安全なPHPアプリケーションの作り方2014神戸ITフェスティバル講演 http://kobe-it-fes.org/kif2014/seminar/entry-197.html
文字コードの脆弱性はこの3年間でどの程度対策されたか?
4. デモ1:半端な先行バイトによるXSS • 半端な先行バイトとは – Shift_JIS、EUC-JP、UTF-8などマルチバイト文字の1 バイト目だけが独立して存在する状態 – 次の文字が、マルチバイト文字の2バイト目以降の文 字として「食われる」状況になる – input要素などの引用符「”」を食わせて、イベントハ ンドラを注入する攻撃 Copyright © 2010-2014 HASH Consulting Corp. 4 5. デモ１：PHPソース <?php session_start(); header('Content-Type: text/html; charset=Shift_JIS'); $p1 = @$_GET['p1']; $p2 = @$_GET['p2']; ?> <body> <form> PHP Version:<?php echo htmlspeci
CGI版PHPに対する魔法少女アパッチマギカ攻撃を観測しました
昨夜に、魔法少女アパッチ☆マギカ攻撃を観測しました。魔法少女アパッチ☆マギカとは、PoCのソースコードに Apache Magica by Kingcope とコメントされていることに由来しています（というか、私がそう訳しましたw）。 これは10月29日にPoCが発表されたPHP-CGI攻撃(CVE-2012-1823)の変種です。従来のPHP-CGI攻撃は、CGI版PHPが動作する環境で、PHPスクリプト（中身はなんでもよい）に対する攻撃でしたが、魔法少女アパッチマギカの方は、/cgi-bin/に置かれたPHP処理系（php-cgiなど）に直接攻撃するものです。 CGI版PHPを設置する方法は複数ありますが、よく使われる方法としてApacheのリダイレクトによりPHPスクリプトをPHP処理系に実行させる方法があります。この場合、/cgi-bin/php-cgiなどとしてPHP処理系を公開
【正誤情報】『体系的に学ぶ 安全なWebアプリケーションの作り方』 | SBクリエイティブ
正誤情報 『体系的に学ぶ 安全なWebアプリケーションの作り方』 このたびは弊社刊『体系的に学ぶ 安全なWebアプリケーションの作り方』をお買い上げいただきまして誠にありがとうございました。 本文中に以下の誤りがありましたことをお詫びするとともに、訂正させていただきます。 ■参考：実習環境のPOP3サーバーに接続できない場合 もし、P.19のメールアカウントの設定を行ってもPOP3サーバーに接続できない場合、仮想マシンから以下のコマンドでDovecotの起動を確認してください。 # /etc/init.d/dovecot start 実行例 上図のように[OK]と表示されればDovecotが起動したことになります。再度POP3サーバーの接続を確認してください。 ■第13刷発行後に見つかったもの ・P225 図4-85 画面内の入力例 ＜誤＞ Bcc: bob@example.com ↓ ＜
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
