入力時に文字参照に変換するのがよろしくない理由 | 水無月ばけらのえび日記
「Twitterのクロスサイト・スクリプティング(XSS)対策は変だ (www.tokumaru.org)」。文字参照に変換した状態で DB に格納しているというのは、けっこう良くある話だろうと思います。この手のエスケープしすぎによる化けは、twitter に限らず、よく見かけますので……。 ※HTML のエスケープに限らず、入力欄に \ を入れて検索すると \\ に化けて、検索ボタンを押すたびに \ が増殖していくという面白いシステムも良くありますね。 一昔前のフリーの掲示板 CGI などでは、フォームの値を読み取るところで < → < " → " のように文字参照に変換してしまうのが一般的でした。この手のアプリケーションは、 絶対に HTML にしかデータを出力しないフォームからの入力以外のデータを処理しない作者が一人で開発しているので、出力時の処理も把握しているという
ブラウザの DoS 話 | 水無月ばけらのえび日記
「IE6を一行でクラッシュさせるコード (slashdot.jp)」。ちなみにこの手のクラッシュを IPA 経由で届け出ると、MS は「脆弱性じゃありませんがありがとう」という感じの反応をして、特に何事もなく終了します。そのうち直るかもしれませんし直らないかもしれません。そんなもんです。 実はブラウザに対する DoS ってあまり深刻な問題として受け止められないのですよね。というのも、ブラウザに対する DoS 攻撃はあまりにも容易だからです。たとえば、 なんてのが実行されると、たいていのブラウザは DoS 状態になります。しかし、だからといってブラウザ側で有効な対策ができるわけでもありません。これはそういうものだとしか言いようがありませんので、「Web ブラウザは悪意あるサイトにアクセスすると DoS 状態になることがある」ということが前提になってしまいます。 ※ちなみにこの攻撃はスクリプト
RSSで任意のドメインに誘導されてしまう脆弱性 | 水無月ばけらのえび日記
「tDiaryの脆弱性に関する報告(2007-07-23) (www.tdiary.org)」……って、これ、えび日記のRSSが脆弱という話とまるっきり同じですね。RSSが変だと指摘されて……という流れまで全く同じです。 そういえば脆弱性の詳細を書くと言いつつ全く書いていなかったので、深く反省。改めて書いておきます。 えび日記の RSS の脆弱性についてこの「えび日記」は RSS 1.0 のフィードを生成していますが、そのフィード中の URL のドメインを任意のものに変えられてしまうという脆弱性がありました。 RSS の中では絶対 URL が必要になりますが、Web アプリケーションが自身の「正しい」絶対 URL を知るのは意外に難しいのです。たとえば ASP.NET の場合、Request.Url の値を取ると現在の URL が分かるのですが、このとき、ドメインは単にリクエストの Hos
IE + Firefox2 の脆弱性 | 水無月ばけらのえび日記
更新: 2007年7月16日 「IEとFirefoxをインストールしている人は要注意--「非常に重大」なセキュリティリスク (japan.cnet.com)」。 コマンドライン引数のインジェクションですか。とりあえず、レジストリの以下の2つのキーを無効にしておけば良いようですね。 HKEY_CLASSES_ROOT\FirefoxURLHKEY_CLASSES_ROOT\FirefoxHTMLこれらを適当にリネームしてみたところ、firefoxurl: は動作しなくなりました。 ※セキュリティホールmemoの記述 (www.st.ryukoku.ac.jp)によると Firefox.URL というドット入りのキーもあるらしいのですが、手元の環境には該当するキーはありませんでした。環境依存なのかも。 ※2007-07-16追記: 「FirefoxHTML」のほうのレジストリキーは、無効にしな
手口は公開すべきか | 水無月ばけらのえび日記
