高木浩光＠自宅の日記 - 対策にならないフィッシング対策がまたもや無批判に宣伝されている, 追記（26日）
■ 対策にならないフィッシング対策がまたもや無批判に宣伝されている 「PCからオンライン取引、ケータイで認証」−ソフトバンクBBの新発想・認証サービス, Enterprise Watch, 2007年9月20日 「同サービスはまったく新しい認証の手段だ。暗号化技術にも依存しないので、クラッカーとのいたちごっこにもならず、これまでの認証の問題を一挙に解決することが可能。本当の意味でIT革命が起こせると期待できるサービスだ」と意気込みをあらわにしながら説明を行った。（略） 「PCを標的にしたハッキングやDoS攻撃を受ける可能性がゼロになる」（中島氏）。また、偽サイトとはシンクロしないため、フィッシング詐欺を100％防止することも可能だ。 ソフトバンクBB、携帯活用認証システムでWebサイトログイン対応に, ケータイWatch, 2007年9月20日 今回の新機能は、安全・簡便・低コストで、そう
変数に型のない言語におけるSQLインジェクション対策に対する考察(5): 数値項目に対するSQLインジェクション対策のまとめ - 徳丸浩の日記(2007-09-24)
_数値項目に対するSQLインジェクション対策のまとめ 一連の議論では、以下の条件におけるSQLインジェクション対策について議論している。 SQLインジェクション対策において、バインド機構が利用できない(したくない) 変数に型のない言語(Perl、PHP、Rubyなど)を使用している 数値型の列の場合 この場合の対策としては、以下の二種類が機能する。 SQL文組み立ての前に、数値としての妥当性検証を行う 数値項目もシングルクォートで囲み(クォートし)、文字列リテラルと同様のエスケープを行う 数値項目もクォートする方法 このうち、後者の積極的な推進者として大垣靖男氏がおられる。例えば、以下のような記事 すべての変数をエスケープする対策 この方法はすべてのデータベースに利用できる対策です。文字列，整数などデータ型に関わらず変数すべてを文字列としてエスケープすることにより，SQLインジェクションを
第8回 クロスサイトスクリプティング対策の落とし穴 | gihyo.jp
今回は熟練したWebアプリ開発者なら常識のクロスサイトスクリプティング対策の落とし穴を紹介します。 JavaScriptを排除しているつもりで排除に失敗？！ 最近はSanitize（サニタイズ）という言葉の代わりにValidation（検証）という言葉をよく聞くようになったと思います。Sanitizeの意味を辞書で調べると「汚れている物をきれいにすること」とされています。この意味の通り汚れた変数をきれいにして使えば安全に利用できるとする考え方に基づくのがサニタイズ手法です。典型的な例は、「テキストを出力する前に"<"と">"を取り除く」方法があります。 例1 "<"と">"をereg_replaceで取り除く $safe_text = ereg_replace($_GET['text'], '[<>]', ''); この$safe_textを <a href="/script.php?t
OWASP Web Security Testing Guide | OWASP Foundation
This website uses cookies to analyze our traffic and only share that information with our analytics partners. Accept The Web Security Testing Guide (WSTG) Project produces the premier cybersecurity testing resource for web application developers and security professionals. The WSTG is a comprehensive guide to testing the security of web applications and web services. Created by the collaborative e
動向●導入容易なWebアプリケーションの“防衛装置”
Webサイトのアプリケーション・プログラムに潜む脆（ぜい）弱性を保護する「Webアプリケーション・ファイアウォール」。従来からソフトウエア製品はあったが，ここにきてアプライアンス製品が増えてきた。ソフトウエア製品より，導入が容易で投資額が割安という特徴がある。 Webアプリケーションの脆弱性を減らすには，慎重な設計と実装，多岐にわたるテストが欠かせない。だが，短納期と低予算の圧力が強いシステム構築現場では，脆弱性の評価がおざなりになってしまうことが間々ある。こうして見落とされた脆弱性を突かれ，情報漏えいなどの事件が起きたら，どうなるか。情報システムの主幹部署や，開発の請負業者が責任を追求されることは想像に難くない。 こうしたリスクを軽減し，Webアプリケーションの脆弱性を保護するのが，「Webアプリケーション（WebAP）ファイアウォール」と呼ばれる製品だ。TCPポートの80番や443番を
