はじめに こんにちは。株式会社Flatt Securityのセキュリティエンジニアの冨士です。 本稿では、XSS(クロスサイトスクリプティング)が攻撃に用いられた時のリスクの大きさを紹介していきます。以降はクロスサイトスクリプティングをXSSと記載していきます。 XSSはセキュリティエンジニアならもちろん、開発を行っているエンジニアの多くの方が知っている脆弱性です。ですが、私はWebアプリケーションの脆弱性診断を行ってきた経験の中で多くのXSSを目にしてきましたし、依然として検出率の多い脆弱性の一つだと感じています。 その認知度や、一般的な対策方法のハードルの低さ(設計や仕様によっては対策工数が大きい場合もありますが)にも関わらずXSSの検出率が多いのは、直感的にリスクがわかりづらく、アラートをあげるだけの紹介が多いことが一つの要因ではないかと考えています。 すなわち、興味範囲が「どのよう

はじめに 対象イベント 読み方、使い方 Remote Code Execution(RCE) 親ディレクトリ指定によるopen_basedirのバイパス PHP-FPMのTCPソケット接続によるopen_basedirとdisable_functionsのバイパス JavaのRuntime.execでシェルを実行 Cross-Site Scripting(XSS) nginx環境でHTTPステータスコードが操作できる場合にCSPヘッダーを無効化 GoogleのClosureLibraryサニタイザーのXSS脆弱性 WebのProxy機能を介したService Workerの登録 括弧を使わないXSS /記号を使用せずに遷移先URLを指定 SOME(Same Origin Method Execution)を利用してdocument.writeを順次実行 SQL Injection MySQ

あなたのWeb制作をサポートしてくれるWebツール13選Update2023.05.24Release2023.04.28Tools HatenaにシェアするTwitterにツイートするPocketにストックするFeedlyに登録する Web制作をサポートしてくれるツールを10個紹介します。mix-blend-modeやgridレイアウト、transformなどのコードの他にもフォントチェックや背景画像を作成できるツール、VSCodeのテーマ作成ツールもあります。あなたのWeb制作を快適に進めるためにチェックしてみてください。 Fuze – CSS Gradient AnimatorFuzeグラデーションアニメーションのCSSジェネレーター。色を複数指定するだけでCSSアニメーション用のコードを作成してくれます。背景色やテキストカラーなどに使えます。 ちなみに、テキストカラーは当サイトのト

マークダウン形式のスライド作成ツール Slidev を試したら、とても良かったので紹介です。 Slidevとは？ Slidev はVue UseやType Challengesの作者であり、Vue.js のコアチームメンバーでもあるAnthony Fuが開発しているマークダウン形式でのスライド作成ツールです。 Vite、Vue3、WindiCSSを用いて開発されています。 まだ Public Beta ですが、リリースからわずか数日で 7,000 を超える GitHub スターを集めています。 実際にどのようなスライドが作成可能なのかは、Slidev のデモや、作者の Anthony が Slidev を用いてプレゼンした VueDay2021 の資料が分かりやすいです。 デモ動画 VueDay2021 でのプレゼン 使い方 任意のディレクトリで以下コマンドを実行するだけで環境は整います。

laravelのヤバい脆弱性をついたkinsing(kdevtmpfsi)というマルウェアに感染した話 CVE-2021-3129PHPSecurityLaravelkinsingkdevtmpfsi webサーバー上でlaravelを動かしていれば、ちょっとした設定のミスで誰でもマルウェアに感染する可能性がある激ヤバセキュリティホール(CVE-2021-3129)が2021年1月20日に報告されています！ composerでインストールしたパッケージをバージョンアップせずに使っていませんか？ インターネット上に公開されているサーバー、特にステージングや開発環境でDEBUG=ONにしていませんか？ エラー画面がこんな風に見えますか？ この3つの条件を満たしていると、あなたのlaravelは、今すぐにでもマルウェアに感染する可能性があります。 laravelの脆弱性をついたkinsing(k

Search, watch, and cook every single Tasty recipe and video ever - all in one place! News, Politics, Culture, Life, Entertainment, and more. Stories that matter to you.