わたしはいかに簡単に偽造できるか、実際にこうした手口を講演やテレビで公開した。模倣犯が現れるかもしれないという心配はあるだろう。だが、それを教えないことのデメリットの方が大きい。なぜなら、犯罪者は誰もがそんなことはよく知っているからだ。 以上、知らされない犯罪の実態 より 警察は「この資料を配布すると他の泥棒にも手口を教えることになる」と配布することを懸念したが、一般の人が手口を知ることに意味があるのだ。犯罪者は教えなくても知っている。 以上、空き巣のカギ開け手口を全面公開 より
証明書の失効 | 水無月ばけらのえび日記
とりあえず「当該サイト」の CRL配布ポイントは http://crl.verisign.com/RSASecureServer.crl (crl.verisign.com) なので、それを見てみると現時点でその CA が失効させている証明書の数は分かりますね。 ……と思ったら、なんか Windows の UI が駄目駄目で数とか数えられる状態じゃないんですけど。リストのスクロールバーの感じからすると、とってもたくさんあるみたいです。 ※CRL配布ポイントは証明書に書いてありますので、証明書を表示すればすぐ参照できるのですが、IE7 のインターフェイスだと証明書を表示することもできないのでしんどいですね。 ちなみに、RFC3280 では、どういう場合に CRL にリストされるのかについて一部例示されています。 3.3 Revocation (～中略～) Such circumstances
事実上名指し | 水無月ばけらのえび日記
乗口氏がセキュアスカイ・テクノロジーを設立した2006年3月以降，ユーザー企業のWebアプリケーションを検査してきたが，実際に顧客のシステムを検査してみると，必ず脆弱性が見つかるという。「多くの企業にとっては脆弱性があるのか無いのかということが問題なのではなく，脆弱性が発覚しないことが目的になっている」 余計なお世話かもしれませんが、この発言、大丈夫なのでしょうか。 セキュアスカイ・テクノロジーの主要取引先 (www.securesky-tech.com)のページを見ると、そこに掲載されている社名は 3つだけしかありません。この状態で、「100%」という数字を出しつつ先に引用したような発言がなされると、それは 3社を名指しして言っているも同然になってしまいます。 そして私はポケモン (www.amazon.co.jp)を好んでプレイしており、ポケモンだいすきクラブ (www.pokemon
mixiコミュニティから訴訟の動き? | 水無月ばけらのえび日記
mixi にこんなトピックスがあったのでメモ。 ※以下のリンクは mixi 内のもので、会員専用です。あしからず。 [mixi] 嫌煙家 | みんなで告訴したい (mixi.jp)[mixi] 嫌煙家 | みんなで告訴したい 【訴状編】 (mixi.jp)民事になると思うので、「告訴」とは言わないような気もしますが、まあそれはともかく、「飲み会等も殆ど行けません」という話が悲しいですね。 ちなみに、健康増進法第25条 (law.e-gov.go.jp)には次のような規定があります。 学校、体育館、病院、劇場、観覧場、集会場、展示場、百貨店、事務所、官公庁施設、飲食店その他の多数の者が利用する施設を管理する者は、これらを利用する者について、受動喫煙（室内又はこれに準ずる環境において、他人のたばこの煙を吸わされることをいう。）を防止するために必要な措置を講ずるように努めなければならない。 飲食
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
禁煙ルーム検索 | 水無月ばけらのえび日記
アマ検 | 水無月ばけらのえび日記
HttpHandler で Bad Request の謎 | 水無月ばけらのえび日記
イマドキ APOP 推奨? と思いきや実は古い記事 | 水無月ばけらのえび日記
vacation 機能といえば | 水無月ばけらのえび日記
Web Site Expert #13 に SSL 特集 | 水無月ばけらのえび日記
オフィスでアイス | 水無月ばけらのえび日記
リダイレクタを踏み台にする? 爆撃機 | 水無月ばけらのえび日記
JREの脆弱性話 | 水無月ばけらのえび日記
リダイレクタを挟んでも Referer は消えない | 水無月ばけらのえび日記
100%なら見分けるまでもない | 水無月ばけらのえび日記
東京ミッドタウンのリンクポリシー | 水無月ばけらのえび日記