ha.ckers.org web application security lab
I’m already back in the airport after a long day over at the world OWASP conference in New York. Among other things that were noteworthy was some extremely tacky marketing schwag from the ISC2 folks that says, “I fill the holes in your SLC”. I feel dirty having even typed that. I wish I were kidding. Ridiculous pictures of Dave Aitel wearing said schwag may or may not end up online in the near fut
WebDAV時代のセキュリティ対策［前編］（1/4）
WebDAV時代のセキュリティ対策［前編］ － 各メソッドに内在する脅威 － WebDAVはWebの利便性を大きく向上させる可能性を持っている。しかし、高機能化はセキュリティホールの原因ともなる。どこにどのような危険性があるのかを正しく認識・対処することで、利便性と安全性を両立していかなければならない。そこで、WebDAVを使ううえで必須ともいえるセキュリティ対策方法を紹介する。 宮本 久仁男<kmiya@coe.nttdata.co.jp> NTTデータ COEシステム本部 システム技術開発部第三技術開発担当 2001/12/15 WebDAVの特徴と機能 次世代プロトコルWebDAVの可能性で、WebDAVの技術仕様と構築・運用方法について解説しました。そのときに説明したとおり、WebDAVはHTTPを読むだけのプロトコルから書くこともできるプロトコルへと拡張したものです。その主な機能
カード会員情報のセキュリティ基準「PCI DSS」への対応
Payment Card Industry Data Security Standard（PCI DSS：PCIデータセキュリティ基準）では、クレジットカードやデビットカードのデータを保存、処理、転送する販売業者やサービス業者が、この機密性の高い情報を保護するために順守すべき12の要件が定められている。ほとんどのセキュリティ専門家は、これらの要件（「ダーティダズン」という俗称で呼ばれることも多い）は、「現在の情報セキュリティのベストプラクティスを盛り込んだものであり、機密性の高いデータを管理するための妥当な指針を提供する」という認識で一致している。 PCI DSSの要件は、クレジットカード情報の保護という目的にかなっているかもしれない。だが、大企業などが日常的に扱うデータの大部分に適用するには、あまりに厳しく、コストが掛かりすぎる内容だろう。例えば、大規模な大学がネットワークの大部分を公開
@IT：次世代プロトコルWebDAVの可能性 技術仕様徹底解説
将来、SambaやCVSを不要にしてしまう可能性を秘めたプロトコル「WebDAV」。まだ開発途上にあり、そのポテンシャルを完全に発揮しきっているとはいえないが、今後重要な存在となるだろう。これから、このWebDAVの技術仕様からLinuxでのWebDAVサーバ構築までを解説する。 これまで、Webといえば読む動作が大半であった。CGIをはじめとするさまざまな仕組みを準備することによって、特定の条件下においてファイルやデータをサーバに送り込むことはできたものの、決して「自由に」ということにはならなかった。 また、Webページの更新にしてもFTPなどの古いプロトコル経由で転送しなければならない。それらのプロトコルにもセキュリティ上の問題が発生することがしばしばあったし、クライアント／サーバ間の接続にも気を使うことが多かった。 しかし、WebDAVの規格ができてからは、この様子が変わってくる。「
SecTools.Org Top Network Security Tools
SecTools.Org: Top 125 Network Security Tools For more than a decade, the Nmap Project has been cataloguing the network security community's favorite tools. In 2011 this site became much more dynamic, offering ratings, reviews, searching, sorting, and a new tool suggestion form. This site allows open source and commercial tools on any platform, except those tools that we maintain (such as the Nmap
