Published: 02 July 2021 at 13:27 UTC Updated: 05 July 2021 at 10:03 UTC Cross-Site Scripting and the alert() function have gone hand in hand for decades. Want to prove you can execute arbitrary JavaScript? Pop an alert. Want to find an XSS vulnerability the lazy way? Inject alert()-invoking payloads everywhere and see if anything pops up. However, there's trouble brewing on the horizon. Malicious
Mitigate cross-site scripting (XSS) with a strict Content Security Policy (CSP) | Articles | web.dev
Mitigate cross-site scripting (XSS) with a strict Content Security Policy (CSP) Stay organized with collections Save and categorize content based on your preferences. Cross-site scripting (XSS), the ability to inject malicious scripts into a web app, has been one of the biggest web security vulnerabilities for over a decade. Content Security Policy (CSP) is an added layer of security that helps to
こんにちは、セキュリティチームのwonda-tea-coffeeです。 最近さらば青春の光が好きすぎて五反田への引っ越しを検討しています。 さて、本稿では私が先日取得した資格である、Offensive Security Web Expert(以下、OSWE)について紹介します。 これからチャレンジしようと考えている方、もしくは既に試験に向けて頑張っている方に向けて少しでも有益な情報になれば嬉しい限りです。 また、前回紹介したBurp Suite Certified Practitionerについても良ければご覧ください。 OSWEとは OSWEはOffensive Security社が提供する、ペネトレーションテストの認定試験です。以下、簡単に特徴を記します。 標的のWebアプリケーションとほぼ同一のデバッグ環境を使って、ホワイトボックステストを実施し、目標の証明ファイルを入手する 試験時
About upcoming limits on trusted certificates - Apple Support
About upcoming limits on trusted certificates In our ongoing efforts to improve web security for our users, Apple is reducing the maximum allowed lifetimes of TLS server certificates. What's changing TLS server certificates issued on or after September 1, 2020 00:00 GMT/UTC must not have a validity period greater than 398 days. This change will affect only TLS server certificates issued from the R
焼き鳥屋で刑法学者と意気投合してコインハイブ事件について書き出すだけの難儀なお仕事 - 白のカピバラの逆極限 S.144-3
JavaScript で仮想通貨を採掘するコインハイブというライブラリがありました。 コインハイブ事件というのは、この仮想通貨をマイニングするプログラムコードを自身の管理するウェブサイトに設置したところ、不正指令電磁的記録保管罪(刑法168条の3)に問われたというものです。 このコインハイブ事件に関して、「アプリ開発の実務を踏まえた不正指令電磁的記録に関する罪の一考察 －コインハイブ事件を契機としてー」というタイトルで千葉大学の紀要に書き、千葉大学のページ上で PDFでも公開されました。 https://opac.ll.chiba-u.jp/da/curator/900119535/S09127208-36-1-P056.PDF https://opac.ll.chiba-u.jp/da/curator/900119535/ 内容に入る前に、まずは、この事件に関わっている、被告人、弁護士、
Security Command Centerを使用してGoogle Cloud内のセキュリティイベントを検知する - NRIネットコムBlog
こんにちは、最近Google Cloudを頑張って勉強している上野です。 今回はSecurity Command Centerおよびその通知設定方法を紹介します。 Security Command Centerとは？ Security Command Center（以下SCC）は、Google Cloudの組織配下のプロジェクトにおいて、セキュリティリスクのある設定や、脆弱性（アプリも含む）を見つけてくれるサービスです。 見つけた結果を表示するダッシュボード機能もあります。 なお、SCCは組織に対して設定するサービスのため、プロジェクト単体では使用できません。 無料のスタンダード ティアと有料のプレミアム ティアがあり、スタンダードでは一部機能のみ使用できます。 機能（サービス）名 機能概要 スタンダード プレミア Security Health Analytics 公開FWなど、Goog
バグバウンティにおける XSS の具体的な脅威の事例まとめ - blog of morioka12
1. 始めに こんにちは、morioka12 です。 本稿では、バグバウンティで実際にあった脆弱性報告の事例をもとに、XSS の具体的な脅威(Impact)についていくつか紹介します。 1. 始めに 免責事項 想定読者 2. XSS (Cross Site Scripting) HackerOne Top 10 Vulnerability Types Escalation (Goal) 3. XSS の脅威 (Impact) 3.1 Response Body から Session ID の奪取 3.2 Local Storage から Access Token の奪取 3.3 IndexedDB から Session Data の奪取 3.4 メールアドレスの改ざん 3.5 パスワードの改ざん 3.6 管理者アカウントの招待 3.7 POST Based Reflected XSS 4.
