IEを華麗に撃墜する一行 - ぼくはまちちゃん！(Hatena)
はい！ こんにちは！！！！！ 今日は、偶然ブラクラ発見しちゃったから、それをお伝えしますね！ これだよ！ <style>*{position:relative}</style><table><input></table> → サンプル (IEだとブラウザが終了しちゃうよ！ 注意してね！) IE6とかIE6のコンポーネントブラウザだと確実に落ちちゃうみたいだね！ IE7は確認してないけど！ tableとかtrの直下に、inputとかselectがあって、 そのあたりにcssの全称セレクタでposition:relativeがあたっているとダメなかんじかな！ ちなみにinputにstyleで直接relativeあてても落ちなかったよ！ なにこれ！ よくわかんないけど面白いね…！ FirefoxとかOpera大好きっ子は、 これをたくさんバラまいてIEのシェアをどんどん下げちゃえばいいと思うよ！
開発者のための脆弱性対策情報の公表マニュアル--IPAが公開
印刷する メールで送る テキスト HTML 電子書籍 PDF ダウンロード テキスト 電子書籍 PDF クリップした記事をMyページから読むことができます 独立行政法人の情報処理推進機構（IPA）は5月30日、「ソフトウェア製品開発者による脆弱性対策情報の公表マニュアル」を含む報告書をとりまとめ、公表した（PDF形式）。 開発者にとって、利用者に安全なソフトウェアを提供することは、品質に対する信頼確保の観点から重要だが、現実には周到な安全設計のもとに開発された製品であっても、セキュリティ上の弱点（脆弱性）が生じてしまうことがある。 しかし、過去にリリースした製品に脆弱性が存在することを知りながら、脆弱性対策情報を公表せず、被害が生ずる可能性を隠したり、不十分な内容の公表にとどめたり、虚偽の内容を公表することがあるため、マニュアルを含む報告書を作成、公開した。今回の報告書は、「情報システム等
人気のTwitterにセキュリティ問題、研究者が指摘
米IM企業FaceTime Communicationsのセキュリティ研究者が、急速に人気を集めているソーシャルネットワーキングサービス（SNS）「Twitter」のセキュリティについて警告を発した。 TwitterはSMS（携帯メール）やIM、電子メールなどで140文字以内の短い文章を送信することで更新できる。自分が「今何をしているのか」を手軽に友人と共有できることで人気を博している。 送信した文章はユーザーのプロファイルページに掲載され、またあらかじめ登録したほかのユーザーにもTwitterのサイト、SMS、RSSなどを介して送られる。 FaceTimeの研究者ウェイン・ポーター氏は、Twitterはクールだとしつつも、同サービスのセキュリティ上の問題を指摘している。 同氏はまず、認証が不十分な点を挙げている。他人の名前をかたることが容易であり、実際に偽の有名人がたくさんいるという。
早くもIE 7の脆弱性指摘
リリースされたばかりのInternet Explorer 7に、早速脆弱性が発見されたとの報告があった。 デンマークのセキュリティ企業Secuniaは10月19日、リリースされたばかりのInternet Explorer（IE）7の脆弱性を発見したと報告した。 この脆弱性の危険度は、5段階中2番目に低い「less critical」とされている。 この問題は、「mhtml:」URIハンドラでURLのリダイレクトを処理する際にエラーが起きることが原因。攻撃者がこれを悪用すると、機密情報が漏えいする恐れがあるという。 この問題が確認されたのはWindows XP SP2上で動作するIE 7だが、ほかのバージョンも影響を受けるかもしれないとSecuniaは述べている。 Microsoftはこの脆弱性を修正するパッチを提供しておらず、Secuniaは解決策としてアクティブスクリプトを無効にすること
不正エンティティによる XSS 実行 - Tociyuki::Diary
MT-3.2-ja の XSS パッチが公開されたのでざっと目を通して、パラメータをまんまでエラーにエコーバックしているところが修正されているのは当然として、意外だったのは次の場合。試してみると、IE 6、Firefox 1.5.0.7 もスクリプトを実行します。(今回のパッチで対策がおこなわれたものを追加しました。) <a href="javascript:alert('hoge')">既に対策済みのもの</a> <a href="javascript:z=0;alert('hoge')">パッチで対策されたもの</a>う〜む。 ⇒ http://www.sixapart.jp/movabletype/news/2006/09/26-1115.html ⇒ http://jvn.jp/jp/JVN%2368295640/index.html (追記) (以下
RSSのセキュリティはどうなっている？
