もし『よくわかるPHPの教科書』の著者が徳丸浩の『安全なWebアプリケーションの作り方』を読んだら - ockeghem's blog
たにぐちまことさんの書かれた『よくわかるPHPの教科書（以下、「よくわかる」）』を購入してパラパラと見ていたら、セキュリティ上の問題がかなりあることに気がつきました。そこで、拙著「体系的に学ぶ 安全なWebアプリケーションの作り方（以下、徳丸本）」の章・節毎に照らし合わせて、「よくわかる」の脆弱性について報告します。主に、徳丸本の4章と5章を参照します。 4.2 入力処理とセキュリティ 「よくわかる」のサンプルや解説では、入力値検証はほとんどしていません。しかし、入力値検証をしていないからといって即脆弱かというとそうではありません。徳丸本でも強調しているように、入力値検証はアプリケーション要件（仕様）に沿っていることを確認するもので、セキュリティ対策が目的ではないからです。 「よくわかる」の中で、私が見た範囲で唯一の入力値検証は、郵便番号のチェックをするものです。以下に引用します（「よくわ
PHPフレームワークの「codeIgniter」がスゴすぎる | H2O Blog.
新しいことを勉強して、久々に心底感動しました。 Facebookである方が「もうすぐCodeIgniterカンファレンスが開催される」といったつぶやきをしているのを拝見し、この時初めてその存在を知りました。。 PHPのフレームワークで、習得が早く、動作速度が爆速だということだったので、ちょっと触ってみるかとダウンロードしてドキュメントを読みながら Hello World!を作ってみる。すると・・・ こ・・これはすごい・・ なにがすごいって、これまで私は「CakePHP」を超愛用していました。CakePHPは、もちろんそのほとんどがすごくいいのですが、若干だけ不満があったのです。しかし、codeIgniterではCakePHPの好きなところはそのままに、不満が全部吹っ飛んでいたのです。 では、その全貌をご覧入れましょう。 モデル・ビューが不要 CakePHPもcodeIgniterも、MV
ウノウラボ Unoh Labs: Feedcreatorのご紹介
yamaokaです。 PHPでRSSフィードを出力する場合、 皆さんはどうされているでしょうか。 Smartyなどの テンプレートエンジンを利用して自前で組み立てるのもいいですが、 RSSフィード生成用のライブラリを使うと便利です。 Feedcreatorは、 SourceForge.netで 開発されているPHPのRSSフィード生成ライブラリです。 FeedCreator.class.phpを ベースにして開発されています。 RSS 0.91/1.0/2.0、Atom 0.3/1.0のフォーマットにそれぞれ対応しています。 また、PIE 1.0やOPML 1.0などにも対応。ライセンスはLGPLです。 ライブラリをダウンロードして展開すると、 「official_demo.php」というファイルがあるので目を通しておきましょう。 おおよその処理の流れがつかめるかと思います。 利用例 ライ
ページのパフォーマンスを向上させるツールのまとめ:phpspot開発日誌
15 Tools to Help Speed Up Your Website ページのパフォーマンスを向上させるツールのまとめが公開されていました。 ページを高速化することで利用者満足度は上がる上に、検索エンジンでの順位にも影響してくるというので、ページ高速化はWEB制作においてかなり重要な要素をとなっていますが、それらにまつわるエントリがまとまっていたので、ちょっと見て実践してみるとよさそう。 知らないものもあったので、ザッとでも見ておくと便利に使えそうです Pingdom 指定ページに含まれる画像やCSSの読み込み状態をブラウザ上で確認できるツール。 YSlow - Firefox拡張 Yahooの公開しているパフォーマンスベストプラクティス も参考になります Google Page Speed - Google製のFirefox拡張 pagespeedをブラウザで計測するツール UR
PHPの出力バッファリング機能 | バシャログ。
