感想： 体系的に学ぶ 安全なWebアプリケーションの作り方 - penultの日記
読んでます。 体系的に学ぶ 安全なWebアプリケーションの作り方 脆弱性が生まれる原理と対策の実践 作者: 徳丸浩出版社/メーカー: SBクリエイティブ発売日: 2011/03/01メディア: 単行本購入: 119人 クリック: 4,283回この商品を含むブログ (146件) を見る まだ途中だけど、主にJava/Tomcatユーザとしての備忘メモ。ただし、セキュリティの専門家でも何でもないので間違いは大いにあると思われます。 HttpOnly 属性の指定（p.103） Tomcat では、Tomcat7以降（Servlet 3.0以降）なら単純に web.xml か web-fragment.xml に <session-config> <cookie-config> <http-only>true</http-only> </cookie-config> </session-confi
JUMPERZ.NET Blog
一時期かなりアトピーがひどかったのだが、今はほぼ全快し、誰が見てもアトピーには見えない状態まで改善している。病院で採血するときにもよく「肌綺麗ですね〜」と言われるくらいである。たまに少し痒くなってきたときにステロイドの塗り薬も使うが、5年で小さめのチューブ一本も使い切らないくらいの量である。 知り合いにもアトピーに限らずアレルギーで苦しんでいる人がいるし、誰かの役に立てば、ということで恥ずかしながら自分の写真もさらしつつメモする。悪質な業者のアフィリエイトブログ記事でないことを示すために、ソフトウェア開発が主題だったこのブログに載せてしまう。 (以下、アトピーの超汚い肌の写真があるので閲覧は自己責任でお願いします。) 症状が一番ひどかったのは2004年ごろ。今から20年近く前で、年齢としてはたぶん29歳くらい。24時間常に痒みが襲ってくる。肌からは黄色い汁が出てきて衣服がガビガビになる。ス
「Java」のぜい弱性がドライブバイダウンロード攻撃の標的に
2010年4月、2人のセキュリティ専門家が「Javaアプリケーション」内のぜい弱性について公表したが、米オラクルは、公表よりも前にこのぜい弱性の危険性について既に指摘を受けていた。同社は、この問題について査定したものの、緊急にセキュリティ更新を公開するほど深刻な事態ではないとみなした。しかしそれから数日後、このぜい弱性の悪用が実際に確認され、同社は修正パッチの早急な公開を余儀なくされることとなった。 2010年4月9日、「Javaアプリケーション」内で確認されたぜい弱性について、セキュリティ専門家がそれぞれ詳細情報を公表した。この報告によると、問題のぜい弱性は、ブラウザーにプリインストールされた「Java Deployment Toolkit 」(JDT)に存在するという。 これについてトレンドマイクロの研究員Rajiv Motwaniは、次のように説明している。Internet Expl
Webプログラミングは何故オブジェクト指向でない？～WicketはWebプログラミングにオブジェクト指向を取り戻す - プログラマの思索
Webプログラミングは何故オブジェクト指向でない？～WicketはWebプログラミングにオブジェクト指向を取り戻す JavaでWebアプリを10年書いて思ったこと。 Webプログラミングは全然オブジェクト指向でない。 Sevlet＋JSP主体のプログラミングスタイルは、リクエストとレスポンスへPrimitiveな値をどうやって渡すか、という手続き型の発想でしか書いていない。 従来のWebプログラミングスタイルの問題点について書いてみる。 以下ラフなメモ書き。 【参考リンク】 Wicketって？ ウェブ開発をもう一歩前に Wicketで始めるオブジェクト指向ウェブ開発：第1回 Hello, Wicket｜gihyo.jp … 技術評論社 【コラム】イマドキのIDE事情 (39) Wicket、Grails、Click - IDEでみる軽量Javaフレームワーク | エンタープライズ | マイ
Javaの「すでに最新」を信用してはいけない - masa141421356’s blog
その理由は アップデート情報の取得の途中で失敗しても「すでに最新」と言い張る Java6u16以前にはアップデートに失敗するバグがある アップデート情報ファイルの更新ミスが多い（前科の一例） ちなみに、昨日の時点でのアップデート情報ファイルには Java 6 Update 18 の Windows 7 と 64bit版 Windows Vista 用のアップデートは存在しないことになっていました。 <mapping> <version>1.6.0_18</version> <arch>i586</arch> <os>winvista, winxp, win32, winnt, winlong, win2000, winxp, win2003, win98, winme, win95, win2008R2</os> <url>http://javadl-esd.sun.com/update/
