FREAK についてまとめてみた - piyolog
輸出グレードのRSA暗号をサポートしていたことに起因する脆弱性FREAKに関する情報について関連情報をまとめます。 脆弱性概要 脆弱性の概要情報は次の通り。 愛称 FREAK (Factoring attack on RSA-EXPORT Keysの略) 輸出グレード暗号の強制使用に関する呼称 アイコン 無し CVE OpenSSL：CVE-2015-0204 Apple：CVE-2015-1067 Microsoft：CVE-2015-1637 発見者名 miTLS Inria(フランス国立情報学自動制御研究所)とMicrosoft Researchの合同チーム FREAK Attackの概要 中間者攻撃が行われるまでのFREAK Attackの流れは次の通り。(3月6日更新) MITMの攻撃成立条件 以下の条件が成立する場合、通信内容の盗聴や改ざんの影響を受ける可能性がある。 接続元・
This POODLE bites: exploiting the SSL 3.0 fallback
The latest news and insights from Google on security and safety on the Internet Anonymous said... Does this apply to SSLv2 as well? October 14, 2014 at 7:39 PM Scott Ruebush said... I can't wait to see POODLE take over the internet! Thank goodness we have heroes to save us from the evils of SSL 3.0 and such and such, etc. October 14, 2014 at 8:52 PM Paul said... Not sure how to enable TLS_FALLBACK
r/crypto - OpenSSL bug allows RSA 1024 key factorization in 20 minutes
Thankfully it's very easy to tell whether it's real. If anyone can publish the two, non-trivial factors of this number (where neither is 1!) then they'll have my attention: 0xe5c30e1286c41c7137dc06194199dde641120de591c1b7392de35ef6a961d6d29faa3bcdb7603d42768a90322197a7a46fa2cf23f6f10de5554db6e7322ba35e858f576f840347c795c8782c3f4ef9f530d2fd1f6b5c275ce49404958f0decddd0b53386d12c745891d5eeca1f265bdf8
CVE-2014-0160 OpenSSL Heartbleed 脆弱性まとめ - めもおきば
必要な情報は http://heartbleed.com/ にまとまっているのですが、英語だし長いしって人のために手短にまとめておきます。 どうすればいいのか OpenSSL 1.0.1〜1.0.1fを使っていなければセーフ あてはまる場合には、一刻も早くバージョンアップして、サーバごと再起動(わかるひとはサービス単位でもOK、ただしreloadではだめなことも) SSL証明書でサーバを公開しているなら、秘密鍵から作り直して証明書を再発行し、過去の証明書を失効させる(末尾に関連リンクあり)。 サーバを公開していない場合も、外部へのSSL通信があれば影響を受けるので、詳しく精査する。 PFS(perfect forward secrecy)を利用していない場合、過去の通信内容も復号される可能性があるため、詳しく精査する。 漏洩する情報の具体例は、OpenSSLの脆弱性で想定されるリスクとして
研究者が新たなTLS／SSLの脆弱性攻撃ツール発表へ、HTTPSセッションを乗っ取り可能
新攻撃ツールの「CRIME」は、圧縮プロトコル「SPDY」の実装に関する脆弱性を突き、SSLで暗号化されたHTTPSセッションを乗っ取ることができてしまうという。 アルゼンチンで9月19日から開かれるセキュリティカンファレンス「ekoparty」で、2人のセキュリティ研究者がTLS／SSLを攻撃する新ツール「CRIME」の発表を予定している。米セキュリティ機関のSANS Internet Storm Centerがブログで伝えた。 SANSの13日のブログによると、同ツールは圧縮プロトコル「SPDY」の実装に関する脆弱性を突き、SSLで暗号化されたHTTPSセッションを乗っ取ることができてしまう。この攻撃は、WebサイトとWebブラウザの両方がSPDYをサポートしている場合にのみ通用するようだとしている。 SPDYをサポートしているのは、主要ブラウザではMozillaのFirefoxとGo
Attention security researchers! Submit your new 2009 Web Hacking Techniques
Attention security researchers! Submit your new 2009 Web Hacking Techniques Update 01.04.2010: Voting process is commencing this week! Expert judges are Rich Mogull, Dinis Cruz, Chris Hoff, HD Moore, Billy Rios, Dan Kaminsky, Romain Gaucher, Steven Christey, Jeff Forristal, and Michal Zalewski. Update: Awesome news, Black Hat is generously sponsoring the effort! The researcher topping the list wil
CSRF - クロスサイトリクエストフォージェリ
■CSRF - クロスサイトリクエストフォージェリ CSRF - クロスサイトリクエストフォージェリ SpecIII - CSRF - クロスサイトリクエストフォージェリから引用させて頂きます。 CSRFの概略 CSRFはCross Site Request Forgeriesの略です。恥ずかしながら私は最近こういったこういった攻撃方法があることを知りました。日頃のアンテナの低さがバレますね。 CSRFはサイトに対する正規のユーザーの権限を利用した攻撃です。あるサイトのある処理を行うページに正規のユーザーを誘導し、強制的に望まない処理を発生させます。 具体的には記事の編集や削除といった機能を持つページのURLをダミーのリンクに埋め込んで踏ませたり、imgタグのsrcとして指定して知らず知らずのうちにアクセスさせます。特に後者の例ではユーザーが全く気がつかぬうちに攻撃が完了します。攻撃の結果
VulnerabilityAssessment.co.uk
Welcome to VulnerabilityAssessment.co.uk - Hopefully another resource that may assist Vulnerability Analysts and Penetration Testers alike. Projects: Penetration Test Framework (PTF) - A good starting resource for those getting into this field. Mail me with: Comments, Request for tool reviews (with links), Default Passwords not listed on the site. Anything of Security interest, Ideas for the Pen
