Log4jで話題になったWAFの回避/難読化とは何か
はじめに 2021年12月に発見されたLog4jのCVE-2021-44228は、稀に見るレベル、まさに超弩級の脆弱性となっています。今回、私はTwitterを主な足がかりとして情報収集を行いましたが、(英語・日本語どちらにおいても)かなりWAFそのものが話題になっていることに驚きました。ある人は「WAFが早速対応してくれたから安心だ！」と叫び、別の人は「WAFを回避できる難読化の方法が見つかった。WAFは役に立たない！」と主張する。さらにはGitHubに「WAFを回避できるペイロード(攻撃文字列)一覧」がアップロードされ、それについて「Scutumではこのパターンも止まりますか？」と問い合わせが来るなど、かなりWAFでの防御とその回避方法について注目が集まりました。 実はWAFにおいては、「回避(EvasionあるいはBypass)」との戦いは永遠のテーマです。これは今回Log4jの件で
【Oracle Code Oneレポート】Oracleが開発中の仮想マシン「GraalVM」で何ができるか | gihyo.jp
新たな歴史の1ページ～Oracle Code One 2018現地レポート 【Oracle Code Oneレポート】Oracleが開発中の仮想マシン「GraalVM」で何ができるか 2018年10月22日から25日にかけての4日間、米サンフランシスコのMoscone CenterにおいてOracle主催の開発者向けイベント「Oracle Code One 2018」が開催されました。これは、これまでは「JavaOne Conference」として開催されていたイベントの後継となるものです。名称が変更された背景には、対象となる技術の裾野を広げてエンジニア同士のコラボレーションを促進しようという目的があります。多言語対応という時代の流れを取り入れた形と言えます。 Oracle自身、多言語対応の鍵となるさまざま技術を開発していますが、その1つに「GraalVM」があります。これはJava技術を
JavaとC#の命名規約まとめ （JavaプログラマーがC#でプログラムを書いて引っかかったところ その３） - 地平線に行く
よくごっちゃになってしまうので、Java と C# の命名規約をざっとまとめてみました。 種類JavaC#(.NET) クラスPascalPascal インタフェースPascal （例：List）"I" + Pascal （例：IList） パッケージ / ネームスペースCamel （例：java.net）Pascal （例：System.Net） メソッドCamel （例：toString()）Pascal （例：ToString()） ローカル変数CamelCamel メンバ変数Camel （例：Calendar.isTime）Pascal （例：Calendar.IsReadOnly） 定数Snake （例：Integer.MAX_VALUE）Pascal （例：Int32.MaxValue） 列挙定数Snake （例：State.RUNNABLE）Pascal （例：ThreadS
Tomcatのインストール手順(7.0.50)
インストール環境とバージョン 今回、インストールするサーバとTomcatのバージョンは以下のようになります。 名前 バージョン ダウンロード元 ubuntu 10.04.4(64bit) http://releases.ubuntu.com/lucid/ java(jdk) 1.7.0_51 http://www.oracle.com/us/technologies/java/overview/index.html Tomcat 7.0.50 http://tomcat.apache.org/ インストールする前の準備作業 開発パッケージが設置されてない場合は、apt-getでインストールする必要があります。 # apt-get install build-essential curl libcurl3 libpcre3-dev libssl-dev libxml2-dev libbz2-
Grails Diary - Week 15 in 2015 - The Greach Edition
Grails Diary - Week 15 in 2015 - The Greach Edition 15-04-2015 The best news from the busy week, which contained the Greach conference too, is the news that Grails has found a new sponsor! OCI (Object Computing, Inc.) from St. Louis in USA have announced the hiring of Graeme Rocher and Jeff Brown to lead its Grails product team. The St. Louis Post-Dispatch has a full article on the news, and Jeff
Solution for com.jcraft.jsch.JSchException: reject HostKey problem on Ubuntu
test automation, scripting, system administration, etc. Just a random investigation with a workaround. So trying to connect to SFTP server using jsch library, but getting a nasty com.jcraft.jsch.JSchException: reject HostKey exception. This host is already present in ~/.ssh/known_hosts file, so it should not be problem, but it is. It turns out this problem happens if SFTP server is running on Ubun
妻(IT素人)が「15時間でわかるJava集中講座」を読み始めました
パーフェクトJava第2版と同時発売になりましたが、監修をつとめた15時間でわかるJava集中講座を出版しました(技術評論社のページ))。 同時発売になったのは偶然で、本当は「15時間でわかるJava集中講座」のほうが先に発売する予定でした。色々あったのだろうと察してください。 どちらもJavaの本で同時発売ですが、棲み分け可能な本だと思っています。 昨日書いたように、「パーフェクトJava第2版」は、読者として一定の経験者を想定しています。Javaでなくてもいいので、なんらかの命令型言語の経験を想定しています。と言っても、if文とwhile文がなんとなく分かればいい程度ですが。 「15時間でわかるJava集中講座」は、元々、ワークスアプリケーションズ社の新卒研修のコンテンツが元になっている本です。このため、読者にプログラミングの経験を想定していません。 監修者なので客観的な評価ではないで
Credentials storage in Jenkins – thiébaud.fr
Introduction While using Jenkins, I came across the following quirk when modifying a stored credential: It is rare to still find an application returning some information into the password field to the user. A quick Base-64 decoding did not return anything interesting. Time to dig deeper! Files First, let’s check the data directory on the Jenkins instance: ├── credentials.xml ├── secret.key ├── se
SunCertPathBuilderException: unable to find valid certification path to requested target - Mkyong.com
P.S Creadit to users : Charles and Lúthien 2.1 Get InstallCert.java 2.2 Add Trusted Keystore Run InstallCert.java, with your hostname and https port, and press 1 when ask for input. It will add your localhost as a trusted keystore, and generates a file jssecacerts C:\>java InstallCert localhost:8443 Loading KeyStore C:\Program Files\Java\jre6\lib\security\cacerts... Opening connection to localhost
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
miyahira.me