(危険な追記あり) はてなダイアリーでYahoo!サイトエクスプローラーの認証をしよう！ - ぼくはまちちゃん！(Hatena)
(Summary in English of this entry) Utilizing Yahoo! Site Explorer, it is possible for third parties to prevent your site by being displayed in search results. The reason is that the meta tag used for administrative rights confirmation is accepted even in the the page body even if it is html escaped. 3rd parties can gain control of your site simply by adding a comment to one of your pages. こんにちはこんに
はてなのログインについて、ユーザー名とパスワードをいちいち入力せずに、「指定したURL」を入力することで自動的にログインできるようなURLは見つけることはで…
はてなのログインについて、ユーザー名とパスワードをいちいち入力せずに、「指定したURL」を入力することで自動的にログインできるようなURLは見つけることはできますでしょうか？またどのような方法で見つけたかもぜひ教えてください。もちろんログイン画面の「次回から自動的にログイン」を使用しないことが前提です。
OSに依存しない、Intelチップの構造的欠陥を利用した攻撃 | スラド セキュリティ
Intelチップの構造的欠陥を利用してローカル攻撃やリモート攻撃が可能であることを実演する講演が、今年10月にクアラルンプールで開催されるHITB（Hack In The Box）カンファレンスで行われるそうだ（Computer Worldの記事）。 JavaScriptやTCP/IPパケット攻撃、Javaなどを利用してこの脆弱性を突くことが可能で、講演ではJavaのよくある命令シーケンスを使ってJava Compilerを乗っ取るというデモも予定されている。この攻撃はOSにほとんど依存せず、デモはきちんとパッチがあてられたWindows XP、Vista、Windows Server 2003、Windows Server 2008、Linux及びBSDに対して行われるとのこと。なお、デモには含まれていないが、MacのIntelチップにも同様の脆弱性が存在する可能性があるとのこと（本家/
高木浩光＠自宅の日記 - 日本のインターネットが終了する日
■ 日本のインターネットが終了する日 （注記：この日記は、6月8日に書き始めたのをようやく書き上げたものである。そのため、考察は基本的に6月8日の時点でのものであり、その後明らかになったことについては脚注でいくつか補足した。） 終わりの始まり 今年3月31日、NTTドコモのiモードが、契約者固有ID（個体識別番号）を全てのWebサーバに確認なしに自動通知するようになった*1。このことは施行1か月前にNTTドコモから予告されていた。 重要なお知らせ:『iモードID』の提供開始について, NTTドコモ, 2008年2月28日 ドコモは、お客様の利便性・満足の向上と、「iモード(R)」対応サイトの機能拡充を図るため、iモード上で閲覧可能な全てのサイトへの提供を可能としたユーザID『iモードID』（以下、iモードID）機能を提供いたします。 （略） ■お客様ご利用上の注意 ・iモードID通知設定は
【レポート】Black Hat USA 2007 - セキュリティの心理学、攻撃者が利用する心の動き (1) 人類の進化から生まれた脆弱性 | エンタープライズ | マイコミジャーナル
リスクの確率を正確に捉えれば、セキュリティの効果は計算できる。保険会社がビジネスとして成立しているように「セキュリティは数学的であり、現実的なものだ」とBT CounterpaneのCTOであるBruce Schneier氏は述べる。しかし、人々はしっかりと安全が確保された状態でも不安を感じたり、逆にセキュアではない状況でも安心することがある。リスクに対する心理的な反応、「感情もまたセキュリティの一部である」と指摘する。同氏のBlack Hat Brifingsの講演で、心理的な視点からセキュリティを考察した。 BT CounterpaneのCTOであるBruce Schneier氏 同氏はまず、リスクに対する脳の働きから説明し始めた。リスクの度合いを見極め、適切に対応していくのは、動物が生き残るために不可欠な能力である。そのため外部の事象に対して、恐れや怒りなどを感じ、それを行動につなげ
Daylight Saving fix for Windows 2000,XP, 2003, and NT
Easily make tweaks and changes to machines across your LAN (This includes pushing, and verifying the installation of the daylight saving patch) VNC Navigator allows you to easily manage your VNC connections. Quickly connect to VNC Servers, and store passwords in an encrypted database A remote control solution designed for your LAN. No agents to install. Just type a computer name and cl
