はてなグループの終了日を2020年1月31日(金)に決定しました - はてなの告知
はてなグループの終了日を2020年1月31日(金)に決定しました 以下のエントリの通り、今年末を目処にはてなグループを終了予定である旨をお知らせしておりました。 2019年末を目処に、はてなグループの提供を終了する予定です - はてなグループ日記 このたび、正式に終了日を決定いたしましたので、以下の通りご確認ください。 終了日: 2020年1月31日(金) エクスポート希望申請期限:2020年1月31日(金) 終了日以降は、はてなグループの閲覧および投稿は行えません。日記のエクスポートが必要な方は以下の記事にしたがって手続きをしてください。 はてなグループに投稿された日記データのエクスポートについて - はてなグループ日記 ご利用のみなさまにはご迷惑をおかけいたしますが、どうぞよろしくお願いいたします。 2020-06-25 追記 はてなグループ日記のエクスポートデータは2020年2月28
iptablesで各種DDoSから身を守る | 多脚.com
本日幼稚園児以来の食あたりになりました。 コドラでもなんともないのに、お酒の飲み過ぎ以外でキラキラしたのはものすごい久しぶりです。 さて技術のなさを客に責任転嫁して某ホスティング会社が話題になっていますね。 これ一番の問題は自分のホストがDDoSによって直接ダウンやフラッピングしてしまうことでしょう。 共用サーバなら打つ手なしですが、VPSや専用サーバの場合はiptablesである程度自衛することができます。 各社フィルタリングをしていると発表していますが、内容を明かせないのはセキュリティ的しかたないですよね。 自社ではDDoS対策にiptablesを使っているということもあり、可能な範囲で手法を公開しようと思います。 方法としてはiptablesのhashtablesを使います。 iptablesはフラグやステータス、srcIPやdstIPなど条件を細かくしてハッシュテーブルを作ることが
2014年エイプリルフール跡地
► 2024 (1) ► 4月 (1) ► 2023 (2) ► 4月 (1) ► 3月 (1) ► 2022 (6) ► 12月 (1) ► 9月 (1) ► 7月 (1) ► 5月 (1) ► 3月 (1) ► 1月 (1) ► 2021 (1) ► 12月 (1) ► 2020 (4) ► 12月 (1) ► 11月 (1) ► 5月 (1) ► 3月 (1) ► 2019 (11) ► 12月 (2) ► 7月 (2) ► 5月 (2) ► 4月 (2) ► 3月 (1) ► 2月 (1) ► 1月 (1) ► 2018 (15) ► 12月 (3) ► 11月 (6) ► 10月 (2) ► 9月 (2) ► 3月 (1) ► 1月 (1) ► 2017 (17) ► 12月 (2) ► 11月 (1) ► 10月 (1) ► 9月 (2) ► 8月 (2) ► 7月 (1) ►
中国「百度」製ソフト、入力の日本語を無断送信 : ニュース : ネット＆デジタル : YOMIURI ONLINE（読売新聞）
中国検索最大手「百度(バイドゥ)」製の日本語入力ソフトについて、使用するとパソコンに入力した全ての文字情報が同社のサーバーに送信されることが分かり、内閣官房情報セキュリティセンター（ＮＩＳＣ）や文部科学省は、中央省庁や大学、研究機関など約１４０機関に使用停止を呼びかけた。 読売新聞の調査では外務省のほか、東京大など少なくとも１２大学の一部パソコンで導入されていることが判明。ＮＩＳＣは「重要情報漏えいの可能性は否定できない」としている。 問題となっているソフトは「バイドゥＩＭＥ」。２００９年に公開された無料ソフトで、昨年１月のバイドゥ社日本法人の発表によると日本国内で約２００万人が利用している。 今月中旬、ＩＴ企業の調査で、初期設定のまま使用すると、パソコン上で打ち込んだメールや検索の単語、文書編集ソフトで作成した文書など、全ての文字列が自動的に同社のサーバーに送信されていることが判明。各パ
私が愛した openssl (SSL/TLS 編) - してみんとて
id:blooper:20120907 の続きですが、皆様におかれましては既に証明書が好きで好きでたまらなくなって、HTTPS を利用したサイトに行くと証明書の拡張まで読んだ後でなくては証明書の内容が気になってサイトの本文が読めなくなっているかと思いますが如何お過ごしでしょうか。 SSL は Secure Sockets Layer の頭文字で Netscape Communications が 1995 年に、ってのは wikipedia:Secure_Sockets_Layer でも見れば載ってるので見てね。で、RFC にしようってことで SSL は Netscape のでしょ? ってことで TLS (Transport Layer Security) に改名した、と記憶してるんだけど本当だっけな。ハンドシェイク時のレコードのバージョン見ると SSLv3.0 は 3.0 TLSv1.0
Reverse Shell Cheat Sheet | pentestmonkey
If you’re lucky enough to find a command execution vulnerability during a penetration test, pretty soon afterwards you’ll probably want an interactive shell. If it’s not possible to add a new account / SSH key / .rhosts file and just log in, your next step is likely to be either trowing back a reverse shell or binding a shell to a TCP port. This page deals with the former. Your options for creati
