はてなブックマーク

Deleted articles cannot be recovered. Draft of this article would be also deleted. Are you sure you want to delete this article? ロシアのセキュリティ会社が企業の公式メルマガを狙ったフィッシングメール・キャンペーンの事例を報告しました。 The international companies official newsletters are used to steal money from bank accounts とても単純な手口ですが意外と多くのサイトで見落とされているのではないかと思ったのでご紹介します。 フィッシングメールの現況 本題に入る前に少しだけフィッシングメールの現況について触れておきます。ここではトレンドマイクロ社が公開している資料を参考にして

近年Swooleに関する記事を見かける機会も増えてきました。LaravelやSymfonyといったフレームワークでもSwoole拡張のためのパッケージが登場しています。これらのフレームワークを利用すればSwooleのことをあまり知らなくてもアプリケーションを構築できるでしょう。しかし、Swooleについての基礎知識がないまま構築してしまうと、本番リリース後に予期せぬ問題を抱え込んでしまうかもしれません。 そこで本記事ではSwooleの基礎の基礎についてまとめてみたいと思います。 Swooleとは Swooleを知らない方のために、まずはSwooleについて簡単に紹介します。 SwooleはC/C++で作られたPHP拡張モジュールで、スケーラブルなネットワークアプリケーションを構築するために設計された非同期・イベント駆動モデルのフレームワークです。複数の通信プロトコルを備えたネットワークサー

Deleted articles cannot be recovered. Draft of this article would be also deleted. Are you sure you want to delete this article?

以前WordPressの脆弱性ケーススタディをご紹介しました。 Webアプリケーションの脆弱性ケーススタディ（WordPress編） 今回もWebアプリケーションのセキュリティを学ぶために、WordPressで実際にあった脆弱性をいくつかご紹介したいと思います。 XML External Entity (XXE) Processing CWE-611によると、XML External Entity (XXE) は以下のように記載されています。 XML documents optionally contain a Document Type Definition (DTD), which, among other features, enables the definition of XML entities. It is possible to define an entity by pr

[追記]2024年版を作成しました。 https://qiita.com/prograti/items/8eea5d60056f6df0d160 Kali Linux Tools Listingに記載されているツールの中から実際に動作確認したもの（全体の2割程度）を簡単にご紹介します。 なお、ツールをご利用の際は法律に抵触しないようご注意ください。 不正アクセス行為の禁止等に関する法律の解説(警察庁) いわゆるコンピュータ・ウイルスに関する罪について(法務省) acccheck Information Gathering, Password Attacks ユーザ名とパスワードの辞書を使ってSMB経由のブルートフォースアタックを行います。 # 辞書ファイルを使ってブルートフォースアタックを行う root@kali:~# acccheck -t 192.168.10.10 -U /usr/s

はじめに（Headless CMSとは） Headless CMSを一言で説明すると「コンテンツを表示する機能を持たず、APIでコンテンツの配信を行うCMS」になります。従来のCMSはコンテンツを管理するバックエンドの機能とコンテンツを表示するフロントエンドの機能が一体となっていますが、Headless CMSでは画面テンプレートのようなフロントエンドの機能を持っていません。従来のCMSをCoupled（一体型） CMSと呼ぶのに対して、Headless CMSをDecoupled（分離型） CMSと呼ぶ場合もあります。 従来のCMSはサイトの枠組みが出来上がった状態から構築を行うことができるため誰でも素早く簡単にサイトを立ち上げることができます。一方でCMSの枠組みに縛られるため自由自在にサイトを構築するという訳にはいきません。 一方、Headless CMSはサイトを構築するための機能

キャンペーン PPC広告やメール、ソーシャルメディアなどのマーケティングキャンペーンで集客したユーザーのトランザクション数や収益、平均注文額を表します。キャンペーンを計測するにはキャンペーン パラメータ（utm_source、utm_medium、utm_campaign など）付きのURLを使用する必要があります。 サイト内プロモーション 自サイト内に設置するプロモーションバナーやLPといったクリエイティブの表示回数を表します。 オーダークーポンコード お買い物金額から1000円OFFといったトランザクション全体に適用するクーポンのことを表します。Googleアナリティクスではトランザクション全体に適用するオーダークーポン以外に、商品ごとに適用する商品クーポンのデータも計測することができます。 アフィリエーション トランザクションの発生源となったショップまたは提携サイトを表します。もし提

Deleted articles cannot be recovered. Draft of this article would be also deleted. Are you sure you want to delete this article?