ウイルス作者と対策ソフトのいたちごっこは終わらない
ウイルス対策ソフトの機能は年々向上している。以前はウイルス定義ファイル（パターン・ファイル）を使ったパターン・マッチングのみでウイルスを検出していたが，現在では，ウイルス定義ファイルに登録されていない未知ウイルスについても，一部検出できるとしている。このままウイルス対策ソフトが“進化”を続ければ，ウイルス定義ファイルを更新しなくても未知ウイルスを検出できるようになるのではないか――。しかし，そんな時代は当分来ないことが，ウイルス対策会議「AVAR Conference」に出席してよく分かった。 AVAR Conferenceは，アジア太平洋地域のアンチウイルス・ベンダーや研究者などで組織される非営利団体「AVAR（Association of Anti-Virus Asia Researchers）」が主催する国際会議である。1998年のAVAR設立以来，毎年アジア各国で開催され，5回目の
＠IT：Windows TIPS -- Tips：クラッキングを手助けする“Rootkit”ツールを検出する
“Rootkit”ツールとは？ 過去に経験したCodeRedやSlammerといったいくつかのセキュリティ・トラブルは、コンピュータ・セキュリティの重要性について私たちに教えてくれるきっかけとなった。ウイルス・メールなど、セキュリティ上の脅威は極めて身近になったものの、前述したCodeRedやSlammerを始め、私たちがよく知っている過去の攻撃用プログラムは、システムをダウンさせたり、ウイルスをまき散らしたりと活動は派手だが、多くは遊び半分や自分の技術をひけらかすことを目的とした愉快犯的なもので、財産の窃取を目的としたプロの犯罪ではなかった。しかし今後は、会社の面目がつぶれるだけではすまなくなる。 「ピンポン・ダッシュ」的ないたずらでなく、企業活動を妨害するためのシステム破壊や、顧客情報や取引情報、財務情報などといった企業機密を窃取する攻撃者は、最大の効果と証拠隠滅とを同時に図るために、
Winnyの通信解読に挑戦！
Winnyの通信を特定する方法には，「流れるパケットのパターン（トラフィック・パターン）を調べる方法」と，「パケットの中身を調べてWinnyのパケットであることを確認する方法」の2通りがある。前者は，直接中身のデータをのぞいているわけではないため，通信の秘密を守るという大前提があるプロバイダがWinnyを規制する際に使っている。しかし，Winnyの通信を確実に特定するなら，後者の方法がベストである。実際にWinnyの通信を解読できるのか，Winny作者の金子勇氏の著書『Winnyの技術』やインターネットで得られた情報などを参考に挑戦してみた。 Winny（ウイニー）同士の通信はすべて暗号化されている。このため，流れるパケットをのぞいても，内容がどんなものなのかだけでなく，Winnyの通信なのかどうかも，ひと目ではわからない。Winnyが採用している暗号アルゴリズムRC4は，Webアクセスや
デー - Winnyの脆弱性は本当かも
# ことの始まりだけを追記 政府による情報操作説が流れているので少し調べた。 (個人的には、UNYUN氏がいうなら信頼できると思ってるけど･･) オーバーフローする箇所があるみたい。 リモートからWinnyを異常終了させることが可能でした。 # 公開すんなということで内容は消しました。 # ただ、政府の情報操作説は誤り大げさで # Winnyは本当に危険かもしれないということははっきりさせておきたい # # 実行ファイルは残しているけど、これを使ってどうこうはできないつもり。 # Q. 実行ファイルを使って実証できないのはなぜか # 1. port0ではない? ポートの指定はあっている?(batファイル) # 2. グローバルIPアドレスが取れない？ # (自分から自分へつなげない? LAN内?) # ただ、IPアドレスを指定できるようにすると非常にまずい。 # 3. 俺のマシンが特殊仕様
うっかりだまされてしまう8つの質問
ソーシャルエンジニアリングが使われた事例を分析すると、幾つかのパターンが存在していることが分かる。プロの詐欺師は、状況に応じて複数のパターンを組み合わせている。情報を盗まれないためには、個別の攻撃パターンを理解することが役に立つ。 これは、フィッシング詐欺で使われる最も簡単なメールの一文だ。この文を読んで「こんな言葉にだまされない」と思ったのではないだろうか。だが、この一文にはソーシャルエンジニアリングで使われるパターンを見つけることができる。ここには、金融機関からの電子メールを思わせる「ネームドロップ」、期間を限定する「ハリーアップ」といった手法が使われている。プロの詐欺師はこのようなパターンを複数組み合わることで、相手の信頼を獲得し、必要な情報を引き出すのである。 それではソーシャルエンジニアリングで用いられる攻撃パターンを分類し、特徴を説明しよう。 きっかけを探し出す「トラッシング（
ボットネットの知られざる「内側」を探る
最近，個人の金融情報を盗み出すトロイの木馬「MetaFisher」（Spy-Agentとしても知られている）に関する興味深いニュースが報じられた（関連記事：「機密データを盗むトロイの木馬「MetaFisher」が北米で猛威」）。米VeriSign傘下企業であるiDEFENSEのKen Dunham氏が報じたニュースで最も興味深かったのは，MetaFisherを使ったボットネットワーク（ボットネット）の管理者が使用する管理画面のスクリーン・ショットである。これらの画像を見ると，ボットネットの内側で何が起きているのか理解できる。 iDEFENSEのKen Dunham氏が公開したスクリーンショットは，図1と図2である。図1は，ボット（トロイの木馬に乗っ取られたパソコン）のまん延状況（ボットネット管理者から見た場合は普及状況）を閲覧する画面である。図2は，ボットに対してクエリー（命令）を送り込む
