ファイルにゾーン情報をつけたりする | 水無月ばけらのえび日記
Windows XP (www.amazon.co.jp) では、ダウンロードした exe ファイルを実行しようとすると警告されたり、ダウンロードした HTML ではローカルマシンロックダウンが無効になったりします。実はダウンロードしたファイルには [ZoneTransfer] というデータが記録されていて、それによって挙動が変わっているのです。逆に言うと、ローカルのファイルにそのデータをセットすれば、ダウンロードしたファイルと同じ挙動になります。 具体的には、Zone.Identifier という代替データストリームにデータを書き込めば OK。たとえば、 echo [ZoneTransfer] > test.html:Zone.Identifier echo ZoneID=3 >> test.html:Zone.Identifier
ニフティ無料会員も退会 | 水無月ばけらのえび日記
私は昔ニフティのユーザでしたので、CQS02437@nifty.com や CQS02437@nifty.ne.jp のメールアドレスを持っていました。しかしそれはもう退会していて、今は無料会員になっているわけです。 さて、無料会員は nifty.com ドメインのメールアドレスを持っているのでしょうか? 「@nifty ID登録:サービス詳細 (www.nifty.com)」の一覧表を見ると、有料会員は「@nifty IDメール」が使えるものの、無料会員は使えないという旨の表示になっています。「良くある質問 (www.nifty.com)」には、もっとはっきり書いてあります。 Ｑ @nifty ID登録と、@nifty会員の違いは？ (～中略～) @nifty会員は、上記のサービスのほか以下もご利用いただけます。 (～中略～) ・ 「ID@nifty.com」形式でのメールの送受信（別名
直しても直しても直らない | 水無月ばけらのえび日記
この問題は、JVN#F88C2C13 (JVN#89DE2014の情報を追加) で対応されたパターン以外のスクリプトが実行可能である問題です。 以前指摘されて修正したはずの問題が別のパターンで可能だったという話のようです。実のところ、ブラウザベースのアプリケーションで HTML メールを安全に表示するというのはメチャクチャ大変なことなので、仕方ないのかなという気もします。 私が経験した事例では、HTML メールではありませんが、こんなケースがありました。 まずは HTML が添付できる掲示板の事例。 添付された HTML は本文の一部として表示されるが、<script> などの危険なタグは削除されるというサニタイズ処理しかし <<script> などと書くと何故か貫通修正されたが、今度は <scr<script>ipt> などと書くと貫通修正されたが、また別の方法でスクリプトが書ける事が発
mailto: URL で Bcc: が指定できてしまう問題 | 水無月ばけらのえび日記
更新: 2005年5月27日 JVN で「JVN#FCAD9BD8 メールクライアントソフトにおける mailto URL scheme の不適切な解釈 (jvn.jp)」が公開されました。 Shuriken Pro (www.amazon.co.jp) についてはアップデートモジュールが公開されています……「特殊な mailto: URL を利用する際、お客様が意図しないメールが送信されてしまう現象について (www.justsystem.co.jp)」。Pro でない Shuriken はノーサポートのようですが、それはもうライフサイクルが終わっているということなのでしょうね。 実はこの話、ニフティの FPROG で「mailto: URL で From: を指定する方法ってありますか?」という質問が出たのがきっかけだったりします。脊髄反射で「そんなことできたら脆弱性ですよね」みたいな
原因は SQLインジェクション? | 水無月ばけらのえび日記
関係者によると、データベースは「ある範囲の情報を探す」「条件に合ったデータを取り出す」といったコンピューター言語「ＳＱＬ」で操作する。今回の攻撃は「ＳＱＬインジェクション」と呼ばれる手法を応用。攻撃者が利用者のふりをしてデータを入力し、戻ってきたエラーメッセージなどを解析しながらシステムを把握して、データベースを支配下に置いていったとみられる。 「利用者のふりをして」云々はちょっと語弊があるような気がしますが、ともあれ価格.com がやられた原因は SQLインジェクションだったというお話ですね。OS (Windows Server 2003) の不具合ではなかったようでほっと一安心ではあります。 これが事実であれば、ウェブアプリケーションの脆弱性を突かれた事例としては過去最大級ということになるのではないかと思います。また、ある意味私の敗北でもありますね。3月の時点で価格.com を利用して
SQLインジェクション | 鳩丸ぐろっさり (用語集)