JavaアプレットのDNSリバインディングはJRE側で対策済みだった - 徳丸浩の日記
Black Hat Japan 2007における金床氏のプレゼンテーションや金床本で、Javaアプレットに対するDNSリバインディングの手法が説明されている。ここしばらく、その追試を行っていた。結論としては、金床氏の方法にはJRE側で対策がとられていたので報告する。 金床氏が報告しているDNSリバインディングの手法とは以下のようなものだ（金床本に説明されている方法）。 被害者のユーザにワナのページをPROXY経由で閲覧させる ワナのドメイン(FQDN)に対するIPアドレスを変更する ワナページ上で数秒～数十秒のちにJavaScriptによりJavaアプレット用のHTMLをレンダリングする JREがアプレットをPROXY経由で*1ダウンロードする アプレットのダウンロード時点で既にDNSレコードは書き換わっているが、PROXYがDNSキャッシュしているため、アプレットは正常にダウンロードされ
Oracle Databaseプラットフォーム共通日本語README
Oracle JDBC Drivers README 原典情報: $ORACLE_HOME\relnotes\readmes\README_jdbc.txt 目次 このリリースの新機能 ドライバのバージョン このリリースの内容 NLS拡張機能のjarファイル（クライアント側のみ） インストール 環境の設定 JDBCドライバ使用時に役立つヒント 以前のoracle.jdbc.driverパッケージの廃止 Javaストアド・プロシージャ 既知の不具合 このリリースの既知の問題/制限事項 Java Standard Edition 6（JSE6）およびJDBC 4.0のサポート ThinドライバおよびOCIドライバでは、新しいJDBC仕様であるJDBC 4.0を含め、JSE 6（AKA Mustang）がサポートされています。このリリースでは、新しいjava.sql.SQLXMLタイプはサポート
SQLインジェクション対策で、エスケープ処理を行おうとしています。
タイトルの通り、SQLインジェクション対策として、文字のエスケープ処理を行おうと考えています。 言語はJavaです。StringクラスのreplaceAllメソッドを使おうと考えています。 例えば以下の文字列の場合、 "AAA%BBB\%CCC" %という字を\%に置き換えようと思うのですが、そのまま%を\%に変更してしまうと、 "AAA\%BBB\\%CCC" となってしまいます。 これを防ぐため、1つ前の文字が\以外の文字の場合にのみ置換を行うようにしたいのですが、うまく行きません。 例えば replaceAll("[^\\\\]%","\\\\%"); という風にすると、 "AA\%BBB\%CCC" という風に1文字欠けてしまいます。 また、' (シングルクオーテーション)も同じような問題をかかえています。 単純に'を''に変えるのではなく、''となっている物はそれ以上変更を加えた
MySQL Connector/J 5.1.8リリース SQLインジェクションの修正あり - SH2の日記
MySQL用のJava JDBCドライバ、Connector/Jがバージョンアップしました。 Connector/J 5.1.8では以下のSQLインジェクション脆弱性が修正されています。私たち日本のユーザにとってクリティカルなバグですので、早めにバージョンアップされることをおすすめします。 SQL injection was possible when using a string containing U+00A5 in a client-side prepared statement, and the character set being used was SJIS/Windows-31J. (Bug#41730) 関連記事です。 徳丸浩の日記 - JavaとMySQLの組み合わせでUnicodeのU+00A5を用いたSQLインジェクションの可能性 Connector/JのSQLイン
全Eclipse Java プログラマーに捧げる Eclispe 徹底活用術完全版〜Eclipseに空気を読ませて楽する術〜 - Yamashiro0217の日記
この記事は、http://d.hatena.ne.jp/higayasuo/20090612/1244772658 の「Ctrl+1とCtrl+Spaceうんぬん」の話にインスパイアされて書いた。Eclipse可愛いよ。Eclipse。 記事長いから、さくっと読み飛ばして、アニメーションgifがあるところから読んでも十分訳にたつと思う。 あと、新人さんとかに写経させるのもいいかも。というか、半分ぐらいうちの新人に勉強のためと思って書いたから。で、実際に写経させて役にたった。 Java は Eclipse などの IDE も含めて言語というか、環境というか…だと僕は思ってる。Commons, Maven なども含めたい（まぁ、そのあたりは、CPANも含めてperlだろ。とか、これは否定する人だらけだろうけど、Rails＝rubyということを言う人もいるよね）。 少なくとも僕は、Eclipse
