サイバーセキュリティプログラミング
Pythonは情報セキュリティの世界では他よりも先んじているプログラミング言語です。本書ではPythonを使った情報セキュリティにおける攻撃手法について解説します。前半ではrawソケットやScapyライブラリなどネットワーク関連の内容を扱います。後半ではCOMをPythonから扱う方法やVolatilityフレームワークなどシステム関連のトピックを扱います。読者はコーディングを通じてサンプルPythonツールの拡張、外部ツールとの連携や自動化について学習することができます。攻撃者の意図や実践手法から防御方法を導き出すというアプローチは、今後すべての情報セキュリティ技術者にとって必須のテクニックになるでしょう。 サポートページ（サンプルコードや正誤表） 訳者まえがき 序文 まえがき 1章 Python環境のセットアップ 1.1 Kali Linuxのインストール 1.2 Wing IDE 2
Facebookアプリを使えばいとも簡単にメールアドレスを抜けると言うことを知らない人が多すぎる
某「＊＊新聞」なるアプリが流行ってますが。まあそれはそれとして。 Facebookアプリを承認したら、簡単にメアド抜かれてしまっているというのはご存知でしょうか。 ご存知の方はスルーしてください。 以前よりスパム的アプリは様々なタイプがありますが、大きく種類を分けると下記の通りです。 アプリが勝手に自分のタイムラインに投稿する アプリが勝手に自分の友人にメッセを送る アプリに登録すると強制的に特定のページにいいね！を押したことになる アプリ経由でメアドを抜かれる しかし、Facebook様も色々と仕様を変えたり規約を変えたりしながら一つずつ潰していったので現状はこれらはそう簡単には出来なくなっています。 アプリが勝手に自分のタイムラインに投稿する →アプリの審査が必要 アプリが勝手に自分の友人にメッセを送る →アプリの審査が必要 アプリに登録すると強制的に特定のページにいいね！を押したこと
Wireshark入門 (2014版)
2014年10月31日開催「ネットワーク パケットを読む会 (仮)」でのセッション「いま改めて Wireshark 入門」の発表スライドです。 Wireshark の利用方法について、インストールから初期設定、パケットキャプチャの開始とフィルタリングまで解説しています。
自堕落な技術者の日記 : 様々なサーバーのPOODLE SSLv3脆弱性(CVE-2014-3566)対策のまとめ(更新3) - livedoor Blog（ブログ）
基本は喰ってるか飲んでるかですが、よく趣味でカラオケ・PKI・署名・認証・プログラミング・情報セキュリティをやっています。旅好き。テレビ好きで芸能通 もくじ 1. はじめに 2. SSLv3を無効化できる場合のサーバー対策 2.1. Apache HTTPD Server + mod_ssl 2.2. Apache HTTPD Server + mod_nss 2.3. nginx 2.4. lighttpd 2.5. Microsoft IIS 2.6. (訂正)Apache Tomcat (Java JSSE) 2.7. Node.js 2.8. IBM HTTP Server 2.9. Amazon Web Services 2.10. その他のサーバー 2.11. SSLv3 を無効化するリスク 2.12. OpenLDAP 3. 諸般の事情で SSLv3 を有効にせざるを得ない場
【緊急】RDS for MySQL アップデートのお知らせ | DevelopersIO
はじめに こんにちは植木和樹です。本日10月17日付けでMySQL 5.5/5.6に対する脆弱性が発表されています。これはAWSのRDSも対象となっています。 AWS Developer Forums: 【参考日本語訳】MySQL 5.5 and 5.6 Security Advisory MySQL 5.5 and 5.6 Security Advisory 上記ページのリンク先にあるOracleの発表を読むと、「ユーザーパスワード認証なしに悪意のあるコードを実行できる」とあります。 訂正：2014/10/18 9:10 最初に公開した内容の一部に2点誤りがありました。 日本時間 10/18（土）に強制アップグレードされるインスタンスはPublicly Accessibleの設定に関係なく、セキュリティーグループが無条件解放になっているインスタンスが対象となります 日本時間 10/18（
CDNetworksのサーバー改ざん問題、バッファローとリクルートはAWSに切り替え
バッファローとリクルートマーケティングパートナーズはそれぞれ、Webサービスで利用していたコンテンツ・デリバリー・ネットワーク（CDN）を、韓国CDNetworksのサービスから米Amazon Web Services（AWS）のサービスに切り替えた。2014年5月下旬に発生したCDNetworksのサーバー改ざん被害によって、両社は、運営していたWebサーバーから間接的にウイルスを配布してしまう被害を受けていた（関連記事：HISやバッファローのウイルス感染は、CDNetworksの改ざん被害が関与）。 CDNは、高速にWebサイトのコンテンツを配信する仕組み。バッファローは、同社製品のユーザーが利用するユーティリティソフトなどのダウンロードサイトにCDNetworksのCDNを利用していた。一方のリクルートマーケティングパートナーズは、顧客から受託したコンテンツの配信にCDNetwork
書籍「気づけばプロ並みPHP」にリモートスクリプト実行の脆弱性
