Common Security Mistakes in Web Applications — Smashing Magazine
Web application developers today need to be skilled in a multitude of disciplines. It’s necessary to build an application that is user friendly, highly performant, accessible and secure, all while executing partially in an untrusted environment that you, the developer, have no control over. I speak, of course, about the User Agent. Most commonly seen in the form of a web browser, but in reality, o
WordPress のテキスト整形 API
WordPress にはテキスト整形のための API が用意されていて、プラグインを作るときなどにはあらかじめ知っておくと重宝します。とはいえ関数が多くて把握しきれないので、自分用のメモとしてまとめてみようと思いました。 以下、WordPress 2.1.3 の wp-includes/formatting.php で定義される関数の一覧です。気が向いたときに注釈を書き足すつもりです。 wptexturize($text) HTML のタグを除いた本文の整形を行う。グローバル変数 $wp_cockneyreplace を参照するのでこの変数で独自の置換パターンを定義することも可能。 clean_pre($text) <br /> タグの削除、<p> タグの \n への変換を行う。<pre> タグの内容を整形するために wpautop() の中で使われている。 wpautop($pee, $
WordBench 川崎勉強会の個人的メモ Part2 – プラグインの作り方から attribute_escape() のセキュリティ話まで – Nire.Com
WordBench 川崎勉強会の個人的メモ Part2 – プラグインの作り方から attribute_escape() のセキュリティ話まで WordBench 川崎の勉強会、後編です。WordPress プラグインの作り方と、プラグインでセキュリティを確保するための関数とその違いについて。(長くなったので 2つに分けました) WordPress プラグインの作り方 内容は フィルターとプラグイン フックの探し方 WordPress 起動順序 名前の命名方法 プラグインの例 セキュリティの確保 ショートコードの登録例 多言語化 興味のあるところメモ。 Ktai Style の場合、アクションにフックを引っかけたまま帰ってこないタイプ pluggable.php の上書きは WP 本体で下記のように書いて実現している [code language=”php”] if ( !function
APIアクセス権を委譲するプロトコル、OAuthを知る ― ＠IT
クロスドメインでのデジタルアイデンティティを守る APIアクセス権を委譲するプロトコル、 OAuthを知る 作島 立樹 NRIパシフィック 2008/1/21 マッシュアップと呼ばれる仕組みで、既存のWebサービスが次々とつながり、新たなサービスが登場している。しかし、メールアドレスなど重要な個人情報が意図せずに「つながれてしまう」可能性もある。そこで登場したのがアクセス権の「委譲」を目的としたプロトコル、OAuthである。本記事ではOAuthの仕組みとともに、なぜそれが登場したのかという背景にも触れる（編集部） マッシュアップの犠牲になるユーザーのアイデンティティ GETなどのHTTPメソッドをもちいてURLへリクエストする、いわゆる「RESTful」【注1】なWeb APIを使ったアプリケーション同士の交流は、いままさに隆盛を極めている。「マッシュアップ」と呼ばれているこのサービス形態
wp-config.phpのパーミッションは何にしておくのがベストでしょうか？