Webアプリの入力はバリデーションできない、という誤解
(Last Updated On: 2019年2月13日)Webアプリの入力はバリデーションできない、と誤解している方は少なく無いようです。システム開発に関わる人でなければ誤解していても構わないのですが、システム開発者が誤解していると安全なシステムを作ることは難しいでしょう。 Webアプリの入力はバリデーションできない、と誤解している開発者にも理解できるよう噛み砕いて解説してみます。 入力とプログラムの基本構造 入力のバリデーション（入力の制御）はセキュリティ対策で全てのアプリケーションにとって最も重要なセキュリティ対策です。（SANS TOP 25 Monster Mitigation #1） 入力仕様を決めること、知ることはプログラマにとって重要な仕事の1つです。プログラムは特定の入力を受け付け、その処理を行い、何らかの出力を行います。プログラムが処理する入力を知らず（決めれず）にプロ
新しい暗号技術
2. 自己紹介 大学時代 京都大学数理解析研究所では代数幾何 コンピュータとは縁のない世界 暗号にも興味を持つ mp3エンコーダ「午後のこ～だ」の開発(LGPL2) 就職後 IPAからの依頼で暗号解読プログラムの作成(2004年) 『機械学習の学習』(CCA-BY3) 2012年ジュンク堂のコンピュータ書籍売り上げ3位 http://compbook.g.hatena.ne.jp/compbook/20130110 暗号の高速な実装(2013/8の時点で世界最速) The Realm of the Pairings(SAC2013) http://sac2013.irmacs.sfu.ca/sched.html 2013/11 2 /58 3. 目次 暗号 mod pの世界 巾乗の計算 離散対数問題 ElGamal暗号
Secunia - Forum Thread: Recent PSI issues
Secunia delivers software security research that provides reliable, curated and actionable vulnerability intelligence. Organizations can expect to receive standardized, validated and enriched vulnerability research on a specific version of a software product. Secunia Research supports four solutions:
DNS の再帰的な問い合わせを使った DDoS 攻撃に関する注意喚起
各位 JPCERT-AT-2013-0022 JPCERT/CC 2013-04-18 <<< JPCERT/CC Alert 2013-04-18 >>> DNS の再帰的な問い合わせを使った DDoS 攻撃に関する注意喚起 https://www.jpcert.or.jp/at/2013/at130022.html I. 概要 JPCERT/CC では、海外 CSIRT などから、日本国内の DNS キャッシュサーバ を使用した DDoS 攻撃が発生しているとの報告を受けています。 JPCERT/CC に報告された攻撃では、攻撃者は外部からの再帰的な問い合わせを 許可している DNS キャッシュサーバ (以下、オープンリゾルバ) を使用して、 DNS アンプ攻撃を行っているとのことです。攻撃者は、攻撃対象の IP アドレ スを送信元 IP アドレスに偽装した再帰的な問い合わせパケットを
InfoQ: HTTPSコネクションの最初の数ミリ秒
ほとんどの人がHTTPSとSSL (Secure Sockets Layer) を結びつけて考えます。SSLは1990年代半ばにNetscape社が開発した仕組みですが、今ではこの事実はあまり正確でないかもしれません。Netscape社が市場のシェアを失うにしたがって、SSLのメンテナンスはインターネット技術タスクフォース(IETF)へ移管されました。Netscape社から移管されて以降の初めてバージョンはTransport Layer Security (TLS)1.0と名付けられ、1999年1月にリリースされました。TLSが使われだして10年も経っているので、純粋な"SSL"のトラフィックを見ることはほとんどありません。 Client Hello TLSはすべてのトラフィックを異なるタイプの"レコード"で包みます。ブラウザが出す先頭のバイト値は16進数表記で0x16 = 22。 これは
金融機関の口座集約アプリの危険性について - プログラマでありたい
先日、銀行口座の口座集約のとあるiOSアプリの記事について、危険だよなぁと何気なく呟いたら中の人からリプを貰いました。Twitterで呟いているのですが、文字だけでは解りにくいのでまとめてみます。ただ、そのアプリ固有の問題ではなく、構造的な問題なのでアプリ名は開示しません。（安全なので安心ですという論調は、どうかと思いますが。。。） 口座集約アプリの構造 口座集約のアプリは、アカウント・アグリゲーション(Account aggregation)サービスと言われています。サービスの実体は、複数の銀行の口座情報とID,Passwordを預かり、代行でログインして結果のhtmlを解析（スクレイピング）して利用明細や残高を集約するものです。口座とID,Password情報、解析エンジンをどこに置くかで、クライアント型とサーバ型に分類されます。 サーバ型アプリケーション まずサーバ型アプリケーション
Webサーバを狙うマルウェア、NginxやLighttpdにも感染
