インターネットの根幹「DNS」に根本的欠陥が見つかる(dragoner) - 個人 - Yahoo!ニュース
このJPRSの発表に対し、この欠陥を発見した中京大学の鈴木常彦教授、前野年紀氏は「危険性をよく理解して対策をとるにあたって十分な情報が含まれているとはいえません」を懸念し、下記のブログ記事等でこの問題の危険性を訴えています。 この問題はインターネットの根幹に関わるものですが、どんな問題を孕んでいるのでしょうか。それを理解するために、まずはDNSの仕組みから見て行きましょう。 DNSの仕組みとDNSキャッシュサーバDNSとはインターネットの根幹に関わる仕組みで、目的のサーバにアクセスする為の重要な役割を持ちます。簡単に説明すると、"http://www.example.jp"というURLのサイトを見たい場合、それを管理するサーバのインターネット上の住所（IPアドレス）が必要になります。そこで、DNSサーバに上記URLのラベル（ドメイン）に相当する"www.example.jp"を管理するサー
勝手に査読:Webアプリにおける11の脆弱性の常識と対策
「Webアプリにおける11の脆弱性の常識と対策」という記事を久しぶりに読みました。出た当事も思いましたが、基本的な誤りが多く、読者が誤解しそうです。このため、編集部から頼まれたわけではありませんが、「勝手に査読」してみようと思います。 細かい点に突っ込んでいくとキリがないので、大きな問題のみ指摘したいと思います。 ※2013年2月25日追記 このエントリに対して、編集部が元記事を修正くださいました。徳丸も修正に協力いたしましたが、十分正確な内容ではないことをお含みおきください。 ※追記終わり 同記事の想定読者は誰か査読にあたり、この記事の想定読者を明確にしておいた方がよいですね。記事の冒頭には、連載の説明があります。 本連載は、JSP／サーブレット＋StrutsのWebアプリケーション開発を通じて、Java言語以外（PHPやASP.NET、Ruby on Railsなど）の開発にも通用する
Dosアタック攻撃に対する対策について | ホームページを作るときのメモ用ブログ
サーバーを色々触っていると、悪事をはたらく人たちの痕跡があります。 とくに、さくらVPSはスペックがよくない（低いプランは）ので、F５攻撃などがあればすぐにダウンする可能性が大です。 なので、DOS攻撃対策として、 mod_dosdetector をインストールしたので、メモ書きです。 mod_dosdetectorは悪意のあるアクセスを判断してくれるモジュールです。 その判断されたデータを元に一時的に503を返してアクセスできなくしようと言うものです。 また、設定も細かくできるし日本語の情報も多いのオススメです。 と言うかこれしか試していません・・・・ ちなみに、下記やり方は他のサイト様の寄せ集めです。 参考にしたサイト http://www.jisakuroom.net/blog/?p=201 http://c-brains.jp/blog/wsg/10/06/24-134947.ph
jQuery 1.8 で XSS 対策に .parseHTML メソッドが追加
jQuery の $ 関数はセレクタによる絞り込み、HTML 生成、ready イベントコールバックの3つのケースに使われますが、開発者がセレクタとして想定したものが HTML 生成として解釈され、XSS を引き起こすことがあります。次のコードは HTML と解釈され、error イベントハンドラに指定された alert が実行されます。 $("#"); 防衛策として jQuery 1.9 では $ 関数に渡すことのできる HTML に見える文字列の制約を厳しくするため、従来は認識できた文字列が認識できなくなる場合の回避策および、特に単独の要素を生成したり、外部のデータから文字列を生成する場合のために $.parseHTML を使うことをおすすめするとリリース記事に書いてあります。 .parseHTML メソッドの実装を見ると戻り値が配列であり、jQuery のメソッドチェーンを展開できな
サービス終了のお知らせ
平素より「PHPプロ！」をご愛顧いただき、誠にありがとうございます。 2006年より運営してまいりました「PHPプロ！」ですが、サービスの利用状況を鑑みまして、2018年9月25日（火曜日）をもちましてサービスを終了させていただくことになりました。 サービス終了に伴いまして、2018年8月28日（火曜日）を持ちまして、新規会員登録ならびにQ&A掲示板への新たな質問、回答の投稿を停止させていただきます。 なお、ご登録いただいた皆様の個人情報につきましては、サービス終了後、弊社が責任をもって消去いたします。 これまで多くの皆様にご利用をいただきまして、誠にありがとうございました。 サービス終了に伴い、皆様にはご不便をおかけいたしますこと、心よりお詫び申し上げます。 本件に関するお問い合わせはこちらよりお願いいたします。