We Hacked Apple for 3 Months: Here’s What We Found | Sam Curry
Between the period of July 6th to October 6th myself, Brett Buerhaus, Ben Sadeghipour, Samuel Erb, and Tanner Barnes worked together and hacked on the Apple bug bounty program. Sam Curry (@samwcyo) Brett Buerhaus (@bbuerhaus) Ben Sadeghipour (@nahamsec) Samuel Erb (@erbbysam) Tanner Barnes (@_StaticFlow_) During our engagement, we found a variety of vulnerabilities in core portions of their infras
Burp Suite Certified Practitionerになりました - ANDPAD Tech Blog
こんにちは、セキュリティチームのwonda-tea-coffeeです。 最近さらば青春の光のYoutubeチャンネルにハマっています。面白いのでぜひ観てみてください。人間ドック大富豪は傑作です。 さて、本稿では私が、弊社の資格取得制度を利用してBurp Suite Certified Practitioner認定試験に合格した話を紹介します。 受験に至るまでは主に海外の方の試験レビューを参考にさせていただいたため、私も合格者の一人として、これから受験しようと思っている方に向けて有益な情報を提供できたら嬉しいです。なお、試験に関する記述は全て執筆時現在の内容に基づきます。受験の折には公式サイトで必ず確認することをお勧めします。 Burp Suite Certified Practitionerとは Burp Suite Certified Practitionerは、PortSwigger社
エッジでJavaScriptを実行するCloudFront Functionsのユースケースまとめ | DevelopersIO
エッジで軽量なJavaScriptを実行するAmazon CloudFront Functionsのユースケースをまとめました AWSはエッジ環境で軽量なJavaScriptによる処理を実行可能な新サービス「Amazon CloudFront Functions」を発表しました。 Introducing CloudFront Functions – Run Your Code at the Edge with Low Latency at Any Scale | AWS News Blog エッジで爆速コード実行！CloudFront Functionsがリリースされました！ | DevelopersIO 以前から存在するLambda@Edgeは機能が豊富な一方で、処理が重く、利用費も高めだったのに対して、 CloudFront Functionsは機能を絞り込んでいる一方で、高速に動作し
1. 始めに こんにちは、morioka12 です。 本稿では、バグバウンティなどの Web アプリケーションを対象とした脆弱性調査でよく使われる、おすすめのツールを10個紹介します。 1. 始めに 免責事項 想定読者 注意点 2. Tools 2.1 Burp Suite おすすめの Burp Extensions 10選 2.2 ffuf 2.3 subfinder 2.4 nuclei 2.5 naabu 2.6 getallurls (gau) 2.7 xnLinkFinder 2.8 dirseaech 2.9 Arjun 2.10 byp4xx 3. その他 Google Dorks バグバウンティ入門(始め方) 参考ドキュメント・コメント 4.終わりに 免責事項 本稿の内容は、セキュリティに関する知見を広く共有する目的で執筆されており、悪用行為を推奨するものではありません。
Web Security 101: An Interactive Cross-Site Request Forgery (CSRF) Demo - victorzhou.com
Looking for an introduction to Cross-Site Request Forgery (CSRF)? This post will be a little different - instead of telling you what it is, I’m going to show you. Ready? Setting the Scene You’re a responsible, hardworking person. You’ve saved up your money over the years at Definitely Secure Bank®. The Definitely Secure Bank logo. You love Definitely Secure Bank - they’ve always been good to you,