スクロールした時にヘッダの高さが縮んで上部に固定表示させるWebページを見たことがあると思います。今まではJavaScriptを使用する必要がありましたが、CSSのposition: sticky;を一工夫して使用することで簡単に実装できます。 高さを縮ませるのはヘッダに限らず、パネルやバナーなど他の要素でも簡単に実装でき、汎用性にも優れていると思います。 Shrinking Header on Scroll Without JavaScript by Håvard Brynjulfsen 下記は各ポイントを意訳したものです。 ※当ブログでの翻訳記事は、元サイト様にライセンスを得て翻訳しています。 デモページのデザインがシンプルなので、一見見落とすかもしれませんが、ページをスクロールするとヘッダの高さが縮んで上部に固定表示されます。 デモページ 仕組みは、簡単です。 ヘッダは外側と内側の2

久々の更新になります。 今日は、以前記事にした Gitlab の CI/CD を使用した自動デプロイメントを、ステージングと本番が同一サーバー上にある環境のエックスサーバーで構築した話をしようと思います。 エックスサーバー は、サーバー費用も比較的安価で稼働も安定しています。そして、SSHにも対応しているので、使用している制作会社さんやエンジニアの方も多いと思います。 レンタルサーバー Xserver なので、今後エックスサーバーで、CI/CD 環境を構築する機会も増えそうなので、備忘録の意味も含めて、注意点などを記載しておこうと思います。 ここ最近は、新規のプロジェクトでは、Gitlabに開発ブランチにプッシュやマージイベントがあったら、自動的にステージングサーバーへデプロイ、マスターブランチにマージイベントがあったら（直接プッシュは禁止している）デプロイをスタンバイという具合にGitl

2021年1月下旬から2月上旬にかけて一橋大学や慶応義塾大学、関西学院大学、日本医科大学など複数の国公立・私立大学が相次いで、学生・教職員向けにWebブラウザーのプラグイン「VT4Browsers」に関する注意喚起を出した。一部の大学は、文部科学省の関係機関で発生したプラグインによる機密情報の流出事故の報告と、このプラグインの利用方法に関する注意喚起を同省から受けたことを明らかにした。

Amazonで商品を探そうとしても、どこのメーカーかも分からずに「最新版」をうたうヘッドセットなど、見るからに怪し過ぎるアイテムが次々と出てきます。闇市化しているAmazonでは、説明文の日本語がおかしいこともしばしばです。 実際、Amazonの本から「ラジオ」で検索すると、スポンサー表示であるラジオ機器が先頭に表示されます。そこで、Amazon裏技の検索コマンド「&sort=salesrank」を追加して絞り込みすると、公式「ベストセラー」表示の付いた書籍が表示されました。 Amazonには検索結果URLの末尾に特定の検索コマンドを追加すると、表示される商品を絞り込める裏技があります。例えば、インチキベストセラーを除去するには、Amazon裏技の検索コマンド「&sort=salesrank」を追加。これでAmazonが本当のベストセラー順に絞り込み検索表示が変わります。 実際にAmazo

JSer.infoは2011年1月16日に公開したJavaScriptの情報サイトで、2021年1月16日で公開してからちょうど10年です。 JSer.infoでは、10年間で10201サイト紹介し、522コの記事書いてきました。 JSer.infoの紹介したサイト数(累計)。ソース 10年間途切れることなく毎週更新していて、月別の記事数は毎年同じ推移です。 JSer.infoの月別の記事数。ソース この記事では、10年間やってきたJSer.infoの目的を振り返り、 JavaScriptの情報の集め方、書き方、まとめ方について書いていきたいと思います。 ⚠️ すべてを書いているのでものすごく長いです。 この記事やJSer.infoに関する意見や感想などは、次の場所に書いてください。 この記事をTweetする Twitter: #jserinfo GitHub Issue: JSer.in