書籍「気づけばプロ並みPHP」のサンプルスクリプトにリモートスクリプト実行の脆弱性があるので報告します。 はじめに Yahoo!知恵袋の質問を読んでいたら、以下の質問がありました。 気づけばプロ並みPHP （著）谷藤賢一 （発行）リックテレコムP１１２の画像をアップロードする機能でエラーがでます。 http://detail.chiebukuro.yahoo.co.jp/qa/question_detail/q11119835496 より引用 質問に対しては回答が既についてクローズされていましたが、引用されているソースを見て任意のファイルを任意のファイル名で、Web公開ディレクトリにアップロードできることに気づきました（下記）。 <?php // 略 $pro_gazou=$_FILES['gazou']; // 略 if($pro_gazou['size']>0) { if ($pro_
無断アクセスの記者を起訴猶予 NHKニュース
パソコンの遠隔操作事件で真犯人を名乗る人物が送ったメールのサーバーに無断で入ったとして、不正アクセス禁止法違反の疑いで書類送検された朝日新聞社と共同通信社の記者５人について東京地方検察庁は起訴猶予としました。 朝日新聞社の記者３人と共同通信社の記者２人は、パソコンの遠隔操作事件の真犯人を名乗る人物から送られてきた犯行声明メールのサーバーに無断で入ったとして、不正アクセス禁止法違反の疑いで、ことし６月、書類送検されました。 これについて、東京地検は２３日、全員を起訴猶予としました。 その理由を「記者たちの行為は違法だが、事案の性質や内容に加え、いずれも反省していることを総合的に判断した」としています。 朝日新聞社の森北喜久馬社会部長は、「犯行声明メールが本物なのか確かめるための正当な取材の一環だと考えている」というコメントを出しました。 また、共同通信社の石亀昌郎社会部長は「形の上では法に触
【NAVER】NAVER会員情報への不正アクセスに関するお知らせとパスワード変更のお願い
この度、LINE株式会社が運営するNAVERサービス（NAVERまとめ、Nドライブ、NAVER Photo Album、pick、cafe）の会員情報（以下、NAVERアカウント）に対する外部からの不正アクセスにより、お客様のNAVERアカウント情報が流出した可能性があることが判明いたしましたので、ご報告いたします。 不正ログインなどお客様への二次被害を未然に防ぐため、現在は対象サービスをメンテナンスモードに切り替え、全アカウントのログインを遮断、一部サービスを停止しております。本日18時より新しいパスワードの設定機能を設置し、サービスを再開いたしますので、お客様には、パスワードを再設定していただくようお願い申し上げます。 また、他のサイト・サービスで、NAVERアカウントと同じメールアドレス・ユーザーID・パスワードを使用されている場合、第三者に悪用される可能性もあるため、早急にパスワー
[PHP] preg_replace における //e があぶない話 - tokuhirom's blog
Malware Hidden Inside JPG EXIF Headers という話題がでていたので見てみたところ、単に preg_replace がセキュリティ上問題があるインターフェイスだという話であって、EXIF 云々は直接的に 関係がなく、釣りエントリであることが判明した。 preg_replace は第一引数に正規表現を渡すが、その際に外部からの入力をそのままわたすと危険という話。 なぜならば preg_replace は '/.*/e' のように、eval flag をわたすことができるからだ。 以下のコードをみよ。 <?php preg_replace('/.*/e', 'eval("echo 5960+3;")', ''); つまり、preg_replace($_POST['foo'], $_POST['bar'], '') のようなコードがあった場合、任意のコードが実行
PayPalが不正利用され勝手に支払いをされた時の経緯と対処法
ある日突然、PayPalからこんな購入した覚えの無いメールが届いたらどうしますか？ 先日僕の所にやってきたPayPalの支払い確認メール。一瞬誰かが僕に募金をしてくれたのかと勘違いしましたがPayPalで確認した所Delphine DIETZというマーチャントへ支払いが”完了”している。 まずはDelphine DIETZをググるもそれらしい情報も出てこないのでフィッシングされたなと思いました。結果的には返金されたのでその流れを書きたいと思います！ まずはPayPal問題解決センター PayPalにアクセスし、[マイアカウント]の中にある[問題解決センター]を押すと、取引に異議を提出するというボタンが出て来ます。ここから単純な入力フォームを数回記入するとPayPalから確認メールが届きます。 先日、お客様にお心当たりがないか、同意なしに取引が行われたという報告をいただきました。当社では、現
「演算子のインジェクション」と「SSJI」
「演算子のインジェクション」と「SSJI」：NoSQLを使うなら知っておきたいセキュリティの話（1）（1/2 ページ） ここ数年、大量データ処理時の高速性やデータ構造の柔軟性などから、「NoSQL」が注目を集めています。それと同時に、NoSQLを使うアプリケーションに対する攻撃手法も研究されるようになりました。この記事では、NoSQLを使ったアプリケーションの脆弱性と対策について解説します。 注目集める「NoSQL」 ここ数年、NoSQLと呼ばれる種類のデータベースが注目を集めています。NoSQLはSQL言語を使用しないデータベースの総称で、大量データ処理時の高速性やデータ構造の柔軟性などのメリットがあるため、従来のリレーショナルデータベース（RDB）を補完・代替するものとして、大規模なWebアプリケーションなどにおいてNoSQLを採用する事例が増えています。 このような新しい技術が普及し