Mac OS X 10.7 Lion をウチのMacBook Air にインストールしました。使っているアプリはほとんど問題なく動作しましたが、動かないアプリも1つありました。Lionは最初から64bitモードで動いているという話を眼にしたので、32bitモードで起動するようにしたところ、動くようになりました。動かないアプリの話もちらほら目にしたので、これくらいはラッキーな方だったのかもしれませんね。 今日は、PHPの「出力バッファリング機能」を使ってみます。これはなにかっていうと、普通echo命令をつかったり、require文で、PHPタグに囲まれてない文字列のあるテキストファイルを読み込むと、その時点で出力される内容が決まっていきます。(ブラウザやコンソールに出力されます。)出力バッファリングを使うと、出力するはずの内容を一旦ため込んでおいて、変数に代入したり、後の条件で出力させなかっ
「PHPあるある」のまとめ
KOYAMA Tetsuji (こいほげ) @koyhoge PEAR のバグを発見しパッチをレポートしようとしたら、とっくの昔に同じバグレポートが上がっており、しかも2年間放置されていた。 #PHPあるある
パーフェクトPHPが増刷されました (第3刷！) - 肉とビールとパンケーキ by @sotarok
こんにちは、もう夏のような毎日ですが皆様いかがお過ごしでしょうか。 さて、タイトルのとおりですが、昨年11月に発売された、パーフェクトPHPが増刷され、この7月に第3刷となりました！みなさまのおかげです。本当にありがとうございます。 第3刷での更新 以下のポイントが修正されています CSRF可能な脆弱性のあるコードの修正 ref: パーフェクトPHPのサンプルコードに脆弱性がありました - gusagiの日記 ref: CSRF対策のトークンをワンタイムにしたら意図に反して脆弱になった実装例 - 徳丸浩の日記(2011-01-27) その他誤字脱字等の修正 関係ないけどPHPカンファレンスがありますよ PHP Conference Japan 2011 あ、発表者の締切りもう終わってました（ブログ書くの遅・・・ ということで PHP 5.4 alpha1 も出たりしてますます楽しくなってき
PHPで画像からHTMLのカラーパレットを作るサンプルプログラム:phpspot開発日誌
Generating a color palette from a image in php PHPで画像からHTMLのカラーパレットを作るサンプルプログラムがcode dieselにて公開されています。 画像を渡せば、GDを使って使われている色を分析し、頻度の多い順に配列で受け取ることができます。 なんらかのWEBサービスやツールに応用することができそうです。 クラスライブラリの形なので再利用も超簡単です。 元記事ではテーブルタグを使ったカラーパターンの出力用プログラムも公開されています。 関連エントリ PHPでWEBサイトのスクリーンショットを作成するチュートリアル PHPでAmazon SESを使うチュートリアル
PHPでWEBサイトのスクリーンショットを作成するチュートリアル:phpspot開発日誌
Taking screenshots of websites in PHP PHPでWEBサイトのスクリーンショットを作成するチュートリアルが紹介されています。 スクリーンショットの撮影には wkhtmltopdf というオープンソースソフトウェアを利用します。 このソフト自体がMac OS XやWindows、Linuxで動作するコマンドラインツールとなっているようなのでクロスプラットフォームで動作します。 このツールを使えば、「wkhtmltoimage --quality 50 //phpspot.org/blog/ snap.jpg」のようにコマンドを打つことでスナップショットが撮れます。 コマンドラインオプションが多数あるのでPHPerじゃない方も覚えておいて損はなさそうです。 例えば、 JavaScriptをオフにした状態でスクリーンショットを撮ったり、高さや幅の指定、切抜きの
初心者Webアプリケーション開発者がチェックすべき情報源2011 - ハニーポッターの部屋
