redisがハックされた（その１） | cocoのつぶやき
今日、redisに格納されているはずのデータが全て消え、crackit というキーが登録されていることを確認した。 該当キーのバリューを見ると、sshのキーと最後に crack@redis.io と、、、なんだこりゃ？ 非常にまずいので調査してみると、redis 作者がセキュリティ問題としてあげていた。 http://antirez.com/news/96 恥ずかしいことに、他サーバからの接続試験で、結構前にIPアドレス制限を解放した時がある。 その後閉じてなかったようだ。 対処方法は２つある ① redis.conf の bind でIPを制限する（閉じる） ローカルIPアドレスのみ接続できるように指定し、redisを再起動する $ sudo vi /etc/redis/redis.conf bind 127.0.0.1 $ sudo /etc/init.d/redis restart
How to create an SHA-512 hashed password for shadow?
The previous SF questions I've seen have lead to answers that produce MD5 hashed password. Does anyone have a suggestion on to produce an SHA-512 hashed password? I'd prefer a one liner instead of a script but, if a script is the only solution, that's fine as well. Update Replacing previous py2 versions with this one: python3 -c "import crypt;print(crypt.crypt(input('clear-text pw: '), crypt.mksal
HTTPS ページが優先的にインデックスに登録されるようになります
+1 ボタン 2 AMP 11 API 3 App Indexing 8 CAPTCHA 1 Chrome 2 First Click Free 1 Google アシスタント 1 Google ニュース 1 Google プレイス 2 Javascript 1 Lighthouse 4 Merchant Center 8 NoHacked 4 PageSpeed Insights 1 reCAPTCHA v3 1 Search Console 101 speed 1 イベント 25 ウェブマスターガイドライン 57 ウェブマスタークイズ 2 ウェブマスターツール 83 ウェブマスターフォーラム 10 オートコンプリート 1 お知らせ 69 クロールとインデックス 75 サイトクリニック 4 サイトマップ 15 しごと検索 1 スマートフォン 11 セーフブラウジング 5 セキュリティ 1
Your single AWS account is a serious risk
Your AWS account is one of the most valuable things you own if you run a business on AWS. If you only own a single AWS account, you’re facing a serious security risk! The post will show you why this a problem and how you can solve it. This post received over 300 points and 100 comments on Hacker News. The risky default: a single AWS accountA single AWS account contains IAM users together with EC2
Lenovo、今度はThinkPadにユーザーデータ収集ソフトを潜ませていた - iPhone Mania
今年2月、中国メーカーのLenovoが、販売しているノートパソコンへ密かに凶悪なアドウェアを混入していることが発覚しましたが、今回新たに、ユーザーデータを収集するソフトウェアを埋め込んでいることが明らかとなりました。しかも今回は、Lenovoの主力モデルであるThinkPadを始めとする「Think～」の全シリーズが対象です。 前回あれほどThinkシリーズは無関係と主張したのに 2015年2月にも、Superfishなる悪質なアドウェアを埋め込んでいることが明らかとなり、大スキャンダルに見舞われたLenovoですが、この時同社の見解は、「Thinkシリーズには埋め込んでいない」というものでした。しかし今回は、全てのThinkシリーズが対象となっています。 Computer Worldが明らかにしたところによれば、LenovoはThinkPadやThinkCentre、ThinkStati
アシュレイ・マディソンのソースコードで解読、女性botの実態
アシュレイ・マディソンのソースコードで解読、女性botの実態2015.09.03 14:006,338 福田ミホ botでひっかけ、お金を落とさせ、サクラに引き渡し…。 不倫サイト｢アシュレイ・マディソン｣では不倫したい男女が出会えるはず…でしたが、女性とされるユーザーのほとんどはニセモノらしい、と先日お伝えしました。これについて、流出したアシュレイ・マディソンのソースコードを米GizmodoのAnnalee Newitz編集長が読み解いて検証しています。そこでわかったのは、男性にまめまめしくメッセージを送り、お金をせびるbotの実態でした。以下、Newitz編集長どうぞ！ 先日、アシュレイ・マディソンにいる本当の女性ユーザーは1万2000人くらいとお伝えしました。でもその後アシュレイ・マディソンのソースコードを精査したところ、ちょっと誤解していたところがあり、リアルな女性はそこまで少なく