www.codeblog.org - CODE blog
水漏れやつまりは水道設備があれば避けることは難しいトラブルですが、症状を確認した際に軽度と判断できた… Read More
検出ツールの開発者が語る，「Winnyを検出する方法」
ファイル共有（交換）ソフト「Winny（ウィニー）」のネットワークを介して拡散するウイルスにより、日本では深刻な情報漏えいが相次いでいます。米国でもこれら一連の事件はいろいろなメディアで報道されており、日本のインターネット社会が非常に深刻な事態に陥っているという認識が広まりつつあります。 私が所属する米eEye Digital Securityでも、遅ればせながらWinnyに関する本格的なリサーチを数週間前に開始しました。具体的には、Winnyのコード解析やWinnyネットワークの分析を通して、情報漏えいを防止するための手段など、Winnyにまつわる様々な事柄についてリサーチを進めています。後述するように、検出ツールも開発および公開しました。これらについては、主に私ともう一人の日本人エンジニアの金居が担当しています。 今回のリサーチやツール開発に関連した話題として、今回はWinnyを検出す
開発者のための正しいCSRF対策
著者: 金床 <anvil@jumperz.net> http://www.jumperz.net/ ■はじめに ウェブアプリケーション開発者の立場から見たCSRF対策について、さまざまな情報が入り乱れている。筆者が2006年3月の時点において国内のウェブサ イトやコンピュータ書籍・雑誌などでCSRF対策について書かれている記事を調べた結果、おどろくべきことに、そのほとんどが誤りを含んでいたり、現実的 には使用できない方法を紹介したりしていた。そこで本稿ではウェブアプリケーション開発者にとっての本当に正しいCSRF対策についてまとめることとす る。また、採用すべきでないCSRF対策とその理由も合わせて紹介する。 ■あらゆる機能がターゲットとなりうる ウェブアプリケーションの持つ全ての機能がCSRF攻撃の対象となりうる。まずこのことを認識しておく必要がある。 Amaz
ITmedia エンタープライズ：スパム時代のサニタイズ開発手法
Webアプリケーションの脆弱性は、基幹サービス運用を脅かす重大な問題だ。運用時に守るべきか？ 開発時に対策を講じるべきか？ マネジャーや開発者が考えておくべき指針とは。 すべて 新着記事 ニュース 関連リンク 新着記事 スパム時代のサニタイズ開発手法： 「WAF」は2006年のネットサービス防御トレンドか？ 従来のファイアウォールではWebアプリケーションを守り切れない。インターネット上のサービスに根ざす企業では、サイト稼働率が信頼のバロメーターだ。Webアプリケーションを使っているならば、WAFの導入が必須のものとなっている。 （12/28 09:54） スパム時代のサニタイズ開発手法： サーバの複雑さが変えたセキュリティ「サニタイズ」とは Webサイトとして公開されているサーバには、いったい幾つのソフトウェアが含まれているだろう。サービス指向でシステム化が進む現代、数十から数百のツール
無料でデジタル証明書を取得する - @IT
プログラムや重要な業務メールなどは、その出所を証明するためにデジタル証明書を付加している場合が多い。メーラの多くは、証明書のツリーをルート証明書までたどり、問題のないデジタル署名がなされているかチェックしている。 ファイルやメールの出所の確実性を保証するデジタル証明書だが、個人で利用するには、取得するための費用や手間の問題で、なかなか利用に踏み切れない場合が多いだろう。デジタル証明書が必要だがコスト面で導入できない、あるいはデジタル証明書の利用テストを行いたいというなら、個人向けのデジタル証明書を無料で発行してくれる認証局を利用すればよい。 Thawte Inc.[英語] Thawte Inc.は、デジタル証明書のプロファイルに一部制限があるものの、メール(S/MIME)に無料で利用できる「Personal E-mail Certificates」を提供している。Thawte Inc.の認
第11回 暗号技術の常識
PKIを利用した暗号通信を行う場合、暗号データの受信者が事前に鍵ペアを生成し、生成した公開鍵に対する公開鍵証明書をTTPから発行してもらう必要がある。公開鍵は単なる数字の羅列であり、それを見ただけでは、その公開鍵が誰のものかわからないため、第三者に証明してもらう必要があるのである。 しかし、例えばそのユーザーが持っている一意のID（例えばメールアドレスなど）がそのまま公開鍵になれば、このように第三者に証明してもらう必要がないため、より便利になるのではないだろうか？ 実は、このような疑問は1980年頃に、RSAの開発者の1人であるシャミア博士によって提起されていたのである。その後約20年間、多くの暗号学者がこのアイデアを実現する暗号アルゴリズムの開発を行ってきたが、実用的なアルゴリズムは開発されなかった。そして、ようやく2001年にスタンフォード大学のDan Boneh教授が、このアイデアを
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
asahi.com： 「山田オルタナティブ」拡大 パソコン中身がネット流出 - 社会
三井住友銀行 > 簡単!やさしいセキュリティ教室