第1回 外部サイトに貼り付けるJavaScriptの作法―ポリシー、速度、セキュリティ、プライバシー（3） | gihyo.jp
フロントエンドWeb戦略室 第1回外部サイトに貼り付けるJavaScriptの作法―ポリシー、速度、セキュリティ、プライバシー（3） 安全に提供するために──プライバシー編 SNS（Social Networking Service）にリンクを共有するためのボタンや、言及数を表示するカウンタ画像のプライバシー問題について取り上げます。 ソーシャルボタンがサイトに設置されていれば、1クリックで気軽にシェアできたり、ツイートできたりします。こういった機能は非常に有用ですが、一方で大量のユーザを抱え、個人情報を預かるサービス事業者が考えなければならないことは多いのです。この節ではブログパーツやソーシャルボタンを例に挙げて解説しますが、大量のユーザ情報を抱えないサービスでも参考になることが多いと思います。一緒に確認していきましょう。 ブログパーツやソーシャルボタンを作成する側の心得 常時ログイン
Webアプリケーションに対する広範なDoS攻撃手法(hashdos)の影響と対策
28C3(28th Chaos Communication Congress)において、Effective Denial of Service attacks against web application platforms（Webプラットフォームに対する効果的なサービス妨害攻撃）と題する発表がありました（タイムスケジュール、講演スライド）。 これによると、PHPをはじめとする多くのWebアプリケーション開発プラットフォームに対して、CPU資源を枯渇させるサービス妨害攻撃(DoS攻撃)が可能な手法が見つかったということです。この攻撃は、hashdos と呼ばれています。 概要PHPなど多くの言語では、文字列をキーとする配列（連想配列、ハッシュ）が用意されており、HTTPリクエストのパラメータも連想配列の形で提供されます。PHPの場合、$_GET、$_POSTなどです。 連想配列の実装には
今日こそわかる、安全なWebアプリの作り方2010
Internet Week 2010 S3 今日こそわかる、安全なWebアプリの作り方2010 http://www.nic.ad.jp/iw2010/program/s3/ Read less
とある脆弱性のあるサイトの問題：Webセキュリティ対策 - 雄大スタジアム
Webエンジニアの雄大です。 とある脆弱性のあるサイトの問題を作ってみました。 とある上司に、こんなサイトを作れと命令された、Aさん、新卒。 サイトは、リンクを入力する。 例えば,オススメのリンクhttp://ameblo.jp/q2e2d2/とかを入力すると、それを受け取り、表示がされるというもの。 また、上司から、最近、Webセキュリティの問題になっている、クロスサイトスクリプティングに対応しろ！！と言われたので、Aさんは調べて、下記の対策を施しました。 function html_escape($name){ $name = str_replace(‘<’, ‘<’, $name); $name = str_replace(‘>’, ‘>’, $name); $name = str_replace(‘&’, ‘&’, $name); $name = str_rep
大規模 Web サービスでログインを長期間保持するには SESSION は使わず Cookie とデータベースだけで実装する | ウェブル
先日ペコリンという Web サービスを公開したのですが、これが初めての WordPress との複合会員向けサービスだったためか、ログインが途中で切れたり、記事投稿時のリダイレクトがかかるタイミングなどで SESSION が切れてしまうことがありました。 しかし Twit Delay では長期的にログインが保持されていたり、mixi とかではログイン時間を指定できたりするので、なんとかできるものだろうと考えていたら Twitter で教えてもらいましたのでまとめておきます。 SESSION だけを使ったログインの保持では長期ログインは不可 私は今までログインの保持は以下のようにしていました。 1 2 3 4 5 <?php ini_set('session.gc_maxlifetime', 60*60*24); ini_set('session.gc_divisor', 10000); s
