ockeghemのブックマーク / 2011年12月30日

ockeghem id:ockeghem

2011年12月30日のブックマーク (3件)

Webアプリケーションに対する広範なDoS攻撃手法(hashdos)の影響と対策
28C3(28th Chaos Communication Congress)において、Effective Denial of Service attacks against web application platforms（Webプラットフォームに対する効果的なサービス妨害攻撃）と題する発表がありました（タイムスケジュール、講演スライド）。これによると、PHPをはじめとする多くのWebアプリケーション開発プラットフォームに対して、CPU資源を枯渇させるサービス妨害攻撃(DoS攻撃)が可能な手法が見つかったということです。この攻撃は、hashdos と呼ばれています。概要PHPなど多くの言語では、文字列をキーとする配列（連想配列、ハッシュ）が用意されており、HTTPリクエストのパラメータも連想配列の形で提供されます。PHPの場合、$_GET、$_POSTなどです。連想配列の実装には
ockeghem 2011/12/30
日記書いた / Rubyの対象バージョンを追記、mod_securityが対策として有効であることを確認しました / suhosinパッチ、apacheの設定による対策を追記 #hashdos

security

web

hashdos
リンク
htmlspecialchars()の使い方 - $_POST['a']のように''でくくっている場合は第2引数にENT_QU... - Yahoo!知恵袋
$_POST[●●]の●●の書き方は関係ありません。 ENT_QUOTESを指定する必要があるのは、以下の両方の条件を満たす場合です。・属性値を出力している場合・属性値をシングルクォート「'」で囲っている場合すなわち、以下のようなケースです <input name="a" value='<?php echo htmlspecialchars($_POST["a"], ENT_QUOTES, "UTF-8"); ?>'> value=の右辺をシングルクォートで囲っています。この場合、シングルクォートがそのまま出力されると、その時点でシングルクォートで囲った文字列が終わりになるので、それを避ける為に、シングルクォートもエスケープする必要があります。一方、属性値をダブルクォートで囲む場合は、ENT_QUOTESでも、ENT_COMPATでもよいです。以下の例では、value=の右辺をダブ
ockeghem 2011/12/30
『$_POST['a']のように''でくくっている場合は第2引数にENT_QUOTESを入れておくらしいのですが』<これも斬新な…

php

知恵袋
リンク
高木浩光＠自宅の日記 - spモードはなぜIPアドレスに頼らざるを得なかったか
■ spモードはなぜIPアドレスに頼らざるを得なかったか spモードの事故 NTT docomoのスマホ向け独自サービス「spモード」が、今月20日に大規模な事故を起こして、重大事態となっている。スマホ向けネット接続が不具合ドコモ別人のアドレス表示, MSN産経ニュース, 2011年12月20日ドコモのspモードで不具合、他人のメールアドレスが設定される恐れ, 日経IT Pro, 2011年12月21日ドコモの「spモード」でトラブル、関連サービスが一時停止, ケータイ Watch, 2011年12月21日ドコモ、spモード障害で「ネットワーク基盤高度化対策本部」設置, ケータイ Watch, 2011年12月26日ドコモ約1万9000人に影響, NHKニュース, 2011年12月27日ドコモの“メアド置き換え”不具合、影響数や新事象が明らかに, ケータイ Watch,
ockeghem 2011/12/30
『ところが、既に、この「ドコモ独自のサービスアプリ認証」を解析し、spモードメール互換のアプリを開発した人がいる』<仕事早い

security

docomo

mobile

高木浩光
リンク
- 2011年12月31日
- 2011年12月30日
- 2011年12月29日