWS生みの親、トレンドマイクロ南原さんが司会を務めます。
グループポリシーでChromeのLINE拡張機能やChromeリモートデスクトップを禁止しよう！ - 家庭内インフラ管理者の独り言（はなずきんの日記っぽいの）
PCで気軽にLINEができるGoogle Chrome版ウェブアプリ登場！ : LINE公式ブログの投稿を見た瞬間に、ドキッとしました。 そして、ADで出来そうだよねって思ったまま放置してました(汗 ドキッとした理由は、社員のアカウントはUsersグループだし、万が一LINEのサイトからインストーラーを起動したとしても管理者のIDとパスワードを入力しなければインストールできないから大丈夫！って思ってたんですもの。 ところがですよ、Chromeの拡張機能ってことは、たとえ社員のアカウントが新しいアプリケーションを追加できないように設定していたとしても、導入可能ってことになってしまいます。 ChromeのLINE拡張機能で何ができるの？ メッセージ機能(スマホ・デスクトップ版のLINEと同様) 画面の共有機能(デスクトップ版のLINEと同様) ファイル送信機能(デスクトップ版のLINEと同様)
「銀行から１万４０００件の情報流出」を当事者目線で解説したい
出会い系サイト運営者と繋がりのある方より直接話を聞くことができました。 文才がないながらも出来るだけ当事者側からの目線で解説したいと思います。 先に言いますが、本件は出会い系サイト自身が被害者でもありますので、「出会い系サイトなんて全部サクラサイトだろ?」みたいな先入観をお持ちの方は一旦捨てて頂くと理解しやすいかと思います。真っ当に運営されている出会い系サイトが被害者です。 まず流出したであろう情報とは何なのか?「残高照会ダイヤル」は、契約者が持つ口座の残高や、通帳に「印字されうる」取引明細も音声で知ることができます。例えば 「27-11-27 振込 フグタマスオ *30,000」 「27-11-30 振込 イソノカツオ *10,000」 このような入出金の取引を、音声で知ることができます。 もちろん契約者(契約団体)自身しかアクセスできないはずの情報なわけですが、この残高照会ダイヤルの操
OpenSSL #ccsinjection Vulnerability
[English] 最終更新日: Mon, 16 Jun 2014 18:21:23 +0900 CCS Injection Vulnerability 概要 OpenSSLのChangeCipherSpecメッセージの処理に欠陥が発見されました。 この脆弱性を悪用された場合、暗号通信の情報が漏えいする可能性があります。 サーバとクライアントの両方に影響があり、迅速な対応が求められます。 攻撃方法には充分な再現性があり、標的型攻撃等に利用される可能性は非常に高いと考えます。 対策 各ベンダから更新がリリースされると思われるので、それをインストールすることで対策できます。 （随時更新） Ubuntu Debian FreeBSD CentOS Red Hat 5 Red Hat 6 Amazon Linux AMI 原因 OpenSSLのChangeCipherSpecメッセージの処理に発見
XMLHttpRequestを使ったCSRF対策 - 葉っぱ日記
合わせて読んでください：Flashと特定ブラウザの組み合わせでcross originでカスタムヘッダ付与が出来てしまう問題が未だに直っていない話 (2014-02/07) XMLHttpRequestを使うことで、Cookieやリファラ、hidden内のトークンを使用せずにシンプルにCSRF対策が行える。POSTするJavaScriptは以下の通り。(2013/03/04:コード一部修正) function post(){ var s = "mail=" + encodeURIComponent( document.getElementById("mail").value ) + "&msg=" + encodeURIComponent( document.getElementById("msg").value ); var xhr = new XMLHttpRequest(); xhr
Javaに新たな「ゼロデイ」の脆弱性、既に悪用攻撃も横行
悪名高い「Blackhole」や「Nuclear Pack」などのツールキットが既にこの脆弱性を悪用しているという。US-CERTはWebブラウザでJavaを無効にする対策を奨励している。 米セキュリティ機関のUS-CERTは1月10日、「Java 7 Update 10」までのバージョンに未解決の深刻な脆弱性が見つかったとして、セキュリティ情報を公開した。この脆弱性を突いた攻撃も既に横行しているという。 US-CERTによると、脆弱性は「Java Management Extensions（JMX） MBean」コンポーネントに存在する。攻撃者がこの問題を悪用して細工を施したHTML文書をユーザーに閲覧させることにより、リモートから認証を受けずに任意のコードを実行できてしまう恐れがあるという。 共通脆弱性評価システムCVSSによる深刻度評価は、ベーススコアで最高値の「10.0」。この脆弱