はじめに 過去にWordPressの脆弱性に関するケーススタディをご紹介しました。 Webアプリケーションの脆弱性ケーススタディ（WordPress編） Webアプリケーションの脆弱性ケーススタディ（WordPress編その２） 今回はWordPressのセキュリティ対策を行う上で大切な基本事項をまとめてみたいと思います（本記事はWordPress 4.9.4をもとに書いております。古いバージョンと異なる部分があるかもしれませんので予めご了承ください）。 WordPress本体およびプラグインやテーマのアップデートを行う WordPress3.7以降では初期状態でマイナーバージョンの自動アップデートが有効になっています（1日に2回WP-Cronイベントで更新チェックが行われます）。つまり、バグフィックスやセキュリティパッチなどは自動的に適用されているわけですが、WordPressサポートチ

過去にWordPressを題材にしていろいろな脆弱性のケーススタディを取り上げました。 Webアプリケーションの脆弱性ケーススタディ（WordPress編） Webアプリケーションの脆弱性ケーススタディ（WordPress編その２） 今回は、ReDoS（Regular Expressions DoS）について取り上げてみたいと思います。ReDoSとはOWASPによると以下のように記載されています。 The Regular expression Denial of Service (ReDoS) is a Denial of Service attack, that exploits the fact that most Regular Expression implementations may reach extreme situations that cause them to wor

CMSの世界で圧倒的なシェアを誇る「WordPress」。個人ブログから企業サイトまで幅広い用途で利用され、そのシェアは約60%にまで達すると言われています。最近では米国のホワイトハウスのサイトがDrupalからWordPressに移行したことでも話題になりました。 それだけ多くのサイトで使われている故にハッカーの標的になりやすく、セキュリティリリースもたびたび行われています。普段はあまり気にせずに管理画面の更新ボタンを押すだけかもしれませんが、どのような脆弱性があり、どのような対応が行われたのかを詳しく知ることは、Webアプリケーションのセキュリティを学ぶ上で有意義なことだと思います。 そこで、この記事ではWordPressの脆弱性のケーススタディを5つ取り上げてみたいと思います。なお、ここで取り上げるケースは世にある脆弱性事例の極々一部ですので、IPAの資料をまだ読んだことがないという

{ "dataStudio": { "name": "Qiita Connector", "logoUrl": "https://ロゴのURL", "company": "コネクタの作者", "companyUrl": "https://コネクタの作者のURL", "addonUrl": "https://コネクタの詳細に関するURL", "supportUrl": "https://コネクタのサポート窓口のURL", "description": "Connect to your Qiita account" } } マニフェスト ファイルに記載した内容が以下のようにData Studioのコネクタの画面に反映されます。 ###事前準備３．Client IDとClient Secretを発行する OAuthを利用するためにはClient IDとClient Secretが必要です。Qii

WebサービスやECサイトの運用にトラブルは付き物です。ケアレスミスがサイトのトラフィックやコンバージョンに大きな影響を与えることも少なくありません。数値のチェックをマーケター任せにせず、エンジニアサイドも協力しながら情報共有することがトラブルの早期発見につながり、被害を最小限に食い止めることにつながります。 New Relicのような監視ツールを導入できれば良いのですが、予算の面だったりクライアント案件だと難しいというケースも多いでしょう。そこで今回は、GoogleアナリティクスのデータをGoogle Data Studio（無料）を使って、テクニカル レポート風にまとめてみたいと思います。 Google Data Studioとは Google Data Studioとは、統合マーケティングツール「Google Analytics 360 suite」製品シリーズの一つ「Google