はじめに 近年IT界隈では、IaaS(Infrastructure as a Service)やPaaS(Platform as a Service)などの~~ as a Serviceという言葉をよく聞くと思います。 ここでは、それらをまとめて、 [A-Z]aaS と呼びたいと思います。 FirebaseなどのBaaS(Backend as a Service)やAWS LambdaなどのFaaS(Function as a Service)など色々な[A-Z]aaSを聞く機会が増えてきたんじゃないでしょうか。 今回は色々な[A-Z]aaSを探してみました。結果としては 910個 もの[A-Z]aaSを見つけることができました。（探した結果を全て、後半に表示してあります。） [A-Z]aaSの探し方 最初の二文字を固定して、グーグル検索のサジェストに表示されるものを収集することにします。
Yahoo! JAPAN IDに登録された電話番号の列挙 Feb 3, 2020 Webサービスのアカウントに登録されている携帯電話番号を特定できれば、そのサービスの利用者を標的としたスミッシング（SMSフィッシング）が可能になると考えた。日本最大級のポータルサイトである「Yahoo! JAPAN」のアカウントリカバリー機能では、Yahoo! JAPAN IDに登録した電話番号からアカウントの存在を確認できる。この機能の挙動を利用して他人のIDに紐づく電話番号を列挙できる状態だった。発見した脆弱性はYJ-CSIRTへ報告し、既に修正されている。 ユーザー列挙の脆弱性 入力値の違いにより生じるエラーメッセージや応答時間などの差異を手がかりに、アカウントの識別情報を収集する行為を「ユーザー列挙（User Enumeration）」という。例えばアカウントを登録する際に以下のようなエラーが発生し
Security-JAWS 第20回レポート #secjaws #secjaws20 #jawsug #サイバーセキュリティは全員参加 | DevelopersIO
こんにちは、臼田です。 Security JAWS 第20回が開催されましたのでレポート致します。 Security-JAWS 【第20回】 勉強会 2021年2月18日(木) - Security-JAWS | Doorkeeper 動画 当日のアーカイブが公開されました。合わせて見てください。 レポート 挨拶 NISCのサイバーセキュリティ月間に協力しています！ みんなで叶えるセキュリティ！ Session1: 「AWS re:Invent 2020 Security re:Cap」 アマゾン ウェブ サービス ジャパン株式会社 桐山 隼人さん いつも2月に喋っている ぜひ来年もご登壇ください(編集注) セキュリティのリーダーシップセッション re:Invent 2020でCISOのStephen Schmidt氏の登壇内容 ゼロトラスト AWSでどうやって行くか アイデンティティの防
おうちでキャンプ: 2019 年全国大会「体系的に学ぶモダン Web セキュリティ」 - セキュリティ・キャンプ ブログ
はじめに セキュリティ・キャンプ協議会企画グループの米内です。 今回はおうちでキャンプの第二段として、セキュリティ・キャンプ全国大会 2019 で提供した講義「体系的に学ぶモダン Web セキュリティ」を少しだけアップデートしたものを公開します。 ぜひ自宅での学習にご利用ください。 なお本資料・演習は一部攻撃手法の歴史に関する言及を含んでいます。 しかしこれは Web クライアントサイドにおけるセキュリティ機能の必要性をよりよく理解していただくためのものです。 当然ながら違法行為を助長するものではありません。 本資料・演習がよりセキュアな世の中を作っていくための一助となるのであれば幸いです。 公開物 先だっての講義で使用したスライドに一部修正を加えたものを以下にて公開しました。 このスライドは主に Web クライアントサイドの基礎的なセキュリティ機能・攻撃技術の発展を大まかに眺めていく、と
HTTP ガイド リソースと URI ウェブ上のリソースの識別 データ URL MIME タイプ入門 よくある MIME タイプ www 付きと www なしの URL の選択 HTTP ガイド HTTP の基本 HTTP の概要 HTTP の進化 HTTP メッセージ 典型的な HTTP セッション HTTP/1.x のコネクション管理 プロトコルのアップグレードの仕組み HTTP セキュリティ Content Security Policy (CSP) HTTP Strict Transport Security (HSTS) X-Content-Type-Options X-Frame-Options X-XSS-Protection Mozilla web security guidelines Mozilla Observatory HTTP アクセス制御 (CORS) HTTP
We collect purchase data for sales reports to content creators. Sales reports include the purchase date and the buyer's registered country or region. No identifiable information is ever included in reports.
