Skipfish - Webアプリ向け脆弱性スキャナ - うまいぼうぶろぐ
http://code.google.com/p/skipfish/ http://code.google.com/p/skipfish/wiki/SkipfishDoc http://www.itmedia.co.jp/enterprise/articles/1003/23/news054.html googleが作ったらしいのでやってみた。 install ubuntu 9.10に入れてみた。libidnとlibsslがいる。 $ wget http://skipfish.googlecode.com/files/skipfish-1.17b.tgz $ tar zxvf skipfish-1.17b.tgz $ sudo apt-get install libidn11-dev libssl-dev $ make how to run scanner 実行するにはtgzを展開した場所
DNSリバインディングによるルータへの侵入実験
補足 この記事は旧徳丸浩の日記からの転載です。元URL、アーカイブ、はてなブックマーク1、はてなブックマーク2。 備忘のため転載いたしますが、この記事は2010年03月25日に公開されたもので、当時の徳丸の考えを示すものを、基本的に内容を変更せずにそのまま転載するものです。 補足終わり このエントリでは、DNSリバインディング攻撃によりブロードバンドルーターの設定を外部からの侵入を許すように変更してみたので報告する。 DNSリバインディングに対する関心が高まってきている。本年1月12日には、読売新聞夕刊一面トップで、iモードブラウザ2.0のDNSリバインディングによる不正アクセスが報じられた。3月17日のcomputerworld.jpでは、『2010年に最も警戒すべきセキュリティ脅威は「DNSリバインディング」』という翻訳記事が紹介された。実は「最も警戒すべきセキュリティ脅威」というタイ
Webの表示速度を遅くする「SSLハンドシェイク」とは
Webの表示速度を遅くする「SSLハンドシェイク」とは：現場にキく、Webシステムの問題解決ノウハウ（3） 本連載は、日立製作所が提供するアプリケーションサーバ「Cosminexus」の開発担当者へのインタビューを通じて、Webシステムにおける、さまざまな問題／トラブルの解決に効くノウハウや注意点を紹介していく。現在起きている問題の解決や、今後の開発のご参考に（編集部） 知っていますか？ SSLハンドシェイク Webアプリケーションで提供するWebページにSSLを適用した場合、SSLでは通信相手の認証／通信内容の暗号化などの負荷の高い処理が実行されるため、WebページのWebブラウザに表示される速度が遅くなることがある。この現象は、SSLセッションを再利用して、「SSLハンドシェイク」（上記の認証／暗号化を含んだ一連の処理）を簡略化することで、解決できる場合がある。 今回は、それらの問題を
Google Apps採用のロサンゼルス市、特別バージョンを要求
ロサンゼルス市がGoogle Appsを電子メールなどのシステムとして採用したことが、グーグルのブログ「Cloud apps, big city: LA goes Google」などで明らかにされています。 米政府は積極的にクラウドを採用すべく、政府機関がクラウドをベースにしたITサービスをセルフサービスで購入できるポータルサイト「Apps.gov」を公開しています。Google AppsもそのApps.govに登録されているアプリケーションの1つであり、これまでにワシントンD.C.やフロリダ州オーランド市などがすでにGoogle Appsを採用しています（参考：オバマ政権がクラウド調達によるコスト削減策を開始、日本は「霞が関クラウド」のままでいいのか？）。 Google Appsの見かけは同じだが中味は違う ロサンゼルス市などが採用したGoogle Appsは、私たちが普段利用しているG
ke-tai.org > Blog Archive > iモードブラウザ2.0のJavaScript機能とかんたん認証を利用した不正アクセスの方法について
iモードブラウザ2.0のJavaScript機能とかんたん認証を利用した不正アクセスの方法について Tweet 2009/11/26 木曜日 matsui Posted in ニュース, 記事紹介・リンク | No Comments » フォーラムに複数の方からタレコミをいただきました。 （情報提供ありがとうございます） ドコモのiモードブラウザ2.0に搭載されているJavaScript機能と、かんたん認証を組み合わせた不正アクセスの方法について話題になっているようなので、ご紹介させていただきます。 まず時系列的にはこちらのエントリーが発端となっているようです。 → mpw.jp管理人のBlog iモード専用サイトのhtmlソースの閲覧方法 [mpw.jp] JavaScriptとDNSの書き換えを使って、IPアドレス制限がかけられたサイトからhtmlソースを抜き出す方法がまとめられていま
ネット史上最大の惨事のひとつ発生―Microsoft Danger、T-MobileのスマートフォンSidekickのユーザーデータのすべてを失う
Unlike Light’s older phones, the Light III sports a larger OLED display and an NFC chip to make way for future payment tools, as well as a camera.