XMLHttpRequestを使ったCSRF対策 - 葉っぱ日記
合わせて読んでください：Flashと特定ブラウザの組み合わせでcross originでカスタムヘッダ付与が出来てしまう問題が未だに直っていない話 (2014-02/07) XMLHttpRequestを使うことで、Cookieやリファラ、hidden内のトークンを使用せずにシンプルにCSRF対策が行える。POSTするJavaScriptは以下の通り。(2013/03/04:コード一部修正) function post(){ var s = "mail=" + encodeURIComponent( document.getElementById("mail").value ) + "&msg=" + encodeURIComponent( document.getElementById("msg").value ); var xhr = new XMLHttpRequest(); xhr
WebAPIのステートレスなCSRF対策 - あめだま
Jerseyのバージョン1.9.1で追加されたCSRFをステートレスに防ぐフィルタが興味深かったので、そのメモです。 CSRF対策の手法 通常、CSRF攻撃を防ぐにはトークンを使う方法があります。サーバがクライアントにトークンを発行して、クライアントは発行されたトークンをクエリパラメータなどの形でリクエストに付与します。サーバはトークンが付与されていないリクエストを実行しません。攻撃者は発行されたトークンを知らないため、リクエストを実行できないという寸法です。 CSRF対策とステート ただし、この方法ではトークンの取得〜リクエストの発行にステートができるため、WebAPIがステートフルになってしまうという問題があります。RESTベースのWebAPIはやはりステートレスに作りたいところです。 そこで、JerseyのCSRF対策フィルタはステートレスになるよう作られています。 JerseyのC
事件後の対応と杜撰なデータ管理の実態 - THE ZERO/ONE
「Uber」からベンチャー企業のセキュリティを考える (1) 事件後の対応と杜撰なデータ管理の実態 米国サンフランシスコ発の配車サービス「Uber（ウーバー）」は、乗客がスマートフォンの専用アプリを利用して、近くにいる車を気軽に呼び、タクシーのように利用できることで爆発的な人気を得たサービスだ。海外には流しのタクシーの数が充分ではない地域が多いこともあって、国際的な人気を集めたUberは、創業5年にして55ヵ国まで営業の手を広げている。 日本でも東京と福岡でサービスが段階的に始まっているが、人気の一方でトラブルも少なくない。2月には、Uberが福岡市で行ったライドシェア（相乗り）の実験に対し、国土交通省が「道路運送法に抵触する可能性がある」として中止命令を出したばかりだ。今後の日本での展開について考えるためにも、まずは現在のUberをめぐる世界的な状況に関し、数回に渡ってお伝えしようと思う
江戸前セキュリティ勉強会でgithub.comの弱い鍵を探す話をしました - hnwの日記
先週1/24(土)に江戸前セキュリティ勉強会で「偶然にも500万個のSSH公開鍵を手に入れた俺たちは」というタイトルでLT発表してきました。以下が発表資料です。 このプレゼン資料はLT用に圧縮して作ったので、わかりにくい部分があったかもしれません。そこで、Q&A形式で補足を書いてみました。 「多数の公開鍵から共通の素因数を探す攻撃はSSHユーザー鍵についても現実的脅威なのか？」 結論から言うと、SSHユーザー鍵に限れば脅威でないというのが個人的な考えです。 今回、論文「Mining Your Ps and Qs: Detection of Widespread Weak Keys in Network Devices」(PDF)を参考に多数のRSA公開鍵から最大公約数を求めるような攻撃をSSHユーザー鍵について試してみました。元論文では、この攻撃はSSHホスト鍵とSSL証明書に対して行われ
ブラウザ上でMarkdownを安全に展開する - 葉っぱ日記
不特定のユーザーが入力したMarkdownをブラウザ上でJavaScriptを使ってHTMLに変換するという場面においては、JavaScriptで変換してHTMLを生成するという処理の都合上どうしてもDOM-based XSSの発生を考えないわけにはいかない。かといって、MarkdownをパースしHTMLを生成するという処理すべてをXSSが存在しないように注意しながら自分で書くのも大変だし、markedやmarkdown-jsなどの既存の変換用のJSを持ってきてもそれらがXSSしないかを確認するのは結構大変だったりする。 そういった場合には、Markdownから生成されたHTMLをRickDOMを通すことで、万が一HTML内にJavaScriptが含まれていたとしてもそれらを除外し、許可された要素、許可された属性だけで構築された安全なHTMLに再構築することができる。さらに、そうやって生成
GHOST 脆弱性は如何様に使うのか | Webシステム開発／教育ソリューションのタイムインターメディア