Codexやその他検索で書かれてあるのを見つけられずお尋ねとなってしまいました。 wp-config.phpのパーミッションは何にしておくのがベストでしょうか？ 700で良いのでしょうか？ 宜しくお願い申し上げます。 結論から言うと「444」もしくは「404」です。 まず、実行権限や書き込み権限をつけるのはまずいので、各ケタで「7」や「5」はダメで「4」にしましょう。 また、wp-config.php はウェブサーバーソフトウェア (Apache 等) から読み込めなければなりませんので、400 にするなら、wp-config.php のオーナー自体が Apache でなければなりませんが、その場合はそもそもパーミッションが変更できないはずです。 となると、「444」もしくは「404」にせざるを得なくなります。 なお、インストーラで wp-config.php を作らせた場合は、646 か
WordPressのセキュリティをアップする11のポイント
WordPressのセキュリティをアップする11のポイントをPro Blog Designのエントリーから紹介します。 11 Best Ways to Improve WordPress Security セキュアなデータベースを構築する。 他のアプリケーションと共有しないWordPressのためだけのデータベースを使用する。 データベースへのアクセスは限定する。 データベースのパスワードは強固なものにする。 「wp-config.php」の設定。 セキュリティキーを設定する。 セキュリティキーツール 1.1でランダムなキーが生成されます。 テーブル名の接頭辞（$table_prefix）を「wp_」以外のものに変更する。 管理画面のユーザー名にデフォルトの「admin」を使用しない。 ユーザー名はphpMyAdminなどで変更できます。 管理画面のパスワードは複雑なものにする。 英数記号
WordPressのセキュリティをチェックするプラグイン -wp-scanner
wp-scannerは、オンラインでWordPressのセキュリティをチェックするために導入するプラグインです。 下記のキャプチャ画像は、当サイトのものではなく、wp-scannerに掲載してあるキャプチャ画像です。 WordPress Scanner WordPressのセキュリティをチェックするためには、上記ページ(WordPress Scanner)にて、「wp-scanner activator plugin」をダウンロードして、プラグインを導入します。 プラグインを有効にした後、下記のチェックページにURLを入力し、「go」ボタンをクリックすると、WordPressのセキュリティのチェックが始まり、検証結果が表示されます。
WordPress: セキュリティを一発チェックする WP Security Scan – Nire.Com
WP Security Scan は、Wordpress 用のファイルのパーミッションなど、現在のインストール状況を確認してセキュリティ的な問題があるか確認してくれるプラグインです。 動作を確認したバージョン (Tested Version) WP Security Scan 2.2.64 WordPress 2.5.1 Japanese 機能 次の項目が確認できるようになっています。 ファイルのパーミッション (確認) データベースのセキュリティ (確認、変更) テーブルのプレフィックスとしてデフォルトの wp_ を使用していると警告されます。またこのツール自身でテーブル名を変更することもできます (バックアップを取ってからにしましょう)。 WordPress のバージョンが確認できないようになっているか アカウント “admin” が存在するかどうか (確認) それだけ狙われやすいとい
Flash完成！ でも最後の仕上げを忘れずに － ＠IT
とうとう星野君が作成していたFlashが完成！ 早速赤坂さんはそれを見せてもらいました。しかし赤坂さんの見方はちょっとベクトルが違っていました……。 Flashをめぐる赤坂さんの探求、番外編最終回！
情報処理推進機構：情報セキュリティ：脆弱性対策：安全なウェブサイトの作り方
「安全なウェブサイトの作り方」は、IPAが届出(*1)を受けた脆弱性関連情報を基に、届出件数の多かった脆弱性や攻撃による影響度が大きい脆弱性を取り上げ、ウェブサイト開発者や運営者が適切なセキュリティを考慮したウェブサイトを作成するための資料です。 「安全なウェブサイトの作り方」改訂第7版の内容 第1章では、「ウェブアプリケーションのセキュリティ実装」として、SQLインジェクション 、OSコマンド・インジェクション やクロスサイト・スクリプティング 等11種類の脆弱性を取り上げ、それぞれの脆弱性で発生しうる脅威や特に注意が必要なウェブサイトの特徴等を解説し、脆弱性の原因そのものをなくす根本的な解決策、攻撃による影響の低減を期待できる対策を示しています。 第2章では、「ウェブサイトの安全性向上のための取り組み」として、ウェブサーバの運用に関する対策やウェブサイトにおけるパスワードの取扱いに関す
高木浩光＠自宅の日記 - 朝日新聞の記事を真っ当な内容に書き直してみた
