Ajax and Other "Rich" Interface Technologies - OWASP
This site is the archived OWASP Foundation Wiki and is no longer accepting Account Requests. To view the new OWASP Foundation website, please visit https://owasp.org Style is time’s fool. Form is time’s student – Stewart Brand Ajax applications, often styled as “Web 2.0”, are not a form of magic security pixie dust. Instead, there are two classes of applications: secure and insecure. This is indep
書籍『Ajaxセキュリティ』に関する残念なお知らせ - ockeghem's blog
昨年の10月に刊行された書籍Ajaxセキュリティは，発刊直後に購入したが，しばらく積ん読になっていた。最近になって読み始めたのだが，いささかあきれる結果となった。HPの現役エンジニア2名の著作，一人は元SPI Dynamics社(WebInspectの開発元，HPが買収)出身，GIJOE氏の監訳ということで期待していたのだが，残念である。 残念だと思う主要な理由は，脆弱性への対策が十分に示されていないことだ。Ajaxであってもインジェクション系脆弱性が発生する可能性があること，むしろ従来型のWebアプリケーションよりもその可能性が広がることは説明されているが，肝心の対策が不十分だ。 本書第四章の後半には，対策として入力検査（バリデーション）が示されている。 4.6 適切な入力検査 4.7 リッチなユーザ入力のバリデーション しかし，入力検証だけでは，任意の文字入力を許す場合の対策はできない
PDF 千夜一夜: 2008年04月03日 アーカイブ
Webは修理が必要だ — Turducken問題 New Yorkで3月に開催されたAjax World East2008で、YahooのDouglas Crockford氏が、「Webを修理できるか」という題で講演しています。 ○講演を紹介したブログ：Crockford Speaks on “Fixing the Web” and Appears on Channel 9 ○MSDNのチャンネル9でのインタビュー：http://channel9.msdn.com/Showpost.aspx?postid=391047 ○講演内容のPowerPointスライド：http://yuiblog.com/assets/crockford/crockford-fix.zip Douglas Crockford氏はJavascript分野で大変有名な人らしいですが、講演内容を見ますと相当にショッキン
ここが危ない！Web2.0のセキュリティ：第2回 Same-Originポリシーと迂回技術｜gihyo.jp … 技術評論社
Same-Originポリシー 第2回はAjaxに関するセキュリティモデルを紹介します。第1回で紹介した、Ajaxを用いてリクエストを送信するコードをもう一度見てみましょう。 Ajaxを使い通信を行う部分は次のように記述しました。 req.open('GET', 'http://www.example.com/contents.txt'); このURLの部分を、HTMLファイルが置かれているサーバとは別のドメインのURLに書き換えてみます。するとリクエストは送信されなくなったと思います。 これはセキュリティ上の理由から、他のドメインのサイトへはリクエストを送信できないように制限がかけられているためです。この制限のことをSame-Originポリシーと呼びます（他にもSame-Originルール、クロスドメインセキュリティモデルとも呼ばれます）。一方、他のサイトへアクセスすることをクロス
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
処理を実行中です
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
IBM Newsroom