毎年恒例の診断前準備として開発者向けに、「初心者Webアプリケーション開発者がチェックすべき情報源」を集めているので、皆さんにもご紹介。他に追加した方が良い情報源があった場合はご指摘いただけると助かります。 上から重要な順。★がとりあえず読んどけ、の必須。必須のポイントは、短期間で大雑把に網羅的にポイントが整理されているもの。 徳丸本を必須に入れるか迷ったけど、あの厚さは、万人は読めないので、上位ランクだけど必須からははずした。 ★Webサイト構築 安全なウェブサイトの作り方 改訂第5版 http://www.ipa.go.jp/security/vuln/websecurity.html 携帯ウェブサイトの実装方法を追加 セキュリティ実装 チェックリスト（Excel形式、33KB） 安全なSQLの呼び出し方（全40ページ、714KB） ★発注仕様 発注者のためのWebシステム／Webアプ
Webシステム開発に便利な7つのツール
Webシステム開発で使っている便利なツールをあげてみました。 あらためて社内の開発環境を見直す機会があったので、使っているツールを並べてみました。こうして見ると色々なツールを使って開発をしていますね。わりと定番系なものが多いですが、良かったら参考にどうぞ。 1. Apache / PostgreSQL / PHP Mac OS X に MacPorts でインストールしたApache / PostgreSQL / PHP 環境を使って開発をしています。 PHPは5.3、PostgreSQLは8.4 or 9.0です。 ただ旧バージョンのPHPを使ったり、Linux でなければ動かないモジュールを使うこともあるので、その際は社内のCentOSサーバにSSHで入って開発したりもします。 Vimを使ってるので、SSHで入ればどのサーバでも開発できるのは利点ですね。 Mac を使い出して、しばらく
サイトやブログの運営でよく使いそうな.htaccessの設定のまとめ
ウェブサイトやブログの運営でよく使いそうな便利な.htaccessの設定を紹介します。 こういうまとめは定期的にあがってきますが、やっぱり必要なのでシェアします。 10 useful .htaccess snippets to have in your toolbox [ad#ad-2] 下記は各ポイントを意訳したものです。 URLからwwwを削除 hotlinkingの防止 feedをfeedbunnerにリダイレクト カスタムエラーページ ダウンロードファイルの処理 PHPのエラーのログ URLからファイルの拡張子を削除 ディレクトリのファイルリストを見せない ファイルを圧縮して軽量化 文字コードの指定 URLからwwwを削除 SEOなどの理由で、URLからwwwを削除して使うことがあるかもしれません。このスニペットは、あなたのウェブサイトにwww付きでアクセスしてきてもwww無しに向
実は厄介、ケータイWebのセッション管理
実は厄介、ケータイWebのセッション管理：再考・ケータイWebのセキュリティ（3）（1/3 ページ） “特殊だ”と形容されることの多い日本の携帯電話向けWebサイト。そこには、さまざまな思い込みや性善説の上しか成り立たないセキュリティが横行しています。本連載は、ケータイWebの特殊性をていねいに解説し、正しいケータイWebセキュリティのあるべき姿を考えます（編集部） 「Cookieを使えない端末」でセッションを管理する方法は？ 第2回「間違いだらけの『かんたんログイン』実装法」ですが、多くの方に読んでいただきありがとうございました。 今回は、前回に引き続き架空のSNSサイト「グダグダSNS」のケータイ対応を題材として、ケータイWebのセッション管理の問題点について説明します。携帯電話向けWebアプリケーション（ケータイWeb）のセッション管理は、かんたんログインよりも対策が難しく、厄介な問
PHP 標準コーディング規約 | アイビースター
ＰＨＰでプログラムを作っていくと ｢変数名はどうしよう？｣ などと、たいしたことではないのに凄く悩むときがあります。 PearとZend Frameworkには標準コーティング規約というものがあります。プログラムを書く上でのルール決めです。いずれも内容的には一致しているところも多く大変勉強になります。 ただ、かなり細かく書いてあるので全てを網羅するには結構大変です。下記にそれぞれのコーティング規約を1つにまとめてみました。 ファイル 一行の長さは80文字以内とする。最高でも120文字いないとする 改行はラインフィード( LF )を使用する ファイル名は英数字、アンダーバー( _ )、ダッシュ( – )以外は使用しない インデント インデントはタブを使用しないで半角空白4文字とする 制御構造 if, for, while, switch等で制御キーワード(if等)と括弧の間は1文字開ける i