■ 朝日新聞の記事を真っ当な内容に書き直してみた 朝日新聞の 強力ウイルス、ネット銀行標的 「感染なら防御策なし」, 朝日新聞, 2008年3月3日 という記事のことが、スラッシュドットジャパンで「意味不明だ」と話題になっていた。 朝日新聞の「感染なら防御策なしの強力ウイルス登場」報道を理解できますか？ , スラッシュドットジャパン, 2008年3月5日 まあ、朝日新聞のIT記事にしては良い出来ではないか。肝心の要点である以下の部分はきちんとおさえられていたから、私には何の話か理解できた。 ユーザーが振り込みをしようとすると、気付かないうちに振込先がウイルス作成者の口座に書き換えられ、振込金をかすめ取られるなどの被害を受けることになる。 しかし、この点がなぜ重要なのか、それが伝わらない記事だったのだろう。 このマルウェアが危険視される理由は、銀行側がこれまでにとってきた「二要素認証」の導入
第1回 まずは「クッキー」を理解すべし
Webアプリケーションのぜい弱性がなかなかなくならない。メディアなどでも盛んに取り上げられているにもかかわらず，である。特に，セッション管理がからむアプリケーションのぜい弱性には，気付かないことが多い。具体的には「クロスサイト・リクエスト・フォージェリ」（CSRF），「セッション・フィクセーション」などである。これらはクロスサイト・スクリプティング，SQLインジェクションといった比較的メジャーなぜい弱性に比べて認知度が低く，対策も進んでいない。 原因の一つは，アプリケーションの開発者が原因を正しく理解していないこと。CSRFやセッション・フィクセーションについて言えば，セッション管理に使うクッキー（cookie）の動作を理解していないと対策が難しい。ところが最近の開発環境では，セッション管理の仕組みが隠ぺいされているため，必ずしもこの知識は要求されない。こうした開発者は容易にはぜい弱性に気
WEBデザイナーの為のXSS(クロスサイトスクリプティング)入門
WEBデザイナーの為のXSS(クロスサイトスクリプティング)入門 情報処理推進機構のXSS（クロスサイトスクリプティング/Webアプリケーションに存在するセキュリティホール）が公開されて、ネット上では盛り上げっているようです。 まぁ、これを機会にXSS(クロスサイトスクリプティング)って言葉をはじめて聞いたデザイナー・プログラマーの方は、正しい知識・正しい対処法を勉強しましょう。 とくにプログラムなんてちょっと改造するだけというレベルの、WEBデザイナーさんに注意してもらいたいです。 XSSはwebページにスクリプトを埋め込む攻撃法方法 XSSは別のサイト(これはどこでも良い)から攻撃先のurlに対して特定の文字列を送ることにより攻撃先のurlでスクリプトを実行する攻撃方法です。 XSS脆弱性のあるスクリプトはこんなスクリプトである。 <input type="hidden" name="
クロスサイトスクリプティング(XSS)とCSRFの違い早分かり - ockeghem(徳丸浩)の日記
昨日の日記で、DK祭りで使われている脆弱性がXSSかCSRFかという問題になった。どうも、XSSとCSRFがごっちゃになっている人もいるように見受けるので、簡単な整理を試みたい。 XSSとCSRFには似た点がある。 どちらも「クロスサイト」という言葉が先頭につく なりすましのようなことが結果としてできる どちらも受動型攻撃である それに対して、もちろん違う点もある。専門家から見れば「似てるも何も、そもそも全然違うものですよ」となるのだろうが、現に混同している人がいるのだから紛らわしい点もあるのだろう。 私思うに、XSSとCSRFの決定的な違いは、以下の点ではないだろうか。 XSSは攻撃スクリプトがブラウザ上で動くが、CSRFはサーバー上で動く このため、XSSでできる悪いことは、すなわちJavaScriptでできることであって、攻撃対象のCookieを盗み出すことが典型例となる。一方、CS
HugeDomains.com
Captcha security check compolice.com is for sale Please prove you're not a robot View Price Processing
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
How to keep your wordpress blog secure | Top Design Magazine - Web Design and Digital Content
zarathustra-wins.net
IPA セキュア・プログラミング講座：Webアプリケーション編