徳丸浩の日記: ECサイトからクレジットカード情報を盗み出す新たな手口
エグゼクティブサマリ 聖教新聞社が運営する通販サイト「SOKAオンラインストア」から2,481件のクレジットカード情報が漏洩した。リリースによると、漏洩に使われた手口は従来とは異なるもので、改正割賦販売法の実務上のガイドラインである「クレジットカード情報非保持化」では対策できないものであった。 はじめに 今年の9月4日に聖教新聞社の通販サイトSOKAオンラインストアからクレジットカード情報漏洩の可能性がリリースされました。以下は聖教新聞社から運営委託されているトランスコスモス株式会社のリリースです。 「ＳＯＫＡオンラインストア」の件 このたび、弊社が聖教新聞社様より運営を委託されている「ＳＯＫＡオンラインストア」において、クレジットカード情報を入力して商品をご注文いただいた一部のお客さまのクレジットカード情報が、第三者によって不正に取得された可能性があることが発覚い たしました。 http
OWASP ZAPで脆弱性診断 設定編
インストール 前章でインストール編を紹介しました。 インストールがまだの方は前章を参考にしてください。 また、診断用のブラウザとしてFireFoxをインストールしました。 本章ではOWASP ZAP + FireFoxの設定をしていきます。 OWASP ZAPの設定 ポートの設定 OWASP ZAPが待ち受けるポート番号を設定します。 ヘッダメニューのツールをクリック。 ツールクリック後、オプションをクリックすると以下の画面が表示されます。 Local ProxiesをクリックしてAdressと、ポートを設定します。 ※ポートは他サービスと被らない番号にします。 設定したらOKで適応も忘れずに。 CA証明書の発行 なぜ証明書？と思うかもしれません。 診断するサイトがHTTPであればスルーしてください。 OWASP ZAPをローカルプロキシとして使用して、HTTPSでアクセスするためには、O
OWASP ZAP 2.4 のデータ保存について
もうすぐリリースされる OWASP ZAP 2.4 では、起動時に以下のダイアログが表示されます。 ZAP起動時に表示されるダイアログこれは ZAPを使用することで溜まっていくデータをどこにどういう名前で保存するか聞いているのですが、2.3までの挙動で問題なかった人は「No, I do not want to persist this session at this moment in time」を選択し、「Remember my choice and do not ask me again.」にチェックを入れておきましょう。これで 2.3 の時と同じ動作になります。また、これ以外の選択肢については知らなくても特に問題なさそうです。 以下、もう少し知りたい人向けに解説を書いておきます。 概要OWASP ZAP 2.4 ではデータファイルの名前・保存先の指定方法にいくつかのバリエーションが加
OWASP ZAPというWebアプリの脆弱性診断ツールの使い方（入門編）
今回は、フリーのWebアプリケーションの脆弱性診断ツールであるOWASP ZAPの使い方について説明します。 XSS(クロスサイトスクリプティング)やSQLインジェクションといったテストならわりと簡単に診断できます。 実行環境はWindows 10 です。 脆弱性診断というのは、実際には攻撃を仕掛けることなので、管理外のサイトを診断することはやめましょう。 OWASP ZAPのインストール Javaのダウンロード・インストール OWASP ZAPを起動するためにJava1.8以上が必要となりますので、最新版であるJava1.9をダウンロードします。 ※すでに1.8以上のJavaがインストールされていれば不要です。 Java SE Runtime Environment 9のダウンロード 「Accept License Agreement」をチェックし、お使いのPCのOSとbit数を選びます
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
Burp Suite - Application Security Testing Software
Testing Checklist - OWASP
http://htmlpurifier.org/