ウェブサイトを閲覧していると「画像の読み込みが遅い」という場面に遭遇したことがある人は多いはず。画像はウェブサイトのパフォーマンスを左右する要素のひとつであり、ウェブ開発において取り扱いに注意すべきものです。そんな画像をウェブサイトで扱う際の最適化方法について、GoogleのエンジニアであるMalte Ubl氏が解説しています。 Maximally optimizing image loading for the web in 2021 https://www.industrialempathy.com/posts/image-optimizations/ ◆img要素にwidthとheightを指定する アスペクト比を維持したまま画像サイズを変更するには、「style」要素に「max-width: 100%」や「height: auto」と指定しておく手法がよく用いられます。この手法に加

Search, watch, and cook every single Tasty recipe and video ever - all in one place! News, Politics, Culture, Life, Entertainment, and more. Stories that matter to you. 記事で紹介した商品を購入すると、売上の一部がBuzzFeedに還元されることがあります。 ※BuzzFeedがオススメする商品です。リンク先でお買い物をすると、売上の一部がBuzzFeedに還元されることがあります。

Linearは、Asana以上の機能とJira以上の使いやすさとレスポンスの良さを実現する、タスク管理ソフトウェアを開発している。現在はクローズドベータテストを行っており、2021年に正式版のリリースを目指す。今回はCo-founderのTuomas Artman氏に話を聞いた。 ウィークリーユーザー2000人、参加企業700社のクローズドベータ運用中 ――まずはLinearについて教えてもらえますか。 Linearは、AsanaやTrelloなどの、タスクをチームメンバーに割り当て、その進捗状況を管理するためのツールと、Jiraのような、ソフトウェア開発プロジェクトの中期計画、追跡、管理を実行できる多機能ツールの中間的な存在となることを目指しています。 小規模なエンジニアチームをターゲットに開発を始め、現在はクローズドベータテストを行っています。ベータテストには、約700社が参加しており

この記事では、2020年に公開された便利なWebオンラインツール・ベスト100個をまとめてご紹介します。 定期的にリストアップしている最新オンラインツールまとめ記事では、2020年にかけて合計306個の新しいツールやサービスが登場しました。 その中でも、特にWebデザイン制作に便利なツールを選りすぐったコレクションで、「無料で利用できるツール」を揃えています。 これらのツールやサービスを活用すれば、Webデザイン制作をより快適に進めることができるでしょう。 カテゴリごとに整理しているので、目的にあったお気に入りツールを探してみましょう。 コンテンツ目次 1. CSSツール（14個） 2. パターンツール（7個） 3. イラスト系ツール（3個） 4. デザインツール（10個） 5. 配色カラーツール（6個） 6. グラデーションツール（3個） 7. SVGツール（8個） 8. スクリーンショ

当サイトでは、Photoshopの新しい機能テクニックをつかった最新チュートリアル、作り方を定期的にまとめて紹介しています。 この記事では、2020年のあいだに公開された、特に確認しておきたいPhotoshopのデザインチュートリアル、つくり方をまとめてご紹介します。 これまで以上に便利になった新しくアップデートされたPhotoshop 2021の新機能はもちろん、ボタンひとつで完成のお手軽写真やアクション、合成テクニックなど、デザイナーが覚えておくと便利な人気のデザインスタイルのつくり方がずらり揃います。 これからPhotoshopを始めてみよう、というひとにもぴったりなテクニックを揃えています。年末の連休をつかって、新しいテクニックを習得してみてはいかがでしょう。 2020年公開のIllustratorチュートリアル、つくり方も以下の記事でまとめています。 【総まとめ】2020年公開の

Speaker Deck This deck requires a password Password

PHP Conference Japan 2020 トーク前提の資料です。そのため、トークがないと理解が難しいかもしれません。 https://youtu.be/UTKJ-Lgn3aI?t=36 ※冒頭音声が小さいです。マイクを手に持ってから聞こえやすくなると思います。 資料中の ADOP …