Same-site Cookies
HTTPbis M. West Internet-Draft Google, Inc Updates: 6265 (if approved) M. Goodwin Intended status: Standards Track Mozilla Expires: October 8, 2016 April 6, 2016 Same-site Cookies draft-west-first-party-cookies-07 Abstract This document updates RFC6265 by defining a "SameSite" attribute which allows servers to assert that a cookie ought not to be sent along with cross-site requests. This assertion
cookie経由のXSSの話 脆弱性"&'<<>\ Advent Calendar 2016 (4日目) - ooooooo_qの日記
この記事は脆弱性"&'<<>\ Advent Calendar 2016の4日目の記事です。 前日の記事はHack Patch!: CyVDB-1118関連です。 今回の記事は、eval(document.cookie)になるようなことは避けましょうという内容です。 cookie 経由でのXSSについて。 cookieに値を入れるにはサーバサイドからのレスポンスヘッダーかjavascriptからの操作になります。XSSなどがない限り攻撃者が値を入れることはできなそうですが、以下のような条件により可能です。 HTTP通信のMITM クエリパラメータをcookieに載せる実装 別サブドメインからの攻撃 ヘッダインジェクション 他 特にHTTP通信から攻撃する方法は徳丸先生の記事によるものが詳しく（HTTPSを使ってもCookieの改変は防げないことを実験で試してみた | 徳丸浩の日記）、これを
BlackHat2014USA_Prompt_20140808_J - 暗号プロトコル評価技術コンソーシアム CELLOS
Cryptographic protocol Evaluation toward Long-Lived Outstanding Security Consortium [2014/8/08] Black Hat 2014 USAで発表されたSSL/TLSへの複数の新たな攻撃手法について 2014年8月6日（日本時間8月7日早朝）、Black Hat 2014 USA において Antoine Delignat-Lavaud 氏により SSL/TLS に対する複数の攻撃手法が発表されました [1]。公開された事後資料とデモ [2] では以下の3つのトピックが扱われています。 (1) Cookie Cutter attack : IEEE S&P2014 [3] で発表済み (2) Virtual Host Confusion (3) Triple Handshake : IEEE S&P20
Play2.0 - secureクッキーは設定でオンにしておきたいけど開発機ではオフにしたい場合 - C Sharpens you up
secureクッキーは、HTTPSを使っていない場合にはブラウザからサーバに送り返されないフラグを付けたクッキーのことです。 秘密情報をクッキーに乗せて覚えさせたのに、うっかりさんユーザーがHTTPでアクセスしてきてクッキー内容がパケット盗聴で漏れるとかもうダメダメパターンですからね。 Play! frameworkでHTTPSを使うサイトなら、application.confに session.secure=trueの一行を加えて、セッション情報を格納するクッキーには必ずsecureフラグが付くようにしてあげましょう。 ところが問題が。 この設定があると、HTTPではログインとかまったくできなくなります。開発機の開発サーバでも。デバッグできないじゃない。 開発機だけapplication.confを入れ替えるとかそういうのはソース管理が単に面倒になるので避けたいですね。 でも簡単、開発サ
ASP.NET で自動的に発行されるクッキーの名前を変更する方法 - しばやん雑記
今日はちょっとした ASP.NET のクッキーに関する小ネタです。 ASP.NET は特別な設定などをしなくても自動的にクッキーを発行して、認証状態やセッション、そして CSRF 対策を行ってくれます。これは非常に便利なんですが、その時に発行されるクッキーの名前が割とイケてないので、変更する方法をまとめておきます。 フォーム認証クッキー FormsAuthentication.SetAuthCookie を呼び出した時に発行されるクッキーです。 デフォルトの名前は ".ASPXAUTH" なので、結構見たことある人は多いと思います。設定は Web.config の forms 要素にある name 属性を指定して行います。 <system.web> <authentication mode="Forms"> <forms name="auth" timeout="2880" /> </au
