[B! セキュリティ] puchibanのブックマーク

DNSキャッシュポイズニング対策：IPA 独立行政法人情報処理推進機構

本資料は、「DNSキャッシュポイズニングの脆弱性」の対策を更に促進することを目的としており、DNSキャッシュポイズニング対策の検査ツールの使用方法や、DNSの適切な設定方法に関する情報等をまとめています。第1章では、DNSの役割とその仕組み、DNSキャッシュポイズニングの実現手法とその脅威を解説しています。第2章では、DNSの問合せ動作を概説し、その動作の理解を深めて頂くための関連ツールとしてwhoisサービスやnslookupコマンドの使い方を説明しています。第3章では、DNSキャッシュポイズニング対策の検査ツールとして活用できるCross-Pollination CheckツールとDNS-OARC Randomness Testツールの使い方と注意点をまとめてあります。第4章では、BIND DNSサーバとWindows DNSサーバの適切な設定に関して具体的に記述してあります。

puchiban 2009/12/11

リンク

Web-based DNS Randomness Test

2023-06-01: This service has been deprecated in favor of Check My DNS. US-CERT's Vulnerability Note VU#800113 describes deficiencies in the DNS protocol and implementations that can facilitate cache poisoning attacks. The answers from a poisoned nameserver cannot be trusted. You may be redirected to malicious web sites that will try to steal your identity or infect your computers with malware. Wor

puchiban 2009/12/11

リンク

Internet Assigned Numbers Authority

The global coordination of the DNS Root, IP addressing, and other Internet protocol resources is performed as the Internet Assigned Numbers Authority (IANA) functions. Learn more. Domain Names Management of the DNS Root Zone (assignments of ccTLDs and gTLDs) along with other functions such as the .int and .arpa zones. Root Zone Management Database of Top Level Domains .int Registry .arpa Registry

puchiban 2009/12/11

キャッシュポイゾニング

リンク

「ウェブサイト構築事業者のための脆弱性対応ガイド」などを公開：IPA 独立行政法人情報処理推進機構

IPA（独立行政法人情報処理推進機構、理事長：西垣浩司）は、ウェブサイトのセキュリティ対策を推進するため、「情報システムを安全にお使いいただくために」及び「ウェブサイト構築事業者のための脆弱性対応ガイド」を含む報告書をとりまとめ、2009年6月8日から、IPAのウェブサイトで公開しました。本報告書は、「情報システム等の脆弱性情報の取扱いに関する研究会」（座長：土居範久　中央大学教授）において、昨年10月から行われた検討の成果です。 IPAでは、情報サービス事業者、セキュリティベンダー、セキュリティに関する有識者など約20組織に対して、昨年10月から本年3月までにヒアリングを行い、ウェブサイトの脆弱性対策を促進する上での課題を抽出しました。このヒアリングにおいて、ウェブサイトを公開している企業の中には、システム導入・運営上の意思決定を担う層の脆弱性に関する知識が乏しく、運用・保守の予

puchiban 2009/07/06

リンク

http://www.typemiss.net/blog/kounoike/20061019-100

puchiban 2009/05/29

リンク

現行版のPHPに任意メモリ参照バグ – 攻撃コード付き

(Last Updated On: 2018年8月13日)随分前から共有型Webホスティングサービスでは安全性を確保できないので、安全性を重視するサイト(ECなど)は最低限でも仮想ホスト型の共有サービスを利用すべきである、と言っています。今回のエントリはPHPをApacheモジュールで共有型ホスティングサービスを利用しているユーザに影響します。SSLを利用している場合は秘密鍵を盗まれます。このバグはPHP 5.2.8でも修正されていません。当然ですがPHP 4.4.9でも修正されていません。 Milw0rmのアドバイザリ http://www.milw0rm.com/exploits/7646 には、そのまま使える、任意のアドレスのデータを参照するコードまで付いています。秘密鍵を盗むことは簡単です。誤解してはならない事ですが、これはPHPに限った問題ではありません。PHPでは度々このよ

puchiban 2009/01/05

リンク

porttest.dns-oarc.net -- Check your resolver's source port behavior | DNS-OARC

2023-06-01: This service has been deprecated in favor of Check My DNS. The announcement in Jul 2008 of CERT VU#800113 made it clear that resolvers should use random source source ports when sending queries. Here at OARC, we crafted a special DNS name and server that you can query to learn whether or not your own resolver is using random ports. Use a DNS query tool such as dig to ask for the TXT re

puchiban 2008/12/22

リンク

DNSキャッシュポイズニングの脆弱性に関する注意喚起：IPA 独立行政法人情報処理推進機構

－放置すれば情報漏えい～信用失墜に至る可能性も。ウェブサイト運営者は早急にDNSサーバのパッチ適用や設定変更を！－最終更新日　2009年2月6日掲載日　2008年9月18日 >> ENGLISH 独立行政法人情報処理推進機構（略称：IPA、理事長：西垣浩司）は、「DNSサーバに対するDNSキャッシュポイズニングの脆弱性」の届出が激増していることから、ウェブサイト運営者へ注意を喚起するとともに、DNSサーバのパッチ適用や設定変更を呼びかけます。 DNS(Domain Name System)(*1) キャッシュポイズニング（汚染）の脆弱性に関して、2008年7月に複数のDNS サーバ製品の開発ベンダーから対策情報が公開されています(*2)。また、この脆弱性を悪用した攻撃コードが既に公開されていたため、2008年 7月24日、IPAはウェブサイト運営者へ向けて緊急対策情報を発行しました

puchiban 2008/12/22

リンク

WordPressのセキュリティをアップする11のポイント

WordPressのセキュリティをアップする11のポイントをPro Blog Designのエントリーから紹介します。 11 Best Ways to Improve WordPress Security セキュアなデータベースを構築する。他のアプリケーションと共有しないWordPressのためだけのデータベースを使用する。データベースへのアクセスは限定する。データベースのパスワードは強固なものにする。「wp-config.php」の設定。セキュリティキーを設定する。セキュリティキーツール 1.1でランダムなキーが生成されます。テーブル名の接頭辞（$table_prefix）を「wp_」以外のものに変更する。管理画面のユーザー名にデフォルトの「admin」を使用しない。ユーザー名はphpMyAdminなどで変更できます。管理画面のパスワードは複雑なものにする。英数記号