各言語におけるtrue/falseまとめ - 昼メシ物語
たとえば PHP で、 if ($hoge) { ... } とか書いてあったら、 $hoge がどんな値のときに if の中身が実行されるのか即答できますか。 こういう書き方は多くの言語で可能ですが、言語によって何が真で何が偽になるのかが異なるので、それぞれまとめてみました。 C言語 C言語には bool 型が無い。 0 （int） だけが偽となり、それ以外はすべて真となる。 NULL 定数は stddef.h で以下のように ((void*)0) と定義されているため、偽値として使える。 意見が分かれそうなところですが、個人的にはNULLを偽値として使用するは好きじゃないです。 #ifndef __cplsuplus #define NULL ((void*)0) #else #define NULL __null #endif C++ C++になると bool 型が出てくる。C と同
Javaエンジニアとして、OracleによるSun買収話から感じたこと | gihyo.jp
OracleがSunを買収するという報道が流れた。 ビジネス面での分析は、他にいろいろとなされると思うが、ここでは、Javaを使っている技術者としての印象を書きたいと思う。 OracleによるSunの買収への感想をひとことで言えば、落ち着くところに落ち着いた、というものだ。もしIBMによる買収話が流れていなければ、ドラマチックでもなんでもない話であるとも言える。 ここ最近流れていたIBMによるSunの買収という話は、Java技術者にとって、それが実現すれば現実的な影響も少なくないために非常に関心の高い話題だった。 Javaを通して見るIBMとSunの関係は、あまり仲がいいといえるものではない。開発環境でのEclipseとNetBeansの争いをはじめとして、Javaに対する主導権争いを繰り広げていたからだ。この争いが買収によって収まることは、技術者にとって、安定という面ではいいことであると
GIFを隠れ蓑に悪性Javaを勝手に実行
クライアント・パソコンを狙った攻撃が巧妙さを増し，対策はますます難しくなってきている。中でもJavaScriptやFlashのぜい弱性を悪用した，スクリプトを使う攻撃は極めて厄介である。スクリプトは静的なWebページだけでなく，動的コンテンツ，画像，ファイルに含まれていることがあり，攻撃を受けた時期の特定が難しいからだ。 そんな中で，今後大きな脅威になると見られている攻撃手法の一つに，「GIFAR」がある。2008年8月に報告された攻撃手法で，2009年2月にホワイトハット・セキュリティのCTOであるジェレミア・グロスマンをはじめとするWebセキュリティの専門家が選ぶ「Top Ten Web Hacking Techniques of 2008」の1位に選ばれた。日本ではあまり話題になっていないが，いつやって来るか分からない。今後の影響範囲を考えると，特にWebアプリケーション開発者は知っ
Sun、Java 6.0のアップデートをリリース
Sun MicrosystemsはJava SEのアップデートとなる「Sun Java 6.0 Update 11」をリリースした。 US-CERTによると、今回のアップデートではJava Runtime Environment（JRE）とJava SE Development Kit（JDK）の複数のセキュリティ問題が修正された。 Sunのリリースノートでは「1件あるいはそれ以上」の脆弱性を修正したと伝えているが、具体的な内容は公表していない。 過去のセキュリティニュース一覧はこちら 関連記事 Sun、プロキシサーバの修正パッチ公開 「Sun Java System Web Proxy Server」に深刻な脆弱性が見つかった。 SunのJava ASP Serverに脆弱性、アップデートを公開 悪用されるとリモートの攻撃者がroot権限または「Sun Java ASPサーバ管理者」の権
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
iモードでアップル流アプリ配信 ドコモ、今秋から 個人のアプリ開発容易に - 日本経済新聞
Java 暗号化拡張機能 JDK5.0
サービス終了のお知らせ
「7&Yネットショッピングのソースコード、ディレクトリトラバーサルで流出?」へのコメント | 水無月ばけらのえび日記
一応確認してみたところ、MySQL-JDBC-ServerSidePrepare... by ちば - Wassr [お気軽メッセージングハブ・ワッサー]
Java 暗号化拡張機能 JDK5.0