他人のCookieを操作する - T.Teradaの日記
少し前の話ですが、Googleが自身のWebサイトの脆弱性発見者に対して、報酬（現金 500 USD以上）を支払うプログラムをはじめています。 Google Online Security Blog: Rewarding web application security research 過去にも、脆弱性の発見者に報酬を支払うプログラムはありましたが、Webブラウザ等のソフトウェアの脆弱性が対象でした（参考）。 今回のプログラムでは、Webアプリの脆弱性が対象だというところが特色です。しかも、実際に運用されている本番のGoogleサイトの脆弱性が対象です。その脆弱性の発見者に報奨金を払うということは、（一定の制約は設けていますが）基本的に自由に本番サイトの検査をしてよいといっているわけです。 実際にやってみる Webアプリの診断をやっているものにとっては、これ以上のお小遣い稼ぎはない！と思
CMSに残る反射型XSSを使ったセッションハイジャック
と表示されると同時に、<script>alert(/XSS/)</script>のタグが読み込まれてスクリプトが実行され、/XSS/というアラートがポップアップされる。<script>タグの中に任意のスクリプトを入れることで、お好みのスクリプトを実行させることが可能だ。 しかしながら、このように自分のブラウザ上で自分が書いたスクリプトを実行しただけでは、特に悪影響が生じるわけではない。だが、他人をこのURLにアクセスさせることで、アクセスした人のブラウザ上で任意のスクリプトを実行させることが可能だ。この結果何ができるとかというと、前述のようにページをリダイレクトさせたり、画像を表示させたり、もしそのサイトでCookieが使われていればCookieを盗んだりすることもできる。何なら、ゲームのテトリスを表示して遊んでもらうことだって可能だ。 現在では反射型XSSについてはブラウザ側での対策が進
HTTPSを使ってもCookieの改変は防げないことを実験で試してみた
寺田さんのブログエントリ「他人のCookieを操作する」には、通信路上の攻撃者がいる場合は、SSLを使っても、Cookieの盗聴を防ぐことはできるが、Cookieの改変を防ぐことはできないと指摘されています。いかにも寺田さんらしい簡にして要を得たエントリで、これに付け加えることはあまりないのですが、残念ながらまだ読んでいない人が多そうだと言うことと、より広い読者に向けて具体的に説明した方がよいだろうと考えました。 そこで、通信路上に攻撃者がいる典型例として、公衆無線LANの偽AP（アクセスポイント）があるケースを題材として、「HTTPSを使ってもCookieの改変は防げない」ことを説明します（Secure属性使うと盗聴は防げますが、改変は防げません）。長いエントリなので結論を先に書いておきます。 Secure属性がないCookieはHTTPSでも盗聴できる Cookieの改変についてはSe
ログアウト機能の目的と実現方法
このエントリでは、Webアプリケーションにおけるログアウト機能に関連して、その目的と実現方法について説明します。 議論の前提 このエントリでは、認証方式として、いわゆるフォーム認証を前提としています。フォーム認証は俗な言い方かもしれませんが、HTMLフォームでIDとパスワードの入力フォームを作成し、その入力値をアプリケーション側で検証する認証方式のことです。IDとパスワードの入力は最初の1回ですませたいため、通常はCookieを用いて認証状態を保持します。ログアウト機能とは、保持された認証状態を破棄して、認証していない状態に戻すことです。 Cookieを用いた認証状態保持 前述のように、認証状態の保持にはCookieを用いることが一般的ですが、Cookieに auth=1 とか、userid=tokumaru などのように、ログイン状態を「そのまま」Cookieに保持すると脆弱性になります
File Django-1.4-CSRF_COOKIE_HTTPONLY-support.patch of Package python-django - openSUSE Build Service
jQueryを使ったスライド開閉メニューをCookieでコントロールする :: 5509
サンプル サンプルファイルのダウンロード ちょっと前に流行った？アコーディオンメニューの開閉状態を Cookieで保存する方法をメモをかねて紹介します。 必要なファイルを集める 面倒だと思うのでサンプルにまとめました。 サンプルファイルをダウンロードして新しいHTMLでJSファイルを読み込んでください。 サンプルファイルのダウンロード HTMLを用意する CSSファイルを読み込む この記事でCSSの解説はしてません。。 JSファイルを読み込む HTMLをマークアップする HTMLがちょっと気持ち悪いと思う人もいるかもしれませんが 今回はこんな感じでマークアップしてます。 JSを書く 普通にアコーディオンメニューにする 今回は特にアコーディオン部分の記述にはふれませんが 以下の記述でアコーディオンになります。 jQuery Easingプラグインを使ってちょっと動きを変えてます。 何気ないア