「CVE-2012-4681:Oracle Java7 任意のOSコマンドが実行可能な脆弱性」の攻撃手法解説 - ( ꒪⌓꒪) ゆるよろ日記
Ocacle Java7で任意のOSコマンドを実行可能な脆弱性がある、と話題になりました。 JVNTA12-240A: Oracle Java 7 に脆弱性 本日パッチがリリースされました。 Oracle、Javaの深刻な脆弱性を公表―攻撃者はリモートであらゆる操作が可能〔今朝パッチ緊急リリース〕 Alert for CVE-2012-4681 PoCコードも公開されています。この脆弱性を突く攻撃はどのようなものか興味があったので、調べてみました。 調査結果は、今週に行われた8月29日 JJUG Night Seminar ~ Java VM<&納涼会 ~(東京都) で話してきたのですが、パッチも出たことだしブログにも書いてみようと思います。 Javaのセキュリティモデルについて Javaのセキュリティは、サンドボックスモデルによって確保されています。サンドボックスは、JVM上で実行さ
( ꒪⌓꒪) ゆるよろ日記
どうも、しいたけです。 去年あたりからローレイヤー周りの知識を充実させようと思い、 低レイヤを知りたい人のためのCコンパイラ作成入門 を読んでCコンパイラを書いてみたりx86_64の勉強をしたりしていました。 今年に入ってから、よりローなレイヤー、具体的にはハードウェアやOSについてもう少し知りたいと思い始め、手頃な書籍を探していました。 CPUなどのハードウェア周りについては概要しか知らなくて手を動かしたことがないので、実際に何か作りながら学べるものとして、 O'Reilly Japan - コンピュータシステムの理論と実装 に挑戦することにしました。 O'Reilly Japan - コンピュータシステムの理論と実装 成果物は以下のリポジトリに置いてあります。 yuroyoro/nand2tetris 結論から言うと、やってみて大変楽しめました！ 特にハードウェア周りは今まで挑戦したこ
ブロックされたサイトへアクセスする裏技10連発！ : ライフハッカー［日本版］
DIY , Firefox , Google , Linux , Microsoft , Mozilla , PC本体 , Webツール , Windows , その他 , その他 , アドオン , セキュリティ , デスクトップツール , ハードウェア , フリーソフト , ブラウザ ブロックされたサイトへアクセスする裏技10連発！ 掲載日時：2010.04.26 08:00 コメント [0] , トラックバック [0] Photo by chidorian インターネットというのはフリーな場所である、と言いつつも、職場などのパソコンではアクセスが制限されていたり、トラフィックが多過ぎで繋がらなかったりなどするものです。 今すぐ特定の動画を見たい、またはあるサイトへアクセスする必要がある、今すぐこのtorrentをダウンロードしたい！ などの不都合に直面した際に役立つ裏技を10通り一
高木浩光＠自宅の日記 - ここまで破綻しているケータイID認証（簡単ログイン）
■ ここまで破綻しているケータイID認証（簡単ログイン） 2009年夏、はてなブックマーク界隈では「かんたんログイン」が危ういという話題で持ち切りだった。IPアドレス制限をしていても突破できてしまうのではないかという話だった。 実際に動いてすぐ使える「PHPによるかんたんログインサンプル」を作ってみました, ke-tai.org, 2009年7月31日 SoftBank Mobileの携帯用GatewayをPCで通る方法のメモ, Perlとかmemoとか日記とか。, 2009年8月1日 ソフトバンクの携帯用GatewayをPCで通る方法があるようです, ke-tai.org, 2009年8月4日 これは要するに次のような話だった。 まず、SoftBankの携帯電話で特定のAPN mailwebservice.softbank.ne.jp でネット接続して、所定のProxyサーバ sbwap
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
就活生のみなさんへ ～文系？理系？～ « サーバーワークス社長ブログ