twitter の OAuth で思ったより豪快に認可してしまっている件 - 知らないけどきっとそう。
忘れたころに追記 API で _twitter_sess は発行されているようですが、web の UI にアクセスはできなくなったみたいです（つまり豪快さは解消されてます） OAuth コンシューマが twitter API にアクセスすると、ブラウザでログインしたときと同様のセッションクッキーが発行されている模様です GET https://twitter.com/account/verify_credentials.xml Authorization: OAuth realm="", oauth_consumer_key="***", oauth_nonce="***", oauth_signature="***", oauth_signature_method="HMAC-SHA1", oauth_timestamp="1253358338", oauth_token="***",
PHP以外では: 既にあたり前になりつつある文字エンコーディングバリデーション - 徳丸浩の日記(2009-09-14)
_既にあたり前になりつつある文字エンコーディングバリデーション 大垣靖男さんの日記「何故かあたり前にならない文字エンコーディングバリデーション」に端を発して、入力データなどの文字エンコーディングの妥当性チェックをどう行うかが議論になっています。チェック自体が必要であることは皆さん同意のようですが、 チェック担当はアプリケーションか、基盤ソフト（言語、フレームワークなど）か 入力・処理・出力のどこでチェックするのか という点で、さまざまな意見が寄せられています。大垣さん自身は、アプリケーションが入力時点でチェックすべきと主張されています。これに対して、いや基盤ソフトでチェックすべきだとか、文字列を「使うとき」にチェックすべきだという意見が出ています。 たとえば、id:ikepyonの日記「[セキュリティ]何故かあたり前にならない文字エンコーディングバリデーション」では、このチェックは基盤ソフ
jCryptionが危険な理由。 - うっくつさん本を読む。
http://www.moongift.jp/2009/08/jcryption/の話。http://takagi-hiromitsu.jp/diary/を検索すれば幾らでも情報は見つかるとは思うけれど、自分のためにも書いておく。 前振り。 このjCryptionはMan-In-the-Middle攻撃に弱いはずだ。どのように攻撃されるかを具体的に書いてみる。登場人物は クライアント Alice サーバ Bob クラッカー Charlie の三名。 通常の通信。 通常手順での通信は クライアント 通信 内容 サーバ Alice ---接続--> リクエスト Bob Alice <--応答--- Bob公開鍵(平文) Bob Alice ---ポスト--> 暗号文 by Bob公開鍵 Bob というようになっている。 Man-In-the-Middle攻撃。 Man-In-the-Middl
無線LANのWPAをわずか数秒から数十秒で突破する新しい攻撃方法が登場、早期にWPA2に移行する必要あり
今回の方法は昨年11月に発表された「Tews-Beck攻撃」(WEPのTKIPにおいて辞書攻撃ではなくプロトコルの不備をつくことによって、15分前後かかるが、鍵の一部を確定的に導出できる方法)がQoS制御を利用する機器に限定されるものであり、鍵の導出に15分もの時間が必要であったのに対して、わずか数秒から数十秒で導出してしまうことができるというもの。 このWPAについての実践的な攻撃方法は8月7日に「A Practical Message Falsification Attack on WPA」という題目で、台湾にて開催される国際会議 JWIS2009（Joint Workshop on Information Security ）にて大東俊博氏（広島大学 情報メディア教育研究センター）と森井昌克氏（神戸大学大学院 工学研究科）によって発表される予定となっています。 詳細は以下から。 Jo
x86コードのサンドボックス、グーグルの「NaCl」は安全か？ － ＠IT
2009/08/06 Webブラウザ上で、ネットワークからダウンロードしたx86バイナリを安全に実行する――。2008年暮れにグーグルがオープンソースプロジェクトとして公開した「NaCl」（Native Client）は、本当に安全なものに仕上げることができるのか。先日グーグルが主催したセキュリティ・コンテスト、「Native Client Security Contest」でNaClの脆弱性を2つ発見して、日本人で唯一入賞したサイバーディフェンス研究所 上級分析官の福森大喜氏に話を聞いた。 静的解析で安全にx86コードを実行 福森氏は、Webブラウザ上にx86バイナリを実行するサンドボックスを載せるというアイデアを評価する。「基本的には、いい考え。コードに悪意がある場合でも、WebブラウザやOSが被害を受けないようにできている。ソースコードを見た印象ではOSのカーネルに似ている」（福森氏
ke-tai.org > Blog Archive > ソフトバンクの携帯用GatewayをPCで通る方法があるようです
ソフトバンクの携帯用GatewayをPCで通る方法があるようです Tweet 2009/8/4 火曜日 matsui Posted in タレコミ, 記事紹介・リンク | 4 Comments » mogyaさんからのタレコミです。 （情報提供ありがとうございます） ソフトバンクの携帯用ゲートウェイを、PC経由で通る方法があるとのことです。 扱う情報にもよりますが、ケータイサイトではIPアドレス帯域を制限して、ケータイからのアクセスのみを許可するのが一般的です。 これが可能なのであれば色々と問題がありますね。 → Perlとかmemoとか日記とか。 SoftBank Mobileの携帯用GatewayをPCで通る方法のメモ [d.hatena.ne.jp] ソフトバンクのゲートウェイをPCから通過する方法としては次の2つが挙げられています。 SIMUnlock済みのiPhoneを使う方法
