脆弱性の見つけ方（初心者向け脆弱性検査入門）
WEB系の情報セキュリティ関連の学習メモです。メモなので他情報のポインタだけ、とかの卑怯な記事もあります。 ※2020.9 注記:本ブログの解説記事は内容が古くなっております。OWASP ZAPなどのソフトウェアの解説は現行バージョンの仕様から乖離している可能性があります。 EC-CUBEで脆弱性を見つけたり、mixiの脆弱性報告制度で成果を挙げたりしたせいか、「どうやって脆弱性を見つけてるんですか？」という質問をされることが時折あり、一応手順は説明するのですが、いつも口頭で細かくは説明できなくて申し訳ないので、自分のやり方をまとめてこのブログにアップしておきます。 標準的な脆弱性検査のやり方しか説明していないので、脆弱性検査のやり方を既に把握している人が読んでも得るものは少ないのではないかと思います。今回は脆弱性検査に興味があるが何をどうしたらいいか分からないような初心者向けコンテンツで
"Burp-like Inspector" - Burp-like user interface for Fiddler2 Proxy [Fiddler2 Extension] by yamagata21
"Burp-like Inspector" [Fiddler2 Extension] by yamagata21 What's this? "Burp-like Inspector" is a Fiddler2 Extension for providing a similar user interface of Burp Proxy. How to use "Burp-like Inspector" is a Fiddler2 Extension, so install the Fiddler2 first. Extract files from BurplikeInspector-verX_XX.zip to %USERPROFILE%\Documents\Fiddler2\Scripts. (If there is "intruder21.dll" in Scripts direct
Android開発で3G回線速度を再現する
ネットワークを利用するAndroidアプリを開発していると、回線速度が遅い場合の処理を気にしない訳にはいかなくなります。 開発中はWi-Fiで接続しているから気付かなかった問題が、SIMの入った実機では頻発するなんてこともあります。 通信の内容確認と、速度の制限のために、PCのProxyを経由して通信するようにします。Wi-FiのProxy設定はICS(4.0)から可能です。 設定済みのネットワークであれば、長押しして設定画面を表示します。 プロキシ設定を手動にして、ホスト名にPCのIPアドレスを入力します。 PC側にはFiddlerを入れます。 Fiddler側の設定はこちらにまとめています。 Androidエミュレータの通信をFiddlerで見る : blog.loadlimit – digital matter – Android実機からFiddler経由で接続できるようになったら、
FiddlerでHSTS対応 - 葉っぱ日記
昨日、Internet Explorer 9 の誕生を祝う会のLTで話した、FiddlerでHSTSに対応するためのFiddlerのカスタマイズルール用スクリプトです。LTのスライドは http://utf-8.jp/public/20100916/hstsforie.pdf に置きました。 実用的に使うには、「Fiddler2 を使ってIEでのリファラの送信を止める」のように、メニューで有効・無効を切り替えられるようにしたほうがいいと思います。 class Handlers { // not support "includeSubDomains" private static var m_hsts = new Array(); .... static function OnBeforeRequest(oSession: Session) { .... if( (undefined !==
"XSStest21" [Fiddler2 Extension] by yamagata21
これは何？ セキュリティ診断を補助するツールで、Fiddler2 Extension として動作します。 プロキシでキャプチャしたリクエストに、診断シグネーチャを追加して自動送信します。 セッションの取り直しや、次ページ以外での脆弱性の発生は調べることが出来ません。 シグネーチャは、ツール使用者が自分で作成してください。サンプルとして、 代表的なクロスサイトスクリプティングを検出するシグネーチャ2つと、 単純なディレクトリトラバーサルを検出するシグネーチャ1つを搭載しています。 シグネーチャの意味： 脆弱姓名 ⇒ 脆弱性があった場合にリストに表示する名前 シグネーチャ ⇒ 送信するシグネーチャ。「$$」が元の入力値を意味する 判断条件 ⇒ 脆弱性ありと判断する条件。1文字目が「/」の場合、レスポンスから正規表現でマッチ 検索条件 ⇒ テキストボックスでレスポンスを表示するときに、色をつける
Microsoft - AI、クラウド、生産性向上、コンピューティング、ゲーム、アプリ
すべての Microsoft 製品 Global Microsoft 365 Teams Copilot Windows Surface Xbox セール 法人向け サポート ソフトウェア Windows アプリ AI OneDrive Outlook Skype OneNote Microsoft Teams PC とデバイス Xbox を購入する アクセサリ VR & 複合現実 エンタメ Xbox Game Pass Ultimate Xbox とゲーム PC ゲーム Windows ゲーム 映画とテレビ番組 法人向け Microsoft Cloud Microsoft Security Azure Dynamics 365 一般法人向け Microsoft 365 Microsoft Industry Microsoft Power Platform Windows 365 開発者
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
Hacking (with) WebSockets
http://fiddler.site21.net/
Fiddler HTTP Debugger - Fiddler