2006-12-01
すれば、やすみぃ。 XSS Fragmentation Attackなるものがあるらしいが、こんなこといったら、SQL Injection Fragmentation Attackなんてものも出来まっせ。 XSS Fragmentation Attackは、2つの入力フィールドに「」のようなデータを入れてチェック機能を回避するらしい。 SQL Injection Fragmentation Attackとなると、同様に、2つの入力フィールドに「hoe\' or 1=1 or ' = "」と「1"」なんて物を入れると、「'」を「''」としかエスケープしていないアプリケーションで、「\'」をシングルクォートの文字データとみなし、「"」を文字の区切りとみなすRDBMS(MySQLとか)の場合、全件検索となるとか・・・ これは、デモサイト作っているときにJDBC経由だと「;--」が使えないのでたま
2007-01-18
また無駄に歳を取ってしまったorz 「イエカキ 理想の住まい」オリジナルクオカードが欲しい！ http://myappsecurity.blogspot.com/2007/01/ajax-sniffer-prrof-of-concept.html 後で読む こっちの方が面白いかも? http://myappsecurity.blogspot.com/2007/01/breaking-same-origin-barrier-of.html http://myappsecurity.blogspot.com/2006/11/comparison-between-appscan-vs.html http://myappsecurity.blogspot.com/2006/11/correction-comparison-between-appscan.html
2007-02-15
妙に目が痒いし、鼻水が出てくるorz そろそろかふんちょうか? 眠いしなぁ(これはちと違うか)w ふと思いついたけど、設計での対策として、デバッグオプションをどう実装するか?というのも考えておいた方が良いかもしれない。 良くあるのが、クエリーパラメータに「debug=on」とかあるとデバッグモードにするという奴。実際、以前検査した中で幾つかあったしw こういうのはいらん情報を攻撃側に与えてしまうので、はっきり言ってよくない。かといって、開発中にはどうしてもデバッグするために、内部情報を出したいというのがある。最終的に、デバッグモードを全部削除してからリリースすればいいのだけれど、そうするとまた一からテストが必要になったり、削除漏れがあってよくないわけで･･･ じゃ、いっそのこと設計思想として、デバッグオプションを設定ファイルや、環境変数に記述してしまうとしてしまったほうが攻撃側がデバッグモ
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
処理を実行中です
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
受け入れテスト用セキュリティチェックリスト for Webアプリケーション
http://cgi36.plala.or.jp/tera5/
