IPA ISEC セキュア・プログラミング講座：Webアプリケーション編 第1章 総論：マッシュアップにおけるセキュアプログラミング
Webアプリケーションを一から企画・要件定義・設計する従来のソフトウェアの構成ではなく、他者の Web サービスを主要な部分に利用して開発する「マッシュアップ」の構成においては、想定される脅威の構図が変化している。 脅威の構図の変化に対応するセキュアプログラミングの論点が存在する。 マッシュアップとは 近年、Web アプリケーションの開発プロセスに特徴的な変化が見受けられる。その要因として顕著なのはソフトウェア部品や機能が Web インタフェイスをもつサービスとして公開されるようになったことが挙げられ、これらを利用する Web サイトが増えている。 音楽 DJ の世界において複数の既存の楽曲を組み合わせて新たな楽曲を創造することが「マッシュアップ」と呼ばれていることになぞらえて、Web アプリケーションを組み合わせによって開発することも「マッシュアップ」と呼ばれるようになった。短期的も変化
IPA セキュア・プログラミング講座 「Webアプリケーション編」に「Web関連技術」を追加
本ページの情報は、2016年10月時点のものです。2023年10月に再構成をいたしました。 なお、内容に変更はありません。 2016年10月版 2002年2月に「Webプログラマコース」と「製品プログラマコース」、2007年の6月に「Webアプリケーション編」、9月に「C/C++編」と分けて公開してきた講座のうち、原則を中心として共通的なものをまとめて2016年10月に再編しました。 なお、資料内の参照先はすべてサイトリニューアル前のURLであるため、リダイレクトを設定しています。 セキュア・プログラミング講座(2016年10月版／2017年6月一部修正)(PDF:2.3 MB) 2007年版 「ソースコード検査技術の脆弱性検出能力向上のための研究」（注釈1）を実施した一環として取りまとめた内容を、2002年から公開していたセキュア・プログラミング講座（旧版）の改訂版（2007年版）として
『なぜ、プログラミングは楽しいのか？』に対する素晴らしい答え | naglly.com
『なぜ、コンピュータープログラミングは楽しいのか。なぜ、僕を含めプログラミングに携わる人々は、何度も辛い目に遭いながらも、この職種から遠ざかる事が出来ないのか・・・？』 この問いに対する答えが下記のサイトに載っていました。ここには、プログラミングの本質的な楽しさが書かれています。 Why is programming fun? An extract from Fred Brooks' (Frederick P. Brooks Jr.) book, The Mythical Man-Month http://www.grok2.com/progfun.html この書籍の日本語訳「人月の神話」はこちらです。 人月の神話【新装版】 評価： 4.7点 著者：Jr FrederickP.Brooks,Jr.,Frederick P. Brooks,滝沢 徹,牧野 祐子,富澤 昇 発売日：2014-
超簡単プログラミング「MS Small Basic」が正式版で無料公開、サンデープログラミングにどうですか？
超簡単プログラミング「MS Small Basic」が正式版で無料公開、サンデープログラミングにどうですか？ いまベテランのITエンジニアとして活躍している方々の中には、子どもの頃にBasic言語で初めてプログラミングを覚えた、あるいは駆け出しエンジニアの頃に最初に仕事で使った言語がVisual Basicだった、という方も多いのではないでしょうか？ 実は僕も、最初に使ったプログラミング言語はPC-8001のN-BASICでした。もう30年くらい前のことですね。 マイクロソフトが2月24日に正式版を公開した最新のBasic言語「Small Basic」を使うと、もしかしたらその頃の気持ちが思い出せるかもしれません。 exeファイルも生成できる Small Basicは、そのホームページに「Microsoft Small Basic puts the "fun" back into comp
C-Production – UNIXとプログラミングの備忘録
