とっても簡単なCSRF対策 - Qiita
【2021/10/15 追記】 この記事は更新が停止されています。現在では筆者の思想が変化している面もありますので，過去の記事として参考程度にご覧ください。 CSRFおよびその対策の仕組みに関してはこちら↓ これで完璧！今さら振り返る CSRF 対策と同一オリジンポリシーの基礎 - Qiita この記事は，PHPにおけるワンタイムトークンを用いた実装例を示すものです。執筆日が少々古いものになるのでご了承ください。 コメント欄の議論に関するまとめ 以下，XSS脆弱性が存在しない前提．この脆弱性があるとあらゆるCSRF対策がほとんど意味をなさなくなるので，まずここから潰しておくこと． セッション固定攻撃に対する対策 ログイン後にsession_regenerate_idを必ず実行する． ログアウト後にsession_destroyを必ず実行する． CSRF攻撃に対する対策 セッションIDを抜か
組織外部向け窓口部門の方へ：「やり取り型」攻撃に対する注意喚起 ～ 国内5組織で再び攻撃を確認 ～：IPA 独立行政法人 情報処理推進機構
IPA（独立行政法人情報処理推進機構、理事長：藤江 一正）は、J-CSIP(*1)とJ-CRAT(*2)の一連の活動により、標的型サイバー攻撃の手口の一つである「やり取り型」攻撃（無害なメールのやり取りの後でウイルス付きのメールを送信してくる手口）が、2014年8月から10月にかけ、再び、国内の複数の組織に対して行われたことを確認しました。また、メールの添付ファイルを開封させ、ウイルスに感染させるための「やり取り」が巧妙さを増していることから、改めて利用者、特に各組織の外部向け窓口の担当者へ注意を呼びかけます。 「やり取り型」攻撃とは、一般の問い合わせ等を装った無害な「偵察」メールの後、ウイルス付きのメールが送られてくるという、標的型サイバー攻撃の手口の一つです。攻撃者からのメールは、その内容を確認したり、返信せざるをえない外部向け窓口部門等に対して送られてきます。メールの受信者が攻撃者か
CLUB Panasonic（クラブパナソニック） | Panasonic
CLUB Panasonicは、あなたの快適なくらしづくりをお手伝いする<br>\r\nパナソニックの会員サービスです。<br>\r\n<br>\r\nひとつのIDで、家電とくらしにまつわる<br>\r\nさまざまな情報にアクセスできます。<br>\r\n<br>\r\n取扱説明書、使いこなし術、お得なご案内など、<br>\r\n毎日のくらしにも、いつか来るかもしれない「困った」の時にも<br>\r\n役立つ情報をお届けします。</p>\r\n"}}" id="c-gen002-c1c184fd30" class="cmp-text"> CLUB Panasonicは、あなたの快適なくらしづくりをお手伝いする パナソニックの会員サービスです。 ひとつのIDで、家電とくらしにまつわる さまざまな情報にアクセスできます。 取扱説明書、使いこなし術、お得なご案内など、 毎日のくらしにも、いつか来
WordPress、深刻な脆弱性を修正 XSS攻撃の恐れ
WordPress 4.0.1ではXSSの脆弱性などが修正された。悪用された場合、Webサイトをハッキングされたり、クロスサイトリクエストフォージェリ（CSRF）攻撃を仕掛けられたりする恐れがある。 ブログ作成ソフトの更新版となる「WordPress 4.0.1」が11月20日に公開された。クロスサイトスクリプティング（XSS）などの深刻な脆弱性が修正されており、ユーザーに対して自分のWebサイトを直ちに更新するよう呼び掛けている。 WordPressのブログによると、WordPress 4.0.1では3件のXSSの脆弱性を含め、計8件の脆弱性を修正した。悪用された場合、Webサイトをハッキングされたり、クロスサイトリクエストフォージェリ（CSRF）攻撃を仕掛けられたりする恐れがある。脆弱性は3.9.2までのバージョンに存在する。 更新版は、自動更新を有効にしていれば自動的に配信される。脆
ＰＣ遠隔操作事件 懲役１０年求刑 NHKニュース
他人のパソコンを遠隔操作して殺人の予告を書き込んだとして、威力業務妨害などの罪に問われている被告の裁判で検察は「日本のサイバー犯罪史上まれに見る卑劣で悪質な犯行だ」と指摘して懲役１０年を求刑しました。 インターネット関連会社の元社員、片山祐輔被告（３２）はおととし、他人のパソコンを遠隔操作して無差別殺人の予告や旅客機の爆破予告を書き込んだなどとして、威力業務妨害やハイジャック防止法違反などの罪に問われています。 ２１日、東京地方裁判所で開かれた裁判で検察は「パソコンの遠隔操作によって警察、検察官、裁判所は第三者を犯人と誤認させられ、何ら罪のない４人が逮捕されたが、被告はその様子をパソコンの前であざ笑いながら眺めていた。犯行後には報道機関にメールを送って捜査機関を愚弄するなど、無反省な態度は極めて悪質だ」と指摘しました。 そのうえで「刑事司法制度への国民の信頼を揺るがしかねない前代未聞の事態
WordPress 4.0.1 Security Release
WordPress 4.0.1 is now available. This is a critical security release for all previous versions and we strongly encourage you to update your sites immediately. Sites that support automatic background updates will be updated to WordPress 4.0.1 within the next few hours. If you are still on WordPress 3.9.2, 3.8.4, or 3.7.4, you will be updated to 3.9.3, 3.8.5, or 3.7.5 to keep everything secure. (We
１５００人分のＩＤやパスワード 悪用か NHKニュース
中国の顧客に、インターネットへの接続を中継するサーバーを通じて日本のインターネットに不正に接続させたなどとしてサーバーの管理会社が一斉に摘発された事件で、このうち東京の２つの会社が１５００人分の他人名義のＩＤやパスワードを悪用していた疑いがあることが分かり、警視庁は入手先を捜査しています。 警視庁など２０の警察本部は、１９日、インターネットへの接続を中継する「プロキシサーバー」と呼ばれるサーバーの管理会社８つを一斉に摘発し、他人のＩＤとパスワードを使って中国の顧客に日本のインターネットに不正に接続させた疑いなどで、会社の関係者を逮捕しました。 このうち、警視庁が摘発した東京・豊島区の「サンテクノ」と台東区の「大光」が、合わせて１５００人分の他人名義のＩＤやパスワードがサーバーに保管していたことが、警視庁の調べで分かりました。 警視庁によりますと、こうしたＩＤなどの名義人のほとんどは、同じ大
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
複数の脆弱性を修正した Drupal 6.34/7.34 がリリース | ≡ Drupal Japan ≡