Atom や RDF を利用したXSS - 葉っぱ日記
Internet Explorer の悪名高い Content-Type: 無視という仕様を利用すると、Atom や RDF/RSS を利用してXSSを発生できることがあります。条件的に対象となるWebアプリケーションは多くはないと思いますが、それでもいくつか該当するWebアプリケーションが実在することを確認しました。以下の例では Atom の場合について書いていますが RDF/RSS でも同様です。 例えば、http://example.com/search.cgi?output=atom&q=abcd という URL にアクセスすると、「abcd」という文字列の検索結果を Atom として返すCGIがあったとします。 GET /search.cgi?output=atom&q=abcd Host: example.com HTTP/1.1 200 OK Content-Type: ap
おさかなラボ - サニタイズ言うなキャンペーン
書きかけだけどとりあえず公開。 要約版：「サニタイズいうなキャンペーン」とは from 高木浩光＠自宅の日記 クエリ文字列を変換すれば「サニタイズ済み」つまり安全、と思ってる人、多いんですかね。便利な言葉はしばしば人を思考停止に陥れる。 脆弱性を突く文字列の汚染源としては、 クエリ文字列 DB問合せの結果や、ログファイルなどからの取得文字列 HTTPヘッダ(RefererやCookieを含む) セッションに格納されたデータ URLの一部 などなど色んなものがある。汚染を利用した攻撃の対象となる処理系も SQL処理系(e.g. SQLインジェクション) Webクライアント(Webブラウザ)(e.g. XSS) shell 処理言語自身(evalなど) と様々なケースが考えられる。3番目や4番目は普通やらないだろうと思うところだが、巷のスクリプトの脆弱性を見てると案
Web経由の攻撃が激増、問題サイトの8割はハッキングで被害に
2007年上半期はWebを使った攻撃が急増した。Sophosによるとマルウェアをホスティングしているサイトのうち、8割はハッキング被害に遭った正規サイトだという。 セキュリティ企業のSophosは7月25日、2007年上半期のサイバー犯罪動向に関する報告書を発表、Webを使った攻撃が急増傾向にあると報告した。 報告書によると、金銭目当ての攻撃に使われる手段として、Webは電子メールを抜いて最大の攻撃経路に浮上。悪質コードに感染したWebページの検出件数は、2007年初頭の時点では1日平均5000件程度にすぎなかったが、6月には1日平均約2万9700件に達し、過去最高となった。 Sophosがマルウェアや不適切コンテンツを理由にアクセスを遮断しているWebページ100万件について分析したところ、最も多かったのはマルウェアホスティングサイトの28.8％。次いでポルノやギャンブルなどのアダルトサ
[セキュリティ]画像へのPHPコマンド挿入 ― T.Teradaの日記
だいぶ時間がたってしまいましたが、大垣さんの以下のブログにコメントしたことなどをまとめます。 画像ファイルにPHPコードを埋め込む攻撃は既知の問題 – yohgaki's blog アップロード画像を利用した攻撃についてです。 攻撃の概要 画像ファイルにPHPコマンドを挿入する攻撃は、大きく2種類に分けることができます。 1つは、画像のアップロード機能を持つサイト自身を狙う攻撃です。PHPで開発されており、任意の拡張子のファイルのアップロードを許すサイトでは、拡張子がphpなどのファイルをアップロードされる恐れがあります。 拡張子がphpなどのファイルに仕込まれたPHPコマンドは、そのファイルにHTTP/HTTPSでアクセスされた際に実行されます。攻撃者は、アップロードファイルを通じて、画像が置かれるWebサーバ上で任意のコマンドを実行することできます。 この脆弱性は、アップロード可能なフ
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
Sheepl : Automating People for Red and Blue Tradecraft
http://www.keyman.or.jp/3w/prd/98/10009798/
http://www.e-research.biz/profile/pro_8/001966.html
http://barmagy.com/blogs/infinite_loop/archive/2007/07/20/498.aspx
着実に増加中！？最近の脆弱性事情とは - IT、IT製品の情報なら【キーマンズネット】
IPA セキュア・プログラミング講座