eWEEK Labsで次世代ブラウザ、OS、コラボレーションツール、その他双方向アプリケーションを評価していると、ある機能が何度も何度も登場する――RSSフィードの統合だ。 RSSの統合は、既に多数の製品でマストな機能になっている。RSSが統合されていないのは、まるでWebをまったく使えないかのようだ。 多くの開発者や企業が大挙してRSSのサポートに走っている理由は理解できる。ブログやポッドキャスティングなどのコアなWeb2.0製品の配信方法として人気があるのに加え、RSSフィードはコンテンツ、ファイル、さらにはアプリケーションと幅広いものを配布する信頼できる手段として大きな可能性を秘めている。 しかしこの1年ほど、多くの人が重要な疑問を投げ掛けるようになってきた。「RSSは安全なのか？」と。 2～3カ月以内に――MicrosoftがInternet Explorer（IE）7とWindo
米MS，ネットワークの境界でWebブラウザを保護する「BrowserShield」を開発
米Microsoftが「BrowserShield」というプロトタイプの防御ツールを開発した。ネットワークの境界部分で動作し，外部から送られてくるWebコンテンツのフィルタリングと書き換えを行うことで，修正パッチの適用されていないWebブラウザを保護する。 Microsoftは現在のプロトタイプ版BrowserShieldを，「Microsoft Internet Security and Acceleration（ISA）Server 2004」用プラグインとして配布している。このプラグイン・パッケージには，クライアントWebブラウザに送信するJavaScriptライブラリが付属する。BrowserShieldはHTMLデータを「安全を確保した等価なコンテンツ」に変換し，同ツール付属のJavaScriptライブラリを利用するよう修正する。 簡単な例を紹介しよう。BrowserShield
隠されていたSQLインジェクション ― ＠IT
星野君は赤坂さんと一緒にお客さんのWebアプリケーションの検査をすることになった。辛うじて「不必要情報」の脆弱性を見つけたものの、赤坂さんは不満げだ。 「だって、これ、ほかにもっと危険な脆弱性あるよ……」。 赤坂さん 「ってことで、今回は50点ってとこかな」 星野君 「うわっ。厳しいですね……。一応脆弱性は見つけたんだからもう少し……」 赤坂さん 「え。だって、これ、ほかにもっと危険な脆弱性あるよ」 星野君 「（ほかにも脆弱性あるっていってもなぁ……）」 赤坂さんに「ほかにもっと危険な脆弱性あるよ」と指摘されたにもかかわらず、星野君にはサッパリ見当が付かなかった。不必要情報（Unnecessary Information）の脆弱性に気付くまでの作業で、一通り思い付くことはやりつくしていた。 そうこうしているうちに時間は過ぎ、結局ほかの脆弱性を見つけられないまま、お客さんと約束した時間になっ
高木浩光＠自宅の日記 - CSRF対策に「ワンタイムトークン」方式を推奨しない理由
水色の四角は画面を表し、白抜き実線枠の四角はボタンを表す。 これを、Webアプリという実装手法を選択する場合に特化すると、図2のような遷移図が描ける。 実線矢印はブラウザが送信するHTTPのrequest（ヘッダおよび、POSTの場合はボディを含む）を表し、黄色の丸がサーバ側での1アクセスの処理を表し、点線がその処理結果を返すHTTPのresponse（ヘッダおよび、HTML）を表す。responseの上の文はHTMLの内容を説明するものである。黄色の丸の中の文は処理内容の説明であり、ここから複数のresponse矢印が出ている場合、処理の結果によって遷移先の画面が異なる場合であることを表し、破線の白抜き四角がその分岐の条件を概説している。 この図で例に用いているのは、ECサイトやblogサービスなどに見られる典型的な「登録個人情報変更」の機能である。「メインメニュー」画面の「登録情報変更
外部から安全に活用するためのLinuxサーバー構築
外部から安全に活用するためのLinuxサーバー構築ガイド 暗号化保護で保護された接続により、外部ネットワークから安全に利用・活用するためのLinux サーバー構築に関する情報を中心に掲載しています。 Web サーバー/ DB 関連 ～ 目次 WEBサービス関連全般。2015.6.19 更新 CMSサイト制作環境の構築（WordPress を例に） New Apache Webサーバ SSLクライアント認証 の導入（CentOS6.x） Webカメラ を使った ライブ映像配信、監視、定点観測システム構築 CalDAV （DAViCAL） によるスケジュール管理 広告配信システム OpenX （Openads/phpAdsNew） （CentOS 4.6） PostgreSQL と phpPgAdmin （PostgreSQL-7.4） 無償で利用できるグループウェア phpGroupWare
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
ソーシャルブックマークユーザーのIDとPASSをいとも簡単に抜き取る手口*ホームページを作る人のネタ帳
www.nutsecurity.com
京都府中小企業技術センター | 当センターは、課題解決に向けた様々な取組みにより、中小企業の成長発展を支援する公設機関です。
Tociyuki::Diary
連載記事 「習うより慣れろ！ iptablesテンプレート集」