先日 GHOST と呼ばれる glibc の脆弱性が発表された。なんでも、「リモートから任意のコードを実行できる可能性がある」らしいではないか。しかも様々なプログラムで利用されているライブラリ部分の問題とあって、影響範囲がとても広い。なかなか厄介なことである。 はて、しかし一体全体どうやってリモートから任意のコードを実行しようというのだろう？ 話を聞くに、たかが数バイトの情報を範囲外のメモリに書き込める可能性があるだけだという。実際それだけのことでサーバーの乗っ取りなどできるものなのだろうか。そんなわけで、その疑問に答えるべく、本記事では以下の URL で解説されている実際の攻撃方法を若干端折って紹介してみようと思う。 http://www.openwall.com/lists/oss-security/2015/01/27/9 なお、本記事はこの脆弱性そのものに対する緊急度などについて言
Clojure web security is worse than you think
The ClojureWest conference has finished, and Aaron Bedra gave an important presentation titled clojure.web/with-security (video). If you develop web applications in Clojure, you must watch this video. Go watch it now. This post is a mixture of notes from Aaron's talk and some of my own thoughts. Aside: Apologies for the linkbaity title. Alternatives were either too long or hyperbolic. Hopefully th
IPアドレス・クッキー・JavaScript・UAなどを使わずユーザーを個別に追跡する方法
by Vernon Swanepoel ウェブサイトのユーザーがどれぐらいページを見てくれているのか、訪問頻度はどれぐらいなのかといった情報を追跡するのにはクッキー(Cookie)やJavaScriptなどが使用されますが、そうやって追跡されるのがイヤだということでCookieを受け入れないように設定したり、JavaScriptをオフにしているという人もいるはず。しかし、それでもユーザーを個別に追跡する方法があります。 Lucb1e.com :: Cookieless Cookies http://lucb1e.com/rp/cookielesscookies/ これはオランダ在住でコード・セキュリティ・ネットワークを愛しているというlucb1eさんが明らかにしたもの。手法としては新しいものではなく、多数のサイトで使われているにもかかわらず、そのことを認識している人はほとんどいないというも
特定のクライアントを許可している Twitter ユーザーの Token Credentials を入手する攻撃 - ひだまりソケットは壊れない
怪しいクライアントを許可していないのに勝手に twitter で DM が送信されていた 何やら Twitter で勝手に DM が送られるという事案が発生していた模様。 調査の結果、ある web ページにアクセスしただけで、Twitter の token credentials が攻撃者に知られてしまう *1 ということがわかったらしい。 下記ページにまとめられていたのだけどパッと読んですぐには攻撃手法を理解できなかったので、いろいろ考えたことを書き残しておく。 「ちょっとこれみてくれない」とurlを送るスパムDMの解析と解説 - Togetter 簡潔な解説が以下の記事にあったので、簡潔な説明で理解できる人は下記記事参照。 gist:5053810 (DM踏んだだけでアレな件はTwitterのOAuth実装がク○だと思う) 【拡散希望】twitterの新型ウイルスがヤバい URL踏んだ
Improving the security of your SSH private key files — Martin Kleppmann’s blog
Published by Martin Kleppmann on 24 May 2013. Update (July 2015): This post is now rather outdated, and the procedure for modifying your private key files is no longer recommended. A better solution is to use ssh-keygen -o. Ever wondered how those key files in ~/.ssh actually work? How secure are they actually? As you probably do too, I use ssh many times every single day — every git fetch and git
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
agilecatcloud.com
Flashと特定ブラウザの組み合わせでcross originでカスタムヘッダ付与が出来てしまう問題が未だに直っていない話
GitHub - mozilla/bleach: Bleach is an allowed-list-based HTML sanitizing library that escapes or strips markup and attributes
Security advisory: BREACH and Django