Stanford Javascript Crypto Library
The Stanford Javascript Crypto Library (hosted here on GitHub) is a project by the Stanford Computer Security Lab to build a secure, powerful, fast, small, easy-to-use, cross-browser library for cryptography in Javascript. SJCL is easy to use: simply run sjcl.encrypt("password", "data") to encrypt data, or sjcl.decrypt("password", "encrypted-data") to decrypt it. For users with more complex securi
エンジニアも避けては通れない「安全な利用規約」の作り方
1月18日、「エンジニアサポートCROSS 2013」が開催された。その中から、NHN Japanのmala氏による「体系的に学ぶ安全な利用規約の作り方」をレポートする。 1月18日、Web技術について横断的に語り合うイベント「エンジニアサポートCROSS 2013」が開催された。その中からNHN Japanのmala氏による「体系的に学ぶ安全な利用規約の作り方」をレポートする。 mala氏は、サービスを作る側と使う側の両方の立場から、「安全な利用規約の作り方」を語った。昨今、アプリケーションの実行環境の多様化や、ビジネスモデルの複雑化、大規模なログデータや個人情報の利活用など、サービス自体の複雑化が原因となった利用規約に関する炎上が多々見受けられる。このような炎上の原因はどこにあるのか。エンジニアとして何ができ、どのような解決策があるのか。 Webに関わるエンジニアが知っておくべき5つの
Javaのゼロデイ脆弱性の最新修正プログラムに問題発覚 | トレンドマイクロ セキュリティブログ
2013年1月14日（米国時間1月13日）に公開された、Java の脆弱性「CVE-2013-0422」に対する緊急修正プログラムが不完全であることが話題になっています。トレンドマイクロは、ここでこの修正プログラムに関するいくつかのポイントについて解説します。 トレンドマイクロが行った解析の結果、「CVE-2013-0422」に対する修正プログラムが、完全な修正ではないことを確認しました。この脆弱性には 2つの問題点が存在します。1つは、com.sun.jmx.mbeanserver.MBeanInstantiatorクラスの findClassメソッドに存在し、もう1つは、java.lang.invoke.MethodHandleクラスの invokeWithArgumentsメソッドに存在します。Oracle が今月14日に公開した緊急修正プログラムにより、後者は修正されていますが、f
「Java 7 Update 11でも脆弱性は残っているから引き続きJava無効化を」という話について
「Java SE 7 Update 11 でもバグが修正されていない」という専門家の意見が書いてあるロイター通信の記事（Oracle updates Java, security expert says it still has bugs）をTwitterで紹介しましたが、「やはり修正されていない」「修正されたのは２つの脆弱性の内の一つだけ」というニュース記事が複数出てきました。 これらのニュース記事には、「Java 7 Update 11でも脆弱性は残っているから、Java(Java appletを起動するためのブラウザ上のJavaプラグイン)をひきつづき無効化せよ」という内容のCERTの意見が掲載されています（無効化手順はこちら）。 しかし、日本語の記事が曖昧で、少し情報源のページを読んでみると、単に「片方が修正されていないから危険」というわけではない、ちょっとややこしい話のようだった
Oracle、Java 7 Update 11を公開 脆弱性に対処
Oracleが1月13日の日曜日に、10日に発覚した「Java 7 Update 10」の深刻な脆弱性に対処するアップデートを公開した。 米Oracleは1月13日（現地時間）、1月10日に発覚した「Java 7 Update 10」の深刻な脆弱性に対処したアップデート「Java 7 Update 11」を公開した。JavaコントロールパネルあるいはOracleのWebサイトからダウンロードできる。 この脆弱性を利用した攻撃の発生がセキュリティ各社から報告され、脆弱性に関する詳しい情報もインターネットで出回っていることから、Oracleではできるだけ早くこのアップデートを適用するよう、強く推奨している。 リリースノートによると、2つの脆弱性に対処した他、Javaコントロールパネルでのセキュリティレベルの初期設定を「中（M）」から「高（H）」に変更した。これにより、ユーザーが無署名のJava
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
暗号化ソフトTrueCryptは「安全ではない」～匿名開発者が突然プロジェクトを中止 -INTERNET Watch
/blog/2014/04/faq-2963983-internet-explorer-123/
TechCrunch | Startup and Technology News