大変ご無沙汰です。約1年半ぶりの更新です。 昨日、ブログを設置しているサーバでOSのアップデートに問題が発生したため、これを機に新サーバ・新OSに乗り換えることにしました。 現在のブログがマルチサイトのため、そのままでは新サーバの構築に苦戦すると予想されるため、他のブログの記事を統合しました。 統合内容は以下の通りです。 ・C-Production ・・・ メインサイトのため、他のブログを吸収して継続。 ・♪8thNote♪ ・・・ メインサイトに統合済みだったので、削除。 ・モバイル魂 ・・・ メインサイトに記事を引き継ぎ、並行稼働中。 ・無線のドキュメント ・・・ もともと閉鎖予定だったので、そのまま削除 外部SNSのアカウントについてはそのまま継続します。 今後ともよろしくお願いします。
C/C++ セキュアコーディングセミナー資料 | JPCERT コーディネーションセンター
これまでにC/C++ セキュアコーディングセミナーで使用した講義資料を公開しています。2010年度にセミナを実施した、文字列、整数、動的メモリ管理、書式指定文字列、CERT C セキュアコーディングスタンダード、ROSE については、それぞれ最新版の資料を掲載しています。 文字列 ユーザとソフトウエア間に発生するデータのやりとりの大部分は文字列によって行われます。 また、プログラム間でのデータ交換も文字列形式で行われるようになり、その結果、文字列表現や文字列管理、文字列操作における弱点がソフトウエア脆弱性を生み出しています。 文字列では、C/C++ 言語における文字列操作、一般的なセキュリティ上の欠陥と、その結果発生する脆弱性と対処方法について解説します。 C/C++ における文字列の特性 犯しやすい文字列操作の間違い 文字列の脆弱性 プロセスのメモリ構成 スタック破壊の仕組み コードイン
配列データを一気にクロスサイトスクリプティング対策する関数(php) | とりさんのソフト屋さん
福井のソフトウェア会社です。AccessやExcel、.NETソフトウェア開発、WordPress等を使用したホームページのシステム化、PCサポート・メンテナンス、コンサルなどを行っています。 投稿日 2009 年 3 月 28 日 – 3:28 PM カテゴリ: php プログラムを書く上でXSS(クロスサイトスクリプティング)対策はとても面倒であり、また抜けが多いし、確認するのに人を大量投入もしくはツールを導入出来れば良いが納期と予算的な兼ね合いでそうもいかない。 「XSS対策に関しては出力時に処理するのが最善の策。最初期にやるのが次善の策。」とXSS対策に詳しい方が述べている。 いろんなサイトを見ると一気にデータを処理するのではなく変数を出力時に個別にエンティティ化させている。 しかし、出力時に個別に処理するのは、人為的なミスが混入する割合が高いと個人的に考えている。 予算も人も期
Sony Japan｜ソフトウェア脆弱性防止コーディングルール
ソニーが仕様を定めて作成・納品を依頼するソフトウェアにおいては、ソフトウェアセキュリティ上の脆弱性を出来るかぎり防止するために、原則として「ソフトウェア脆弱性防止コーディングルール（STM-0117 一般公開版）」*に規定するコーディングルールに従ったプログラミングをお願いしております。 ソニーはビジネスパートナーの皆様とともに、ソフトウェア脆弱性の防止に努力を重ねてまいりますので、ご協力のほど、よろしくお願いいたします。
本を読む ファイルを作ってからchmod 600するのはセキュアじゃない
「どう書く？org」でさんざんふざけた回答を投稿しまくっている私なんですが、自分のことを思いきり棚に上げてツッコんでみます。もし、これで参考になる方がいらっしゃればと。 「ACLの制御 どう書く？org」というお題が出されて、「セキュリティ」というタグがついています。これに対して、ファイルを作ってからアクセス権限を変更する回答がいくつか寄せられています。 これは、セキュリティとしてはヤバいパターンではないかと思います。簡単にいうと、ファイルを作ってからchmodする間にopenしてしまえば、アクセス制限は適用されないからです（少なくともUnix系OSでは）。 回答されている方々は理解したうえでお題の要求に答えているからいいのですが、知らない方々が見ることを考えると、ちょっと危険かなと。いや、セキュリティは私も苦手なんですが。 実験してみましょう。まず、ファイルを作ってからchmod 600