Published: 07 August 2019 at 21:00 UTC Updated: 07 September 2022 at 09:06 UTC AbstractHTTP requests are traditionally viewed as isolated, standalone entities. In this paper, I'll explore forgotten techniques for remote, unauthenticated attackers to smash through this isolation and splice their requests into others, through which I was able to play puppeteer with the web infrastructure of numerous
バーチー @hypermkt 2019.12.01 PHPカンファレンス https://phpcon.php.gr.jp/2019/ 脆弱性から学ぶ Webセキュリティ Part1 はこちら https://speakerdeck.com/hypermkt/study-web-security-from-vulnerability1
awesome-web-security/README-jp.md at master · qazbnm456/awesome-web-security
You signed in with another tab or window. Reload to refresh your session. You signed out in another tab or window. Reload to refresh your session. You switched accounts on another tab or window. Reload to refresh your session. Dismiss alert
Javascript Security Checklist
Summary Introduction 1. Code Linting & SAST 2. Running a security audit with npm audit 3. Integrity checking for JavaScript (SRI) How does it work? 4. Validations, Validations, Validations! 5. Minify and obfuscate your Javascript Conclusion Introduction Javascript is everywhere, It runs inside your browser, astronaut spacesuit, and most developers use it as a client-side and server-side programmin
HTTP ガイド: リソースと URI ウェブ上のリソースの識別 データ URL MIME タイプ入門 よくある MIME タイプ www 付きと www なしの URL の選択 HTTP ガイド HTTP の基本 HTTP の概要 HTTP の進化 HTTP メッセージ 典型的な HTTP セッション HTTP/1.x のコネクション管理 プロトコルのアップグレードの仕組み HTTP セキュリティ Content Security Policy (CSP) HTTP Strict Transport Security (HSTS) Cookie security X-Content-Type-Options X-Frame-Options X-XSS-Protection Mozilla web security guidelines Mozilla Observatory HTTP ア
In this post, I dissect a common misconception about the SameSite cookie attribute and I explore its potential impact on Web security. TL;DR ¶ The SameSite cookie attribute is not well understood. Conflating site and origin is a common but harmful mistake. The concept of site is more difficult to apprehend than meets the eye. Some requests are cross-origin but same-site. SameSite only has effects
政府情報システムにおける セキュリティ・バイ・デザインガイドライン 2022（令和 4）年 6 月 30 日 デジタル庁 〔標準ガイドライン群ＩＤ〕 DS-200 〔キーワード〕 セキュリティ・バイ・デザイン、DevSecOps、システムライフサイクル保 護 〔概要〕 情報システムに対して効率的にセキュリティを確保するため、企画から運 用まで一貫したセキュリティ対策を実施する「セキュリティ・バイ・デザイ ン」の必要性が高まっている。本文書ではシステムライフサイクルにおける セキュリティ対策を俯瞰的に捉えるため、各工程でのセキュリティ・バイ・ デザインの実施内容を記載する。 併せてセキュリティ・バイ・デザインの実用性を確保するための関係者の 役割を定義する。 改定履歴 改定年月日 改定箇所 改定内容 2022年6月30日 - 初版決定 i 目次 １ はじめに ................
Hacker Oneの無料のペンテスト基礎講座 まとめ ペンテスト・バグバウンティについて勉強していきたい人におすすめ - Security Index
HackerOneが公開しているペンテストの基礎講座の動画 PENTESTING BASICS VIDEO SERIES LAUNCHED ON HACKER101 のPart1~4を見たのでまとめました。 Hacker Oneの無料のペンテスト基礎講座 part1 OWASP Top 10 part2 ペンテストvsバグバウンティ part3 ペンテスト関連資料 part4 レポート作成とベストプラクティス Pentesting basics video series launched on Hacker101 https://t.co/TA3jjN0nJl— si🌤️ (@security_index) 2020年7月24日 PENTESTING BASICS VIDEO SERIES LAUNCHED ON HACKER101 Part1 A Starters Guide to P
Hello! I’ve released a new zine! It’s called “HTTP: Learn your browsers language!” You can get it for $12 at https://wizardzines.com/zines/http. If you buy it, you’ll get a PDF that you can either read on your computer or print out. Here’s the cover and table of contents: why http? I got the idea for this zine from talking to Marco Rogers – he mentioned that he thought that new web developers / mo