Androidの標準Webブラウザでセキュア属性付きのCookieの扱いがPCやiPhoneと異なる件について - susumuis Info
Android用のWebサイトを作っていてはまったので、報告します。対象はブラウザ上で動くWebアプリの話で、ネイティブアプリではありません。 Googleで検索しても、ネイティブアプリ関連の情報は出てきますがWeb開発の情報が意外とすくなかったので、少しでもお役に立てれば幸いです。 概要 Android標準ブラウザ（Dolphinブラウザなども含む）で、セキュア属性付きのCookieの挙動がiPhoneのブラウザや、PCのChromeなどと異なります。 Cookieやセキュア属性の概要はこちらなどをご参照ください。http://itpro.nikkeibp.co.jp/article/COLUMN/20080221/294407/ PCやiPhoneのブラウザの場合、WebサーバがSet-Cookieレスポンスヘッダを返した場合、例え、そのCookieのセキュア属性が設定されていても、ブ
クロスドメインでcookie書き込む方法 +クロスブラウザで - webネタ
あるサイトから別ドメインのクッキーを書き込む。こういうクッキーは、サードパーティクッキーと呼ばれる。FirefoxとChromeはデフォルトでサードパーティクッキーが書き込めるようになっているが、IEとSafariが問題になる。IEはコンパクトポリシーというものを設定すればいけるが、Safariは出来ない。Safariはデフォルトで”知らないとサイトや広告のみCookieをブロック”となっている。でも、GoogleAdsenseとかは書き込めている。なので調べた。 目的 localhostにアクセスしたときsample.comのクッキーを書き込みたい。 もちろんクロスブラウザで。 (sample.comはhosts書き換えやるといい) ポリシーの設定 (P3P) (以下IE対策用) webサイトで個人情報などを取り扱う場合、ブラウザで設定されたポリシー設定とアクセスしているサイトのポリシー
PHPのSession Adoptionは重大な脅威ではない - ockeghem's blog
なぜPHPアプリにセキュリティホールが多いのか?：第25回 PHPのアキレス腱にて、大垣靖男氏がPHPのSession Adoption問題について取り上げている。大垣氏は度々この問題を取り上げているが、今のところ氏の主張に同調する人を見かけない。それもそのはずで、大垣氏の主張は間違っていると私は思う。 以下、大垣氏の主張を実際に試してみる形で、順に説明しよう。 大垣氏の主張 大垣氏の主張は、PHPにはSession Adoption脆弱性があるために、標準的なSession Fixation対策であるsession_regenerate_id()を施しても、その対策は有効ではないというものだ。 しかし，実際には現在に至るまでPHPのセッションモジュールのセッションアダプション脆弱性は修正されないままになっています。このために，本来はsession_regenerate_id関数をログイン
サードパーティCookieの歴史と現状 Part3 広告における利用、トラッキング、ターゲティング広告におけるプライバシーリスク - 最速転職研究会
前回の続き。なるべく一般人向けに書きます。サードパーティCookieとあまり関係のない話も書きます。 http://d.hatena.ne.jp/mala/20111125/1322210819 http://d.hatena.ne.jp/mala/20111130/1322668652 前回までの概要 トラッキング目的のCookieの利用などからサードパーティCookieの利用は問題視されIE6で制限がかけられるもプライバシーポリシーを明示すれば利用できるという迂回手段を用意、しかし今ではP3Pはオワコン化、SafariはサードパーティCookieの受け入れをデフォルトで拒否する設定を採用したが一度受け入れたCookieは問答無用で送信、Mozilla関係者は「殆ど合法的な利用目的はない」と言っていたものの既存Webサイトとの互換性のために変更できず、ブラウザはサードパーティCookie
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
Blog - Mikula Beutl - SEO Consulting
Show isv:B1-Systems:OpenStack:release:Folsom / python-django - openSUSE Build Service
Django CSRF cookie HttpOnly
caraldo.net - it転職 リソースおよび情報
JQueryでつくるアコーディオンメニュー（cookie機能つき）