ログインするシステムで、「ログインを保持する」機能の安全な作り方 - よくあるログインシステムで、パソコンを閉じても「ログインを... - Yahoo!知恵袋
1.ユーザーにパスワードとかを登録させる。 2.ユーザーはパスワードとかを打ち込んでログインする。 3.パスワードが合ってたら、適当に予測不能な文字列を生成する（この文字列を以下、セッション・キーと呼ぶ）。 4.セッション・キーをDBとかに、ユーザーのIDと関連付けて保存する。 5.4で保存したセッション・キーと同じものをユーザーのクッキーに入れる 6.再訪問時は、ユーザーのクッキーの持つセッション・キーの値と、DBに入ってるセッション･キーが一致したら当該ユーザーと見なす。 7.ログアウト時はDB、クッキーともに破棄する。セッションキーはログインのたびに新しく作り直し。 また、DB側にセッション・キーの寿命を設定しておき、古いセッションキーは無効とする（クッキーの寿命設定だけでは脆弱です）。 これが基本です。 ユーザーに持たせる方を、サーバー側の持つセッションキーから生成される別のデータ
PHP と Web アプリケーションのセキュリティについてのメモ
このページについての説明・注意など PHP は、Apache モジュールや、CGI、コマンドラインとして使用できるスクリプト言語です。このページでは、主に PHP における、Web アプリケーションのセキュリティ問題についてまとめています。 Web アプリケーションのセキュリティ問題としては、以下の問題についてよく取り挙げられていると思いますが、これらのセキュリティ問題について調べたことや、これら以外でも、PHP に関連しているセキュリティ問題について知っていることについてメモしておきます。 クロスサイトスクリプティング SQL インジェクション パス・トラバーサル(ディレクトリ・トラバーサル) セッションハイジャック コマンドインジェクション また、PHP マニュアル : セキュリティや、PHP Security Guide (PHP Security Consortium) には、PH
PHP Security Consortium: PHP Security Guide
The following are the active projects of the Consortium. PHP Security Guide Project Lead: Chris Shiflett The PHP Security Guide is the flagship project of the PHP Security Consortium. This guide offers detailed information pertaining to a number of common security concerns for all PHP developers. PHP Security Guide 1.0 (English) – HTML, PDF, DocBook LitePHP Security Guide 1.0 (Polish) – HTML, PDF,
間違いだらけの「かんたんログイン」実装法
今回は、そのかんたんログインの問題点について説明します。 「契約者固有ID」を用いるかんたんログイン かんたんログインとは、携帯電話の「契約者固有ID」を用いたログイン手法です。 第1回で説明したように、携帯電話のブラウザのリクエストヘッダには契約者固有IDと呼ばれるIDを付けることができます。契約者固有IDは、携帯電話事業者によって詳細は異なりますが、すべての携帯電話事業者が対応しています。 図1は、NTTドコモの携帯電話がサポートしている契約者固有IDである「iモードID」がサーバに送信される様子です。この情報は、ユーザーがそれと意識することなく送信されます。携帯電話のかんたんログインとは、契約者固有IDのみを用いて認証を行い、ログイン機能を実現することです。 かんたんログインは、ベーシック認証のようにIDとパスワードを管理する必要もなく、Cookieのように対応する端末を考慮する手間
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
ウェブアプリのセキュリティをちゃんと知ろう