What is CORS (cross-origin resource sharing)? Tutorial & Examples | Web Security Academy
Cross-origin resource sharing (CORS) In this section, we will explain what cross-origin resource sharing (CORS) is, describe some common examples of cross-origin resource sharing based attacks, and discuss how to protect against these attacks. This topic was written in collaboration with PortSwigger Research, who popularized this attack class with the presentation Exploiting CORS misconfigurations
What is HTTP request smuggling? Tutorial & Examples | Web Security Academy
HTTP request smuggling In this section, we'll explain HTTP request smuggling attacks and describe how common request smuggling vulnerabilities can arise. Labs If you're already familiar with HTTP request smuggling and just want to practice on a series of deliberately vulnerable sites, check out the link below for an overview of all labs in this topic. View all HTTP request smuggling labs What is H
Firefox 79: The safe return of shared memory, new tooling, and platform updates – Mozilla Hacks - the Web developer blog
Firefox 79: The safe return of shared memory, new tooling, and platform updates A new stable version of Firefox brings July to a close with the return of shared memory! Firefox 79 also offers a new Promise method, more secure target=_blank links, logical assignment operators, and other updates of interest to web developers. This blog post provides merely a set of highlights; for all the details, c
先日公開された7-Zipの最新版v22.00では、長年要望されていたWindowsのセキュリティ機能「Mark-of-the-Web」がついにサポートされ、悪意のあるダウンロードファイルからの保護機能が強化されていたことがわかりました(BleepingComputer)。 Windowsは、Webからダウンロードしたドキュメントや実行ファイルに、「Mark-of-the-Web(MoTW)」と呼ばれる特別な属性を追加します。この属性はファイルが他のコンピュータやインターネットからダウンロードされたもので、開くと危険である可能性があることをWindowsやアプリケーションに通知する役目を担っています。 Windowsはファイルを開く際、MoTWが存在するかどうかを確認し、存在する場合はユーザーに追加の警告を表示し、ファイルを実行してもよいかどうかを確認します。 7-Zipは、これまでMoTW
AWSとGCP におけるセキュリティの勘所 - Qiita
AWSやGCPを利用する際によく対面するセキュリティ対応について各クラウドでのソリューションを比較しながら、サービスや方針についてまとめました。 この記事の範囲 主に、Webサービス／アプリ開発でのクラウド利用におけるセキュリティについての話がメインです PCI DSS とか ISMS とかの難しい話はしません(というかできないよ\(^o^)/) パブリッククラウドにおけるセキュリティ パブリッククラウドにおいて、まず最初に押さえるべきは「責任分担モデル」です。簡単にいうと、クラウドサービス自体の運用に関しての責任はクラウドプロバイダが持つ。クラウドサービスの利用の仕方に関する責任は自分たちで持つ。ってやつです。 これは大体どのプロバイダも一緒なので、覚えておくといいと思います。 引用: https://aws.amazon.com/jp/compliance/shared-r
こんにちは。ポインコと暮らしているエンジニアの高橋です。 今回はACMでプライベートCAを作成し、証明書を発行してみます。 プライベートCA（認証局）とは SSL/TLSサーバー証明書を発行するのが認証局(CA)ですが、CAには大きく分けてパブリックとプライベートとがあります。パブリックCAは監査法人によって認められた信頼された機関で、一般的なWebサイトにはこのパブリックCAの証明書が使用されます。一方、プラべートCAは誰でも構築することができる独自のCAです。社内システムに適用することなどが考えられます。 ACMとは ACMは「AWS Certificate Manager」の略で、SSL/TLS 証明書を作成/管理したり、CAを作成してプライベート証明書を発行することができるサービスです。 https://docs.aws.amazon.com/ja_jp/acm/latest/us
Web Developer Roadmap 2020 が 1月4日 に公開されました。 Web Developer Roadmapとは たくさん覚えることがあって、何から勉強していいか分からない人向けに 「この技術をこの順番に学習していくと良いよ」 みたいなことを纏めてくれているサイトです。 結論 細かい比較や解説はいずれ誰かがやってくれると思うので 簡潔に知りたいひと向けに解説すると Web Developer Roadmap に則ると、2020年は React Next.js TypeScript そして Web Components を学習するのが良いんじゃないかなと思います。 理由 前年と比較すると追加された項目は Web Components Web Security Knowladge ぐらいで、 その他は、元々ロードマップに含まれていたが、非推奨になったものが多かった印象です
Cloudflare Analytics | Powerful insights on your web security and performance