Ywcafe.net
Ywcafe.net This Page Is Under Construction - Coming Soon! Why am I seeing this 'Under Construction' page? Related Searches: fashion trends All Inclusive Vacation Packages Parental Control song lyrics Best Mortgage Rates Trademark Free Notice Review our Privacy Policy Service Agreement Legal Notice Privacy Policy|Do Not Sell or Share My Personal Information
CakePHP 比較演算子インジェクションに注意
@deprecated この情報はCakePHP1.2betaまでのものです。1.2RC1についてはこの方法は有効ではありません。詳しくはCakePHP 1.2RC1からは比較演算子をキーに書くをどうぞ。 CakePHPのモデルで検索条件を指定する場合は比較演算子に注意が必要です。 検索条件では↓な感じで条件値の他にSQLの比較演算子を入れることができます。 <?php class UserController extends AppController { funtion index($id) { $id = is_numeric($id) ? $id : 0; // $id より大きなidを持つレコードを取得 $list = $this->findAll(array('id' => '> ' . $id)); $this->set('list', $list); } } ?> これを見
IPAの新版「セキュア・プログラミング講座」がイマイチだ
補足 この記事は旧徳丸浩の日記からの転載です（元URL、アーカイブ、はてなブックマーク）。 備忘のため転載いたしますが、この記事は2009年3月27日に公開されたもので、当時の徳丸の考えを示すものを、基本的に内容を変更せずにそのまま転載するものです。 補足終わり 2002年3月にIPAから公開されたセキュア・プログラミング講座は、その後2007年に新版が公開された。旧版は今から7年前のコンテンツがベースになっているので現在の目から見ると色々突っ込みどころがあるが、2002年という時期にこれだけのコンテンツを揃えたというのは立派な仕事だったと考えている。 一方、2007年の新版はどうか。部分的に見れば「開発工程と脆弱性対策」の関連について言及するなど意欲的な内容もあるが、全体としては物足りない。新版が出た当時も「例えば、PHPを避ける」という表現が話題になったくらいで、同じIPAから公開され
haXe 2.03 リリース | スラド IT
今日、haXe（ヘックス）の最新版 haXe 2.03 が公開されました。haXeウェブサイトから、Windows版とLinux版がダウンロードできます。Mac OS X版も明日公開される予定です。 haXeはActionScript風の文法を持つプログラミング言語で、SWF(Adobe Flash)形式、JavaScript形式、PHP形式などにコンパイルでき、ウェブアプリケーションのクライアントサイド・サーバサイド両方が作れるという特徴を持ちます。 今回のリリースでは、SWC形式（Flash クラスライブラリ）としての出力が追加されました。 haXeの紹介によると、haXeはJavaScript（.js）やFlash（.swf）、PHP 5（.php）、NekoVM（.n）、C++といった言語にコンパイルできるプログラミング言語で、その構文はJavaScriptとJava、C++をあわ
正規表現で「制御文字以外」のチェック - ockeghem's blog
一般に、セキュアコーディングの基本として入力値の検証（Validation）をせよということになっていますが、これが変な方向に行くといわゆる「サニタイズ」のような手法になってしまいます。以前も指摘したように、アプリケーションとしてのValidationは仕様に従って行うべきものです。 ですが、概ねどの場合でも行うべき検証として以下があると思います。 文字エンコーディングの妥当姓 制御文字(\x00〜\x1f, \x7f)のチェック 文字列長のチェック このうち後ろ二つを正規表現として書くにはどうすればいいかを考えていました。つまり、「制御文字以外の文字でm文字以上n文字以下」というようなチェックです。m文字以上、n文字以下は、{m,n}で書けるので、問題は「制御文字以外の文字」です。これはtextタイプのinput要素で、かつアプリケーション仕様としては文字種の制限をしない場合を想定してい
