iOS/Androidアプリ内課金の不正なレシートによる有料会員登録を防ぐ - pixiv inside [archive]
こちらはピクシブ株式会社 Advent Calendar 2014の12/9の記事です。 こんにちは。iOSエンジニアの@shobyshobyです。 歌も歌えてコードも書けるエンジニアを目指して、毎週ボイトレに通っています。 さて、私は最近、pixiv公式iOS/Androidアプリ向けのSubscription課金の実装を担当していたのですが、 いざ機能を公開してみると、APIに投げられる不正なレシートが予想以上に多いことに気がつきました。 今回は、iOS/Androidアプリ内課金の不正なレシートによる有料会員登録を防ぐ対策を解説します。 有料会員登録の検証処理に漏れがある場合、お金を払わずに不正に有料会員になることができてしまうため、 アプリ内課金のバックエンド処理は慎重に設計、実装する必要があります。 ※この記事では、AndroidのIn-app Billing Version 3
![iOS/Androidアプリ内課金の不正なレシートによる有料会員登録を防ぐ - pixiv inside [archive]](https://cdn-ak-scissors.b.st-hatena.com/image/square/b511f5685dec65d540f2f02873a46f5cb40dda5b/height=288;version=1;width=512/http%3A%2F%2Fcdn-ak.f.st-hatena.com%2Fimages%2Ffotolife%2Fd%2Fdevpixiv%2F20141208%2F20141208224418.png)
Railsのセキュリティ対策で調べた事 - Qiita
# { name: "' or 1=1 --'" } 等が指定され場合にダメ User.where("name='#{params[:name]}'") # => placeholder使うようにする User.where(name: params[:name]) User.where("name = ?", params[:name]) # {order: ",8"} Orderメソッドは列番号指定が可能 User.order("name #{params[:order]}") # {id: 532, lock: "or 1=1"} lockは任意のSQLを指定できる User.where(id: params[:id]).lock(parmas[:lock])
Rails SQL Injection Examples
Overview The Ruby on Rails web framework provides a library called ActiveRecord which provides an abstraction for accessing databases. This page lists many query methods and options in ActiveRecord which do not sanitize raw SQL arguments and are not intended to be called with unsafe user input. Careless use of these methods can open up code to SQL Injection exploits. The examples here do not inclu
【重要】NTPの脆弱性について | さくらインターネット
お客様各位 さくらインターネット株式会社 平素よりさくらインターネットに格別のご愛顧を賜り、誠にありがとうございます。 下記サービスにおきまして、NTP（Network Time Protocol）の脆弱性を悪用したNTP リフレクション攻撃の事象が多く確認されており、コンピュータセキュリティ関連の情 報発信などを行うJPCERTコーディネーションセンターからも注意喚起が発表されていま す。 ▼対象サービス ・さくらのVPS ・さくらのクラウド ・さくらの専用サーバ ・専用サーバ ・専用サーバPlatform ▼JPCERTコーディネーションセンター 「ntpd の monlist 機能を使った DDoS 攻撃に関する注意喚起」 http://www.jpcert.or.jp/at/2014/at140001.html お客様におかれましては、ntpdへの適切なアクセス制限が設定されている
IPAからAndroidアプリの脆弱性に関するレポート出ました
「Androidアプリを作っている（作ってもらっている）けど、脆弱性が心配」という声はtwitterでも目にすることがあります。そして、「『安全なウェブサイトの作り方のAndroidアプリ版』があったらいいのに」という希望を目にしたこともあります。 6月13日にIPAから公表された「IPA テクニカルウォッチ『Androidアプリの脆弱性』に関するレポート」は、この『安全なウェブサイトの作り方のAndroidアプリ版』に相当する位置づけのドキュメントです。なぜそう思うかというと、以下の性格が『安全なウェブサイトの作り方』と共通するからです。 Androidアプリの基本的な問題に絞っている 届出の多い脆弱性にフォーカスしている 以下、もう少し詳しく紹介します。 Androidアプリの脆弱性とは何か 同レポートでは、Androidアプリの脆弱性を以下のように定義しています（同書P3）。 ■ 「
sshへの総当り攻撃をiptablesの2行で防ぐ方法 (blog@browncat.org)
blog@browncat.org Web, Linux, Ubuntu, Mac, PDA, 携帯電話, プログラミング, ソフトウェア＆落書き iptablesのオプションは間違うとひどいことになりますが、うまく動くと素晴らしい。わずか2行でsshへの総当り攻撃を防ぐことが出来る方法。知っている方には何をいまさらですが、不勉強な私は知りませんでした。ネタは以下のリンクです。 TechBlog - How to: Block brute force attacks with iptables(英文) 自宅サーバを立ち上げている方やサーバ管理をされている方は一度や二度はsshへの総当り攻撃を見たことがあると思います。私のところではログインする元がほぼ決まっているので/etc/hosts.allowにSSHで接続を許可するホスト/ネットワークを指定しており、これでほとんど問題ありません。 そ
あなたのLinuxマシンをセキュアにするために知っておくべきiptablesのルール10選
文：Jack Wallen（Special to TechRepublic） 翻訳校正：村上雅章・野崎裕子 2009-03-03 08:00 iptablesをマスターするには時間がかかるものの、セキュリティに関する基本的なニーズを満たすことのできるいくつかのルールを知っておくだけで、あなたのLinuxシステムのセキュリティを向上させることができる。本記事では、その手始めとなる重要なルールを解説する。 iptablesは、Linuxマシンをセキュアにするための強力なツールだ。とは言うものの、その機能の多さには圧倒されてしまいがちである。そして、コマンドの構造をしっかりと理解し、マシンのどの部分をどのようにセキュアにすべきかを把握した後であっても、ややこしいことに変わりはない。しかし、iptablesの良いところは、極めて広いその適用範囲にある。このため、iptablesのルールのいくつかを
［はまちちゃんのセキュリティ講座］ここがキミの脆弱なところ…！：第1回 HTTPのしくみを復習しよう｜gihyo.jp … 技術評論社
こんにちはこんにちは ! ! はまちや2です！ 今日からぼくと一緒にWebプログラミングのセキュリティについて、ちょっぴり勉強してみませんか！今回はHTTPがどんなやりとりをしているのか、簡単におさらいしてみましょう！
FrontPage - Kaspersky Lab Wiki
Kaspersky Lab Wiki † Kaspersky（カスペルスキー）はセキュリティーソフト。 ウイルス対策・ファイアーウォールを含む総合版が Kaspersky Internet Security （KIS）。 ウイルス対策のみの単体版が Kaspersky Anti Virus （KAV）。 本家はロシア。日本語版は一太郎、ATOKで有名なJustsystemsが販売・サポートを行っている(cf. 2006年から5年間の独占販売権取得)。 製造元： カスペルスキー ラブス ジャパン 販売元： ジャストシステム カスペルスキー情報サイト ※製品情報はこちらの方が充実 30日間試用版ダウンロード可能 ↑ 特長 † キャッチコピーは「セキュリティソフトは、性能でこそ選ぶべきだ」 ウイルス検出率がトップクラスで、定義ファイルの更新もほぼ1時間に1度と業界では屈指の配信頻度を誇る
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
ブログが続かないわけ | ログイン処理が簡単と言い切れるか 〜 フィッシング対策も忘れずに