マルウェア「Linux/Cdorked.A」はApacheだけでなくNginxやLighttpdのWebサーバにも感染を広げ、これまでに400を超すWebサーバで感染が確認されているという。 Webサーバを改ざんし、悪質サイトにリクエストをリダイレクトするマルウェア「Linux/Cdorked.A」が見つかった問題で、セキュリティ企業のESETは5月7日、このマルウェアがApacheだけでなく、NginxおよびLighttpdのWebサーバにも感染を広げていることが分かったと報告した。 Linux/Cdorked.Aは侵入先のコンピュータにバックドアを開き、脆弱性悪用ツールキットの「Blackhole」を仕掛けたWebサイトにトラフィックをリダイレクトするなどの機能を持つ。ESETによると、7日の時点で400を超すWebサーバで感染が確認され、人気の高いWebサイトがそのうちの50を占める
第3回 SNMPによるモニタリングセキュリティの実態
第3回 SNMPによるモニタリングセキュリティの実態：SNMPによるネットワークモニタリング「第2版」（1/5 ページ） ネットワーク機器をモニタ可能とするプロトコル「SNMP」。汎用的なもののため、扱い方は多様だ。この特集では、概要から使い方まですべてを解説する。 オンライン・ムックPlus「SNMPによるネットワークモニタリング“第2版”」は、2001年5月に公開した「SNMPによるネットワークモニタリング」を元に、6年以上の歳月を経て、枯れた情報を最新環境に合うよう刷新していくものだ。また、従来は触れていなかったフロントエンドの紹介も予定しており、MRTGやRRDtoolだけではなく、最新動向も把握することができるはずだ。 第1回目では、SNMPの概要について触れ、第2回目は、SNMPは「SNMPエージェント」と「SNMPマネージャ」との組み合わせで動くことなどに触れた。今回はプロト
Cross-origin resource sharing - Wikipedia
Cross-origin resource sharing (CORS) is a mechanism that allows a web page to access restricted resources from a server on a domain different than the domain that served the web page. A web page may freely embed cross-origin images, stylesheets, scripts, iframes, and videos. Certain "cross-domain" requests, notably Ajax requests, are forbidden by default by the same-origin security policy. CORS de
uu59のメモ | MongoDBでもSQLインジェクションできる
タイトルはわかりやすさ重視でつけたのでそれSQLじゃないよというのは承知の上です。 Attacking NoSQL and Node.js: Server-Side JavaScript Injection (SSJS) SSJS whitepaper(PDF) JSONをevalで作るようなのは論外として、NoSQL Injectionって項目が面白かったのでメモ。 まずMongoDBにはfind()っていうのがあるんですが、一般的にはdb.find({x: 42})のようにオブジェクトを渡してxプロパティが42のレコードを取得する、といった用途に使います。が、db.find("this.x == 42")のように文字列を渡しても同じ結果が返ってきます。これはMongoが受け取った文字列をevalしてるせいです。試しにmongoコンソールでdb.find("while(1){};retu
Man page of IPTABLES
Section: iptables 1.4.21 (8) Updated: Index JM Home Page roff page 名前 iptables/ip6tables --- IPv4/IPv6 のパケットフィルタと NAT の管理ツール 書式 iptables [-t table] {-A|-C|-D} chain rule-specification ip6tables [-t table] {-A|-C|-D} chain rule-specification iptables [-t table] -I chain [rulenum] rule-specification iptables [-t table] -R chain rulenum rule-specification iptables [-t table] -D chain rulenum iptables
ネットを利用するときに気をつけたいこと - ぼくはまちちゃん！
こんにちはこんにちは！！ 昨日、こんな記事を見かけたよ。 » コドモのソーシャルネットワーク事情〜親ならこれだけはやっておけ なるほど、いいこと書いてあるし、わかりやすい。 そんなわけでぼくも、 「ネットを利用するときに気をつけたいこと」について、自分なりに思うことを書いてみるよ。 情報は紐付く ちょっとした情報を元に、 ネットAとネットBが紐付くのはもちろんだし、 リアルの情報まで紐付くこともよくあること。 ひとつひとつは大したことない情報でも、 情報が紐付くと、さらに色々なことが芋づる式に誰かにわかるよ。 過去と現在が紐付く 今は、君のことを気にかけているのは まわりの友達だけかもしれない。 けれど情報は残る。 将来、5年後、10年後…、 君がうっかり書いた言葉が、たまたま炎上した時、 犯罪者のようなレッテルとともに、過去の全てと、紐付いたリアルの情報を、大勢の人に晒されることになる。
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
https://oauth.jp/post/51720772282/login-with-amazon/
JVNDB-2012-000012 - JVN iPedia - 脆弱性対策情報データベース