という記法は、Markdownでリンクを生成するときに使用します。 通常記事編集画面では、javascript:から始まる文字列はリンクにならないように対策が施されています。 しかし、今回はMarkdownのエスケープ文字である\と半角スペースを組み合わせることによりXSSが発生するリンクが生成されてしまいました。 aタグのhref属性には、スキーム名の先頭に半角スペースを入れてもリンクとして認識されてしまうという特性があります。

1. はじめに、 昨日 OpenSSLのバージョンアップがアナウンスされ、９つの脆弱性が公開されました。バージョンアップの数日前にOpenSSLの次期リリース予告がアナウンスされていましたが、ちょうど BlackHat 開催初日にあたることもあり、なんかまた重大な脆弱性の修正が入るんじゃないかとドキドキしていました。蓋を開けてみるとHeatBleed程の大事ではなくホットひと安心です。 昨日公開されたOpenSSLの９つの脆弱性のうち、TLS プロトコルダウングレード攻撃 (CVE-2014-3511)の修正を見ていたところ、これはTLSプロトコルを学ぶいい題材になるなぁとふと思いつき、試しにこのOpensslの脆弱性の詳細をTLSプロトコルの基礎に合わせて書いてみました。 ちょっと長いですが、TLSプロトコルの仕組み（の一部）を知りたい方はお読みください。 2. OpenSSLの脆弱性

SSH でたまーに攻撃がくる．6/27 のブルートフォースアタックの件数はだいたい 1500 件ぐらい． # grep "Jun 27" /var/log/auth.log | grep [fF]ailed | wc -l 15193 回失敗したらしばらくアクセス禁止，というのを fail2ban 入れて設定してみた．すると 7/1 のログには，ほぼ 1/10 だけになった． # grep "Jul 1" /var/log/auth.log | grep [fF]ailed | wc -l 163たぶん，そんなにオープンにする必要がないのなら，中国とかロシアとか韓国からのアクセスを拒否してもいいかなー，と思いつつ ipset を導入．iptables だとリストが膨れ上がりすぎて raspberry pi に負荷が掛かって，raspberry pi がリストをロード中にアタックされる，とい

なぜ自社でWebアプリケーション脆弱性診断を行うべきなのか。自動と手動の脆弱性診断のやり方、自社でやる意義、予算のかけ方などを紹介しています。 参考文献はこちら：Webセキュリティ担当者のための脆弱性診断スタートガイド 上野宣が教える情報漏えいを防ぐ技術 http://www.shoeisha.co.jp/book/detail/9784798145624 2017年2月6日

非常に基本的な話ですが、認証方式についてちょいメモ。 また、ApexでどうやってBase64エンコードやMD5ハッシュ化を行うかについては おまけ程度に。 Basic認証 ユーザ名とパスワードを:(コロン)でつないだものをBase64でエンコード Httpのリクエストヘッダにはこんな感じでエンコードした文字列がそのまま送信される Authorization: Basic dGVzdDpob2dlaG9nZQ== Base64 データを64種類の英数字のみの文字列に変換するエンコード方式 HTTPヘッダでは特殊記号を扱うことができないため、このエンコード方式が使われる Digest認証 ユーザ名とパスワードをMD5でハッシュ（ダイジェスト）化して送る。 MD5 Message Digest Algorithm 5 与えられた入力の長さに関わらず、128ビットのハッシュ値を返すハッシュ関数 特

4時起床。缶ビール2本、日本酒1.5合。 起きてメールを見るとはてなさんから重要なお知らせが届いていた。 はてなへのリスト型アカウントハッキングと思われる不正ログインについてのご報告と、パスワード変更のお願い - はてなの日記 - 機能変更、お知らせなど 　取り敢えずパスワードを変えておきましたが、最近続いてますね。ワールドカップに浮かれている場合じゃありませんよ、みなさん。 最近起きた不正ログイン ⇒　はてなで不正ログイン--2000件余りに被害、ギフト券の交換申請も - CNET Japan ⇒　不正ログイン「Ameba」でも発覚--被害状況は調査中 - CNET Japan ⇒　mixiへの不正ログイン攻撃が継続、被害アカウントは26万件を超えて拡大中 -INTERNET Watch ⇒　【セキュリティ ニュース】ニコ動、不正ログイン被害は30万件弱のアカウントで発生 - 355万回

現行バージョンのShockwaveに組み込まれているのは、2013年1月にリリースされた古いバージョンのFlash 11.5.502.146だった。 米Adobe SystemsのShockwave Playerに組み込まれているFlashが古いバージョンのまま更新されず、多数の脆弱性が放置された状態になっていることが分かった。米カーネギーメロン大学のCERTが脆弱性情報を更新して注意を呼び掛けている。 CERTによると、この問題はWindowsとMac向けの「Shockwave Player 12.1.1.151」までのバージョンに存在する。Shockwaveに組み込まれているのは、2013年1月にリリースされた古いバージョンの「Flash 11.5.502.146」だったことが判明。Shockwaveは独自のFlashランタイムを採用していて、AdobeがFlash Playerの更新

セキュリティ界隈でOpenSSLのHeartbleed(CVE-2014-0160)が話題になっている。 サーバからの情報漏洩がクローズアップされており、対策が進んでいるようだけど、一方でクライアントを攻撃できる「リバースHeartbleed」脆弱性がある。 Android 4.1.1のリバースHeartbleed脆弱性 Google Online Security Blog: Google Services Updated to Address OpenSSL CVE-2014-0160 (the Heartbleed bug) クライアントから情報が漏れるので、かなり危険なんじゃないかと思うけど、あまり注意喚起もされていないようなので知らない人もいるのでは？と思って、その検証と、対策などをまとめてみた。 該当する端末やアプリを使っている人はぜひ参考にして自衛してほしい。 Heartbl

以前からハニーポットの運用に興味があって、最近VPS借りて運用できる環境も整ったのでハニーポットを入れてみることにした。 どうやってハニーポットを選んだか、また選んだハニーポット(Dionaea)のインストール方法を書きたいと思う。 ハニーポットの選定 選ぶにあたってまず参考にしたのは、以下のIPAのドキュメント セキュリティインシデントの積極的な検知：ハニーポットの利活用 この中に書いてあるハニーポットで、実際のOSの動作をエミュレートするために比較的安全に運用が可能な低対話型ハニーポットを候補としてピックアップ。ここで挙げられている低対話型ハニーポットは以下の4種類 Dionaea Glastopf Kippo Honeyd このうち、Honeydは半年ほど前の勉強会(池袋セキュリティ勉強会#2に参加してきた - Tahoo!!）で弄っていて、ある程度わかっていたので、候補から外した。

HTTPS通信は複数のプロトコル、手法が組み合わされて実現されている。そのため、暗号化手法それぞれのリスク、ブラウザの対応等様々な用件があり、全てを理解するにはちょっと時間とリソースが足りない。結局のところ、我々はどのようにして安全なHTTPS通信を提供できるのか。色々調べていたところ、MozillaがMozilla Web siteに使用する、HTTPSの推奨設定を公開している。 Security/Server Side TLS - MozillaWiki このドキュメントはMozillaのサーバ運用チームが、Mozillaのサイトをより安全にするために公開しているもので、他のサイトにそのまま適用できるかは十分に注意する必要がある。例えばガラケー向けサイトとか。そのまま使えないとしても、HTTPS通信の設定をどうすれば良いか、理解の一助になるはずだ。 この記事は上記MozillaWiki