携帯サイトでSSLを導入する時の注意点 | Studio Pumpkinhead Blog
昨年よりGeoTrustの認証ルートが変更になったことで、Apacheに中間CA証明書の設定が必要になりました。 中間CA証明書の設定自体はあちこちのサイトで方法が書かれており、PC向けサイトではそれで問題なく動作すると思います。 ただ携帯向けサイトになると、httpd.confにその通りに書いても、うまく動作しないケースがあります。 このトラブルについては、ググってもなかなか情報が見つからなかったので、同じケースで困っている方のために、設定の際に注意する点を書いておくことにします。 まずは、お馴染みのhttpd.confへの記載方法。 <virtualhost 192.168.0.1:443> DocumentRoot /var/www/html ServerName exsample.com:443 ServerAdmin postmaster@exsample.com Err
Web制作をこれから始める人の為のスキル・HTML・CSS・ブラウザ・写真素材入手の基礎情報*ホームページを作る人のネタ帳
Yamadaです。 かれこれWeb屋暦が14年くらいになるんですが、こうしてWebに携わっていると、3ヶ月周期で情報の入れ替えをしていかないと、正直追いつかないと感じます。そんな激流のようなWeb業界にこれから飛び込もうと言う新卒の方や、中途の方に送るバイブルとなればと思います。 というわけで改めて春ですし、これからホームページ（Webサイト）を作成してWeb屋さんになる方へ送るお勧めサイト集です。 後編はこちら Web制作を始める人の為のスキル・ワイヤーフレーム・SEO・マーケティング・Webサービスの基礎情報 忘れないで欲しい事 Web制作には、様々なスキルが求められます。 しかしその技術が、いつの間にか消えていったり、使えなくなったりしました。新しいデザイン、新しいコード、新しい言語、新しい環境、様々なものがあります。しかし、それらを追い続けていくうちに、一つ、とても大事な事を忘れて
間違いだらけの「かんたんログイン」実装法
「DNSリバインディング」による攻撃 今度は、契約者固有IDのなりすまし（変更）をしないでかんたんログインを攻撃する、「DNSリバインディング（DNS Rebinding）」と呼ばれる手法を紹介します。 DNSリバインディングは受動的攻撃の一種です。なりすましのターゲット（対象者）の携帯電話ブラウザ上で攻撃用スクリプトが動作することで攻撃が起こります。図3を用いて、DNSリバインディング攻撃の概要を説明します。 図3のexample.jpが攻撃対象サーバ、trap.example.comは攻撃者が管理している「罠」のサーバです。攻撃者は罠サイト上に、JavaScriptを仕込んだHTMLを用意し、example.jp利用者が閲覧するのを待ちます。以下に攻撃シナリオを示します。 【1】罠サイトを閲覧すると、JavaScriptがダウンロードされる 【2】罠を閲覧したタイミングで、ローカルに保
WEBサービスで使えるPEAR以外で有名なPHPモジュール総まとめ:phpspot開発日誌
WEBサービスで使えるPEAR以外で有名なPHPモジュール総まとめ 「WEBサービスを作るなら最低限覚えておきたいPHPのPEARモジュールまとめ」というエントリで先日PEARの便利ライブラリについてまとめたのですが、今回はPEAR以外でも有名なライブラリをご紹介。 PEAR以外で挙げていくときりがありませんが、とりあえず有名どころや、私の知っている物、過去に当ブログで紹介したものをまとめてみます。 他にも便利な物や定番の物がありましたら、@phpspot_kj までTwitterなんかで教えてください。 グラフ描画 JpGraph ありとあらゆるグラフを描画してくれる有名なグラフライブラリ。 pChart グラフにデザイン性を求める場合に使えるクールなグラフ描画ライブラリ PHP/SWF Charts PHPでグラフをFlashで描画出来るライブラリ。グラフに動きを出してインタラクティブ
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
ブラウザ のキャッシュを制御する/no-cache
IDEA * IDEA
