タグ検索の該当結果が少ないため、タイトル検索結果を表示しています。
はじめに xss については何となく理解したけど、結局それがどう攻撃に使われるのかが良く分からなかったので、セッションハイジャックと言うものを試してみた。 やりたいこと 攻撃者の立場に立ち、被害者に対して攻撃用 URL を送りつけ、被害者のセッション ID を取得する。 脆弱性のあるサイトを作る まずは被害者がログインできるサイトを作る。 javascript + express で作ったけど、あんまり使ったことないフレームワークだったから認証の仕組みを入れるのに時間がかかった。 といっても認証の方法は「どんなユーザー名でもパスワードでもログインできる」という感じ。 （ログイン状態さえ作り出せれば良いため） ↓ソースコード https://github.com/ahyaemon/express-training ↓ログインページ ↓ログイン後ホーム クッキーにセッション ID らしきものが
All in One SEO PackにXSS脆弱性が発見、いますぐ更新を – Capital P – WordPressメディア
有名SEOプラグインAll in One SEO Packに脆弱性が発見された。すでにパッチがリリースされているので、利用しているユーザーは最新版への更新を。 All in One SEO Packは200万アクティブユーザーを誇る人気プラグインである。SEOということもあり、それほどリテラシーの高くないユーザーにも広く使われている。Capital Pの読者はリテラシーの高い人が多いはずなので、ぜひ注意喚起を行って欲しい。
クロスサイトスクリプティング(XSS)脆弱性を用いて、CSRF攻撃のように更新系処理を悪用することができます。この場合、CSRF対策のトークンなどは突破されてしまいます。 XSSによる更新系機能への攻撃は一見するとCSRF攻撃と似ていますが、中身は違っているため、CSRF攻撃用の対策（下記）はXSS攻撃に対しては無力です。 ・CSRFトークン ・Refererチェック ・CookieのSameSite=Lax指定 ・Double Submit Cookie ・カスタムリクエストヘッダ なぜそうなるのか、原理のところから詳しく解説します。 本動画では、XSSのデモはありませんが、デモをご覧いただきたい方は、以下の動画の後半にて解説しています。 ・クロスサイトスクリプティング(XSS)対策としてCookieのHttpOnly属性でどこまで安全になるのか https://www.you
【セキュリティ ニュース】「Joomla」にセキュリティアップデート - XSS脆弱性を修正（1ページ目 / 全1ページ）：Security NEXT
コンテンツマネジメントシステム（CMS）である「Joomla」の開発チームは、複数の脆弱性を解消したセキュリティアップデートをリリースした。 現地時間7月9日に、脆弱性5件やバグへ対処した「同5.1.2」「同4.4.6」をリリースしたもの。 今回判明した脆弱性は、いずれもコア部分におけるクロスサイトスクリプティング（XSS）の脆弱性としており、2月から6月にかけて報告を受けたという。 重要度を見ると、「CVE-2024-21729」「CVE-2024-21731」「CVE-2024-26278」「CVE-2024-26279」の4件については、4段階中、上から3番目にあたる「中（Moderate）」とし、「CVE-2024-21730」は1段階低い「低（Low）」とした。 （Security NEXT - 2024/07/12 ） ツイート
Tenableの研究者は2021年6月27日(米国時間)、「CVE-2020-3580: Proof of Concept Published for Cisco ASA Flaw Patched in October - Blog｜Tenable」において、「Cisco ASA（Adaptive Security Appliance）」に存在する脆弱性「CVE-2020-3580」に関する概念実証コードが公開されたことに関連し、この脆弱性を利用した攻撃が確認されたとして警告を発した。CVE-2020-3580を悪用すると、攻撃者は対象システムのインタフェース内で任意のコードを実行し、機密情報にアクセスできるようになるという。 シスコシステムズは2020年10月21日に、CVE-2020-3580、CVE-2020-3581、CVE-2020-3582、CVE-2020-3583の4つの脆
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
xss 脆弱性のあるサイトを作ってセッションハイジャックを試す - Qiita
Apple、「iCloud for Windows 11.4」を公開 ～「WebKit」のXSS脆弱性に対処／Windows 10専用のクラウドストレージクライアント
XSS脆弱性があるとCSRF対策は突破できる | YouTube
概念実証コードが公開されたCisco ASAのXSS脆弱性について警告、Tenable
www.bloomberg.co.jp
qiita.com/mariohcat
rollingstonejapan.com
togetter.com
news.yahoo.co.jp
web.motormagazine.co.jp