ockeghemのブックマーク - はてなブックマーク

PHPでデータベースに接続するときのまとめ - Qiita
【2021/10/15 追記】この記事は更新が停止されています。現在では筆者の思想が変化している面もありますので，過去の記事として参考程度にご覧ください。PDO に関しては大きく変わっていない部分が多いとは思いますが， PHP 8.x 以降での動作保証はありません。あらかじめ読んでおきたい記事 Qiita - 【PHP超入門】クラス～例外処理～PDOの基礎 by @7968 初心者がやりがちなミス以下のどれかに1つでも当てはまるコードは見直す必要があります．付録にリンクを貼っておきましたので，「該当するかも？」という人はクリックして飛んで読んでください．太字にしてあるものは脆弱性に直結する危険度の高いものです． mysql_query などの非推奨関数を利用している SET NAMES あるいは SET CHARACTER SET などで文字コードを指定しているそもそもデータベース
ockeghem 2017/07/18
MYSQL_ATTR_MULTI_STATEMENTS についても言及していただきたい
リンク
とっても簡単なCSRF対策 - Qiita
【2021/10/15 追記】この記事は更新が停止されています。現在では筆者の思想が変化している面もありますので，過去の記事として参考程度にご覧ください。 CSRFおよびその対策の仕組みに関してはこちら↓ これで完璧！今さら振り返る CSRF 対策と同一オリジンポリシーの基礎 - Qiita この記事は，PHPにおけるワンタイムトークンを用いた実装例を示すものです。執筆日が少々古いものになるのでご了承ください。コメント欄の議論に関するまとめ以下，XSS脆弱性が存在しない前提．この脆弱性があるとあらゆるCSRF対策がほとんど意味をなさなくなるので，まずここから潰しておくこと．セッション固定攻撃に対する対策ログイン後にsession_regenerate_idを必ず実行する．ログアウト後にsession_destroyを必ず実行する． CSRF攻撃に対する対策セッションIDを抜か
ockeghem 2014/11/21
トークンに加えてリファラのチェックも必要というコメントがあるが、これは間違い。XSSがある前提ではリファラをチェックしても意味ないし
リンク
QiitaにXSS脆弱性 - Qiita
Qiitaに発生していた脆弱性について ※ エイプリルフールネタっぽいけど実際に発生していました。 ※ 現在この脆弱性は修正済みです。問題のあった記事問題のMarkdown おいしいクッキーを食べたい人はここをクリック！ **[おいしいクッキーを食べたい人はここをクリック！](data:text/html;base64,PHNjcmlwdD5hbGVydChkb2N1bWVudC5jb29raWUpPC9zY3JpcHQ+)** ブラウザ別の挙動 Chrome 33.0 データURIスキームの先で document.cookie を参照することは出来なかった。 Firefox 28.0 データURIスキームの先で document.cookie を参照することが出来た。 Internet Explorer とかその他もろもろ編集リクエストに任せるぜ！考察結局これってやばいの？
ockeghem 2014/04/02
ゼロデイ脆弱性を公開の場に書くのはやめましょう。HttpOnlyは（引用記事とは別の意味でも）気休めです。ngyukiさんのコメントに同意します
リンク
1