エスケープ処理をしないプログラム作り:＠京都web屋blog - CNET Japan
前回は、web屋とは関係のない話題にしてしまったので、今回はwebのお話を。 第１回目の自己紹介エントリーでも書きましたが、私は職場ではLAMP環境でシステムの開発をしています。 開発言語はPHPで、デザインのテンプレートエンジンにSmartyを利用し、データベースはMySQLを利用しています。 この環境は、小規模なwebサイトを作る場合に非常にプピュラーな環境であり、比較的安価なレンタルサーバ（共用サーバ）でも利用できるので、一度は目にしたことがあるのではないかと思います。 PHP+MySQL環境に限らず、動的なwebサイトで安全なサイトを作る上で、必ずしないといけない基本中の基本が「XSS」や「SQLインジェクション」なのですが、これが案外に面倒で、今でも存在するサイトであっても対処されていなかったりもします。 といっているにも関わらず、私は、システム作成において、エスケープ処理を可能
「最も危険なプログラミングエラー」25種類のリスト発表
サイバースパイやサイバー犯罪につながる「危険なプログラミングエラー」の上位25種類をSANSが発表した。 SANS Instituteは1月12日、ソフトウェアの脆弱性発生の原因となる「最も危険なプログラミングエラー」上位25種類のリストを発表した。 リスト作成には、米SymantecやMicrosoftなどの民間企業、カリフォルニア大学などの学術機関、米国土安全保障省の国家サイバーセキュリティ部門（NCSD）、日本の情報処理推進機構（IPA）などが協力した。「コンポーネント間のセキュアでない相互作用」「危険なリソースマネジメント」「防御の不備」の3分野にわたる計25項目を「最も危険なプログラミングエラー」として挙げた。 2008年は、このうち2項目だけで150万件のWebサイトセキュリティの問題が発生。問題のあるWebサイトを訪れたユーザーのコンピュータが、攻撃者によって「ゾンビPC」に
はてなブログ | 無料ブログを作成しよう
セメントドリンク、ブラウン管、吊るされた収納、OMORIカフェ、くり抜き、どや顔の初音ミク パチミラ福岡に出演する縁で博多に行きました。 楽しかったのでその時の写真をアップロードします。 博多駅のハートポスト 手描きのグリッチ カニの丸揚げ(おいしかった) フレッシュセメント という名前の飲み物(おいしかった)ごま+バナナスムージーっぽかった？ 泡系…
間違ったコードは間違って見えるようにする - The Joel on Software Translation Project
Joel Spolsky / 青木靖 訳 2005年5月11日 水曜 私が最初の本当の仕事をはじめたのは1983年9月に遡る。それはオラニムというイスラエルの大きな製パン工場で、16台の飛行機ほどもある巨大なオーブンで、毎晩10万個のパンが作られていた。 はじめて工場に入った時、そのあまりの汚さに信じられない思いだった。オーブンの側面は黄ばんでいるし、機械は錆びていて、そこらじゅうが油だらけだった。 「いつもこんなに汚いの?」と私は聞いてみた。 「なんだって? なんの話をしてるんだ?」とマネージャが答えた。「掃除したばかりだから、今が一番きれいな状態なんだ」 なんてこった。 毎朝の工場の清掃を何ヶ月か続けて、ようやく彼らの言っていたことが理解できるようになった。パン工場では、きれいというのは機械にパン生地が付いてないことを言うのだ。きれいというのは、ゴミ箱に発酵したパン生地が入ってないこと
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
Technical Note TN2267: Video Decode Acceleration Framework Reference
PHPでのセキュリティ対策についてのメモ - Liner Note