TOPICS | ドメイン名・DNS関連トピックス | 新着情報一覧 | JPRS
2010年06月28日 ICANNが中国、香港、台湾に対し、漢字のIDN ccTLDの委任を承認 2010年06月04日 日本インターネットドメイン名協議会が「.日本」管理運営事業者の選定基準及び公募要領を公表 2009年11月02日 国際化ドメイン名の導入に関する「ファストトラックプロセス」の開始について 2009年08月03日 総務省が新たなトップレベルドメイン名の導入に関する情報通信審議会答申を公開 2009年05月11日 総務省による「.日本」に関するパブリックコメントの募集について 2008年08月08日 DNSキャッシュポイズニング攻撃と、脆弱性への対応についての解説 2007年12月20日 マイクロソフト、Internet Explorer 7の自動更新による配布開始日を2008年2月13日と公表 2007年07月09日 「インターネット白書2007（インプレスR&D発行）」
TLS 1.3 and the Future of Cryptographic Protocols
✕ Synopsys Software Integrity Group is now operating as Black Duck Software, Inc., a subsidiary of Synopsys. Click to learn more. It’s a bold new beginning The All-in-One Application Security Platform Optimized for DevSecOps Whether testing one application or thousands, automate any scan, any time, anywhere, all at once Explore the Polaris platform 2024 Open Source Security and Risk Analysis Repor
2005-11-02
みんな，snortのインストール方法はどうやっているのかなぁ。おいらは野コンパイルしてるけど，Debianだと，apt-getでMySQLとかSnortとかACIDとかも入りそうだなぁ。試してないけど。 できる限り楽をするには，どういう方法があるかなぁ。。。 あと，Oinkmasterを入れたほうが良いのか？BASEも入れなきゃなぁ・・・ w3mが入ってなかったので， # apt-get install w3m でインストール終了。めちゃ便利だな。やっぱ，ぜーんぶDebianにしちゃおうかなぁ。CentOSのYumはどうなんだろう？ いろいろと使ってみるかなぁ。 どこから接続してもnmapとpingとtracerouteがぶっ放せる端末があるってすばらしい。 あとは。。。nessusも入れとこうかな。あ、nessusもルール登録にsubscribeが必要なんだっけ？なんか面倒くさくなったな
調査 - HackingWiki
サーバやネットワークに対して攻撃を仕掛けようとする側は、攻撃を仕掛ける前に攻撃対象のサーバ、ネットワークについて調査を行うことが多いです。対象のサーバのアプリケーションやOSなどがわかることで、それに合わせて効率的な攻撃ができるからです。 ここではその調査方法について述べていきます。 ネットワーク調査コマンド † 対象のサーバを調査するためには、特別に調査用のツールを利用・作成しなくても、OS付属のコマンドを利用するだけで調査できることも多いです。 ↑ whois † whoisコマンドを使うことによって、whoisサーバにアクセスして、ドメイン/IPアドレスの持ち主、連絡先等を知ることが可能です。Windowsではデフォルトでは付属していませんので、Whoisツールを導入するか、NICのwhoisゲートウェイを利用する必要があります。 whoisコマンド例 $ whois -h wh
OpenVAS - Open Vulnerability Assessment Scanner
Greenbone OpenVAS OpenVAS is a full-featured vulnerability scanner. Its capabilities include unauthenticated and authenticated testing, various high-level and low-level internet and industrial protocols, performance tuning for large-scale scans and a powerful internal programming language to implement any type of vulnerability test. The scanner obtains the tests for detecting vulnerabilities from
Wikto: Web Server Assessment Tool
Have you registered? Register (free,instant) for full access click here If you find Wikto usefull you might also want to look at our other projects - CrowBar and BiDiBLAH What's new in Version 2.0.2924-24997 ? 0. Fixed bug when starting SPUD via Wizard or Wikto interface. Download Wikto v2.0.2924-24997 (installer)| registration required What's new in Version 2.0.2924-23531 ? 0. Fixed bug
Nikto 2.5 | CIRT.net
Nikto is sponsored by Netsparker, a dead accurate and easy to use web application security solution. Nikto 2.5 is an Open Source (GPL) web server scanner which performs comprehensive tests against web servers for multiple items, including over 7,000 potentially dangerous files/programs, checks for outdated versions of over 1250 servers, and version specific problems on over 270 servers. It also ch
Perlを使って脆弱性を検証する：CodeZine
はじめに 今回はXSSの脆弱性をチェックするPerlスクリプトを作成したいと思います。すべてのXSSによる脆弱性が回避できるわけではありませんが、テストコード作成のヒントになれば幸いです。 対象読者 Webアプリケーション開発者で、XSSのテストケースを作成したい方。 必要な環境 Perl 5.8以上が動作する環境。基本動作の確認はMac OS Xを利用しました。次のPerlモジュールを利用するので、あらかじめインストールしておいてください。 Template::Toolkit Web::Scraper Test::Base またCGIを使用するので、ApacheなどのCGIが実行できるWebサーバを用意してください。 解説内容 ソースコード解説 まず最初にソースコードの解説をします。 xss.pl
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
http://www.dvwa.co.uk/
OWASP Testing Guide v2 Table of Contents - OWASP
Wocares.com
JPCERT コーディネーションセンター