用語「SQLインジェクション」についてSQLインジェクション (えすきゅーえるいんじぇくしょん)話題 : セキュリティ 「ダイレクトSQLコマンドインジェクション」とも。"injection" は「注入」というような意味で、SQL データベースに対し、外部から任意のコマンドを与えることができる状態を指します。 主に、任意のデータを抽出できてしまう事が問題となります。たとえば、あるユーザが他のユーザのデータを見たり、パスワード情報を得たりできてしまう可能性があります。また、SQL の種類や設定によってはデータベースの改竄や削除ができてしまったり、さらにはサーバ内で任意のコマンドを実行する事ができてしまったりすることもあって、洒落になりません。 ※ここで言う「サーバ内で任意のコマンドを実行」というのは SQL のコマンドではなくて、echo や copy などのシェルコマンドのことを言っていま
価格.com 不正アクセス(続き) | 水無月ばけらのえび日記
興味深い話が続々。 「最高レベルのセキュリティが破られた」――カカクコム、不正アクセス事件を説明 (www.itmedia.co.jp)「ソフト、ハード、運用の全てを刷新」価格.com、23日をめどに復旧 (internet.watch.impress.co.jp)価格.com経由で拡散したウイルス、Windowsの既知の脆弱性を悪用 (www.itmedia.co.jp) 11日の時点でサイトを閉鎖しようという意見もあったが、「閉鎖してしまうと不正侵入の経路や手法が特定できず、再開後もまた同じ攻撃を受ける危険性があったため」（穐田社長）、警察などと相談した上で手作業で改ざんを修正し、この時点での閉鎖は見送った。 以上、IT Mediaの「最高レベルのセキュリティが破られた」――カカクコム、不正アクセス事件を説明 より これは感心しました。こういう言い方ができるのですね。 もちろん逆の言い
MT に脆弱性 | 水無月ばけらのえび日記
というあたりで、「セッション管理で使われるCookieの値」が一時的なセッション ID ではない、という話なのでしょう。 通常のセッションハイジャックの場合、ターゲットがログアウトしてしまえばサーバ側で Cookie が無効になります。すると攻撃者に盗まれた Cookie も無効になり、それは二度と有効になりませんので、攻撃者が再度ログインしたい場合は盗聴なり攻撃なりをもう一度成功させなければなりません。が、Cookie が恒久的に使えれば攻撃者もその Cookie を恒久的に使えるわけでして、一度でも盗聴されたらそれでアウトになってしまうという事ですね。 パケット盗聴等で Cookie を盗まれなければ問題ないはずですが、たとえて言うならページアクセスのたびに「SSL 保護無しでパスワードを送る」という行為をしているのと同じような感じでしょうか。非 SSL で Basic 認証を使ってい
MT で CSRF | 水無月ばけらのえび日記
更新: 2005年7月18日 ちょいと Movable Type の話をしていて yuuさん (w3j.org)に教えていただいたのですが、Movable Type には CSRF攻撃の問題があるみたいですね。「MT をインストールしたら真っ先に行うべきセキュリティ対策 (hxxk.jp)」 ※2005-07-18追記: リンク先の記事はパワーアップして移動しているようです : 「Movable Type における CSRF の可能性と各種対処法 (hxxk.jp)」 しかし、ちゃんと CSRF という名前があるのに全然出てこないというのが……。この名前はあんまり一般的ではないのかなぁ。 ※XSS に比べると遙かにマイナーだとは思いますが。ちなみに CSRF というのは "Cross-Site Request Forgeries" の略で、要するに「編集」「削除」などのコマンドを実行するよ
CSRF | 鳩丸ぐろっさり (用語集)
用語「CSRF」についてCSRF (しーえすあーるえふ)話題 : セキュリティ CSRF は Cross Site Request Forgeries の略です。"forgery" は偽造の意味で、サイトをまたがって捏造された攻撃リクエストを送信する、という程度の意味になります。 ※ちなみに、CSRF は「シーサーフ」と発音するのだという説もありますが、少なくとも日本では「しーえすあーるえふ」と呼ぶ方が主流のようです。 たとえば、blog などは Web 上の管理画面で記事の削除ができるようになっています。削除を実行するには、削除を行うような HTTP のリクエストをサーバに送れば良いのですが、この画面は Cookie なり、Basic 認証なりでアクセス制御がされています。そのため、正規のユーザ以外が削除のリクエストを送っても何も起きません。ログイン済みの正規のユーザが「削除」のリクエス
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
NEC.EXE 来たっぽい | 水無月ばけらのえび日記
実はあるニフティのパスワードリマインダ | 水無月ばけらのえび日記
価格.comでスクリプトを | 水無月ばけらのえび日記
退会の理由 | 水無月ばけらのえび日記
mixi で CSRF | 水無月ばけらのえび日記