Cloudflare tracks and analyzes web performance and security metrics across all of your domains, without impacting site speed or end-user experience. Get actionable insights into the caching of your website for a better cache-hit ratio and further drive down your bandwidth costs. See exactly what resources on your website are cached and what aren’t. Make configuration changes to improve cache-hit r
bradfitz - Joining Tailscale
Joining Tailscale: Simplifying Networking, Authentication, and Authorization 2020-01-30 I used to tolerate and expect complexity. Working on Go the past 10 years has changed my perspective, though. I now value simplicity above almost all else and tolerate complexity only when it's well isolated, well documented, well tested, and necessary to make things simpler overall at other layers for most peo
HTTP ガイド リソースと URI ウェブ上のリソースの識別 データ URL MIME タイプ入門 よくある MIME タイプ www 付きと www なしの URL の選択 HTTP ガイド HTTP の基本 HTTP の概要 HTTP の進化 HTTP メッセージ 典型的な HTTP セッション HTTP/1.x のコネクション管理 プロトコルのアップグレードの仕組み HTTP セキュリティ Content Security Policy (CSP) HTTP Strict Transport Security (HSTS) X-Content-Type-Options X-Frame-Options X-XSS-Protection Mozilla web security guidelines Mozilla Observatory HTTP アクセス制御 (CORS) HTTP
HTTP の圧縮 - HTTP | MDN
HTTP ガイド リソースと URI ウェブ上のリソースの識別 データ URL MIME タイプ入門 よくある MIME タイプ www 付きと www なしの URL の選択 HTTP ガイド HTTP の基本 HTTP の概要 HTTP の進化 HTTP メッセージ 典型的な HTTP セッション HTTP/1.x のコネクション管理 プロトコルのアップグレードの仕組み HTTP セキュリティ Content Security Policy (CSP) HTTP Strict Transport Security (HSTS) X-Content-Type-Options X-Frame-Options X-XSS-Protection Mozilla web security guidelines Mozilla Observatory HTTP アクセス制御 (CORS) HTTP
Visiteurs depuis le 28/01/2019 : 9334 Connectés : 1 Record de connectés : 93 Free Ssl CertsSsl Cert CheckerMac OS X Server SSL Renewal Whether you have a self signed certificate or a commercially available certificate, changing it is very easy on a Mac Mini. 1- Simply go to Server Admin and under the servers menu your server should be highlighted. Apr 3, 2018 - I've also been having this same issu
Tech Solvency: The Story So Far: CVE-2021-44228 (Log4Shell log4j vulnerability).
Log4Shell log4j vulnerability (CVE-2021-44228 / CVE-2021-45046) - cheat-sheet reference guide Last updated: $Date: 2022/02/08 23:26:16 $ UTC - best effort, validate all for your environment/model before use, unofficial sources may be wrong by @TychoTithonus (Royce Williams), standing on the shoulders of many giants Send updates or suggestions (please include category / context / public (or support
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
alert() is dead, long live print()
Offensive Security Web Expertになりました - ANDPAD Tech Blog
バグバウンティで使えるおすすめのツール10選 - blog of morioka12
AaaSからZaaSまで「as a Service」を探したら色々なサービスが見えた話 - Qiita
Yahoo! JAPAN IDに登録された電話番号の列挙
プロキシー自動設定ファイル - HTTP | MDN
Tokumaru Web Security Stamp – LINE stickers | LINE STORE
HTTP Desync Attacks: Request Smuggling Reborn
脆弱性から学ぶ
Webセキュリティ Part2
SameSite cookies - HTTP | MDN
The great SameSite confusion :: jub0bs.com
政府情報システムにおける セキュリティ・バイ・デザインガイドライン
New zine: HTTP: Learn your browser's language!
【朗報】7-Zipが念願の「Mark-of-the-We」セキュリティ機能をサポート | ソフトアンテナ
ACMでプライベートCAを作成して証明書を発行してみた - サーバーワークスエンジニアブログ
Web Developer Roadmap 2020 が公開されたので解説する - Qiita
ユーザーエージェント文字列を用いたブラウザーの判定 - HTTP | MDN
Question On Ssl Cert Renewal For Mac