高木浩光＠自宅の日記 - 「NoScript」をやめて「RequestPolicy」にした
■ 「NoScript」をやめて「RequestPolicy」にした セキュリティ屋が、Firefoxユーザに「NoScript」の使用を推奨することがしばしばあるが、私は賛同しない。 JPCERT/CC、技術メモ「安全なWebブラウザの使い方」を公開, INTERNET Watch, 2008年11月4日 *1 技術メモ − 安全なWebブラウザの使い方, JPCERT/CC, 2008年11月4日 IV. 各 Web ブラウザに共通する設定上の注意事項 1. スクリプト等の実行を制限する JavaScript 等のスクリプトや（略）は（略）Ajax に代表されるインタラクティブなインターフェースが実現できるなど、高い利便性が得られます。反面、PC 上の重要なファイルを削除・変更するなど、悪意を持った処理が行われる可能性もあります。従って無制限にスクリプト等を実行できるようにしておくのは
Debian JP Project - 2008年08月08日 - DNS キャッシュ汚染問題への対応について
DNS キャッシュ汚染問題への対応について 各種メディアで既に何度も報じられていますが、セキュリティ技術者 Dan Kaminsky 氏によって DNS プロトコルそのものに起因する深刻な脆弱性が発見されており、先日 8 月 6 日の BlackHat カンファレンスにて正式公開されました (この問題の原理について最も解り易い日本語資料が「DNS Cache Poisoningの概要と対処 (PDF)」 として公開されています)。現在、DNS キャッシュサーバに対して攻撃可能なツールが出回っている状態となっています。 ご存知の通り、DNS はインターネットの根幹を成す技術の一つであり、この信頼性が失われることは多大な問題をもたらします。DNS キャッシュサーバを運用されている方は自身のキャッシュサーバが安全かどうかの確認を、インターネット利用者の方は自分が使っている DNS キャッシュサー
今更だけどDNSキャッシュポイズニングについて簡単に説明するよ！ - そして、DNSポイズニングがなかなか対応されない理由。 - FreeBSDいちゃらぶ日記
先日IIJの一日インターンに行ってきました。 NDAがあるので、事細かに書くことは出来ないのですが、教育的なプログラムが組まれていて非常に面白かったです。 そこで、色々お話しして、その中でDNSポイズニングがなかなか対応されない理由、当たり前の理由が聞けたので、「DNSポイズニングって何がヤヴァイのか良くわかんね」って人に向けた簡単な解説とあわせて書きたいと思います。 まず、DNSキャッシュポイズニングの何が怖いか? 簡単に言うと、 「googleに繋いだはずが全く別サイトに繋がっちゃう！」 って話です。 本当に繋ぎたいサイトと違うサイトに繋いじゃう事が出来るので、例えば 実在するショッピングサイトそっくりの偽サイト作って、ショッピングさせて。クレジットカードの番号ゲットしちゃったり、住所ゲットしちゃったり。 夢が広がる怖い事が出来ちゃいます。 きちんとしたセキュリティ対策していれば大丈夫
Atom や RDF を利用したXSS - 葉っぱ日記
Internet Explorer の悪名高い Content-Type: 無視という仕様を利用すると、Atom や RDF/RSS を利用してXSSを発生できることがあります。条件的に対象となるWebアプリケーションは多くはないと思いますが、それでもいくつか該当するWebアプリケーションが実在することを確認しました。以下の例では Atom の場合について書いていますが RDF/RSS でも同様です。 例えば、http://example.com/search.cgi?output=atom&q=abcd という URL にアクセスすると、「abcd」という文字列の検索結果を Atom として返すCGIがあったとします。 GET /search.cgi?output=atom&q=abcd Host: example.com HTTP/1.1 200 OK Content-Type: ap
PHPで安全なセッション管理を実現する方法
_ 残り容量が数十Mバイトになっていた PCがなんかくそ遅いなーと思ってふと空きディスク容量をみたら、残り数十Mバイトまで減っていた。Folder Size for Windowsで各ディレクトリ単位のディスク使用量をながめてみたところ、 Thunderbirdでimapでアクセスしているアカウントのデータフォルダに、なぜか1GバイトオーバーのINBOXファイルがあった。なにこれ？ 削除したけど別に動作には支障はなし。 puttyのlogが無限に追記されたよ……。数Gバイト。 昔ダウンロードしたCD/DVD-ROMのisoイメージファイルが、そこかしこに消されず残ってたよ。10Gバイトオーバー。 あと、細かいテンポラリディレクトリの中身とか消したら、30Gバイトくらい空いた。そこまでやって久しぶりにデフラグを起動したら、表示が真っ赤（ほとんど全部断片化されている）だったので、最適化実行中。
Apache Tomcatのサンプルコードに脆弱性 － ＠IT
2007/06/15 JPCERT/CCは6月15日、The Apache Software Foundationが提供するApache Tomcatの付属のサンプルプログラムの一部に、クロスサイトスクリプティングの脆弱性が存在すると発表した。影響を受けるシステムは、Apache Tomcatの「4.0.0 ～4.0.6」「4.1.0～4.1.36」「5.0.0～5.0.30」「6.0.0～6.0.13」の各バージョン。付属サンプルプログラムの「jsp-examples」に脆弱性が存在し、ユーザーのWebブラウザ上で任意のスクリプトを実行される可能性がある。現時点で解決策はなく、対策は付属のサンプルプログラムをインストールしないこと。
«uJavaScriptv224;\ IT
悪質な「JavaScript」が、ますます狡猾になっている。Arbor Networksの上級セキュリティエンジニアであるホセ・ナザリオ博士によれば、今日のJavaScriptは、標的のWebブラウザや脆弱なコンポーネント、アクセス可能なクラス識別子（CLSID）を特定したり、個別にカスタマイズした攻撃を仕掛けたりすることも可能だという。 ナザリオ氏は、「NeoSploit」と呼ばれる新たなマルウェアツールが、少なくとも7種の異なる手段の中から標的の弱点を衝くものを選択し、PCへの感染を広げている事実を把握したと述べている。 「過去数カ月の間に、この種の攻撃や悪質なJavaScriptが大量に出回った。JavaScriptがより自己防衛的に、なおかつ攻撃的に悪用されるケースが増えている」（ナザリオ氏） ナザリオ氏は4月18日に現地で開かれたセキュリティイベント「CanSecWest」に出席
安全なWebアプリケーションの実現に向けて − ＠IT
高橋さんの唐突な一言で星野君たちはセミナーを受講することに。いままでのおさらいをするにはちょうどいい機会なのですが、集合場所にはまだ誰も来ていないようです……。 赤坂さん 「ごめーん。待ったぁー？」 星野君 「遅いですよ～」 赤坂さん 「ごめんねー。ちょっと寝坊しちゃってー」 赤坂さんはいつになく眠そうだ。 星野君 「いっつも寝坊してますよね」 赤坂さん 「まあ、いいじゃないー。間に合ったんだしさー」 星野君 「そうですね。さて……」 赤坂さん 「じゃあ、行こうかー」 星野君 「え。行っちゃうんですか？」 この日、星野君たちはセミナー会場に来ていた。テーマは「Web開発とセキュリティ」。なぜセミナー行くことになったのかといえば、例のごとく高橋さんの思いつきのような発言がきっかけだ。 高橋さん 「ねぇ。そろそろ仕事一段落するよね？」 星野君 「え？あ、はい」 高橋さん 「じゃあさ、今度の金曜
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