ツッコミ hideden (2009-08-06 12:45) - 徳丸浩の日記 - i-mode2.0セキュリティの検討 - 携帯JavaScriptとXSSの組み合わせによる「かんたんログイン」なりすましの可能性
SQLインジェクション対策はおすみですか? 開発開始時点からのコンサルティングから、公開済みWebサイトの脆弱性検査、 脆弱性発見後の適切な対策まで ●携帯JavaScriptとXSSの組み合わせによる「かんたんログイン」なりすましの可能性 このエントリでは、携帯電話のブラウザに搭載されたJavaScriptと、WebサイトのXSSの組み合わせにより、いわゆる「かんたんログイン」に対する不正ログインの可能性について検討する。 5月28にはてなダイアリーに書いた日記「i-mode2.0は前途多難」にて、今年のNTTドコモの夏モデルP-07AにてJavaScript機能が利用停止されたことを指摘した。同日付のNTTドコモ社のリリースによると、「ソフトウェア更新に伴い、高度化した機能の一部をご利用いただけなくなっていますが、再びご利用いただけるよう速やかに対処いたします」とあったが、それ以
2009/06/09 - memo - unknownplace.org
PuTTY 独自の形式の .ppk ファイルで鍵ペアを渡されて困ったときのためにメモ。 PuTTY に付属している puttygen コマンドで普通の公開鍵・秘密鍵に分離できる。 Debian 系なら putty-tools パッケージをインストールするだけでいいらしい(未確認) OSX だと ports 使うか自分でビルドする。 ぼくは自分でビルドした。 wget http://the.earth.li/~sgtatham/putty/latest/putty-0.60.tar.gz tar zxvf putty-0.60.tar.gz cd putty-0.60/macosx make puttygen で puttygen だけビルドできる。っていうか全体 make はぼくの環境では失敗した。まぁこれさえビルドできればOK。 秘密鍵を取り出す。 ./puttygen unko.ppk
» セキュアなサーバを作るために最低限やっておくこと: エスキュービズム ラボ Blog
Recent Entries セキュアなサーバを作るために最低限やっておくこと Yahooキーワード抽出APIライブラリ テスト駆動開発 （test driven development: TDD） のすすめ GoogleAnalyticsAPI on EC-CUBE 土日で作るコンパイラ OPEN ERPに挑戦３ OPEN ERPに挑戦２ OPEN ERPに挑戦 ERPはたくさんあれど・・・ OpenGLで3D、やってみよう Recent Comments No Responses. Recent Trackbacks テスト駆動開発 （test driven development: TDD） のすすめ 06/11 » Yahooキーワード抽出... みなさんはサーバを管理するときに、何を一番気にしますか？ 人によって程度の差はあるのでしょうが、誰もが気になるのが「セキュリティ」でしょ
scponly
[セキュリティ] scponlyはscpのみを許可するシェルです。configure時に--enable-chrooted-binaryオプションをつければ、ユーザをホームディレクトリ内に閉じ込めることが可能です。以下設定方法。 [root@www src]# wget http://www.sublimation.org/scponly/scponly-4.1.tgz [root@www src]# tar xvzf ./scponly-4.1.tgz [root@www src]# cd scponly-4.1 [root@www src]# ./configure --enable-chrooted-binary --enable-rsync-compat [root@www scponly-4.1]# cp /setup_chroot.sh /usr/local/bin/ [roo
［無視できない］IEのContent-Type無視
［無視できない］IEのContent-Type無視：教科書に載らないWebアプリケーションセキュリティ（2）（1/2 ページ） XSSにCSRFにSQLインジェクションにディレクトリトラバーサル……Webアプリケーションのプログラマが知っておくべき脆弱性はいっぱいあります。そこで本連載では、そのようなメジャーなもの“以外”も掘り下げていきます（編集部） 無視できないIEの「Content-Type無視」問題 皆さんこんにちは、はせがわようすけです。 第2回では、Internet Explorer（以下、IE）の仕様でも特に悪名高い「Content-Type無視」について説明します。 IEのContent-Type無視問題は非常に複雑で、私自身も完全に説明できる自信はないのですが、それでもセキュアなWebアプリケーションを開発するうえで避けては通れない問題ですので、取り上げることにしました。
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
誠 Biz.ID：3分LifeHacking：うっかり共有状態のまま放置しているフォルダを一括チェックする
akihiro kamijo: Shockwave プレーヤーのセキュリティアップデート
Webサイトのセキュリティ要件仕様書が無償公開されたらしい: ある SE のつぶやき