【HTTPヘッダインジェクション】の仕組みと対策のまとめ記事
Webサイトの管理者であれば、自分（自社）のサイトの脆弱性を取り除いておく事が必要になります。 特に、代表的なハッキング手法である「クロスサイトスクリプティング（XSS）」や「SQLインジェクション」対策をしておくことは必須でしょう。 また、今回紹介する「HTTPヘッダインジェクション」も、有名なハッキング手法になりますので、ぜひ対策をしておいてください。 今回の記事では、この「HTTPヘッダインジェクション」の仕組みや、対策について順に解説していきます。 以下、目次になります。 「HTTPヘッダインジェクション」の仕組み 「HTTPヘッダインジェクション」の対策 「HTTPヘッダインジェクション」の仕組み HTTPヘッダインジェクションを理解するためには、まずHTTPの仕組みや、HTTPを利用した通信手順を理解していなければなりません。こちらは、下記で解説しています。 http（通信プロ
ファイルを直接開くのを禁止してセキュリティ向上 (X-Download-Options) - 理系学生日記
MIME-sniffing IE には、セキュリティを劣化させるとして悪名高い MIME-sniffing という機能があって、サーバがどんなにこのファイルはテキストファイルだよ!! (content-type: text/plain) とブラウザに教えても、そのテキストファイルに HTML の要素があると HTML と解釈してしまう場合があったりします。 そして、これを防ぐには HTTP のレスポンスヘッダに X-Content-Type-Options: nosniff を付けることが定石とされています。このヘッダを加えると、IE は MIME-sniffping を実施しなくなります。 MIME-Handling 上述の MIME-sniffing は良く知られた振舞いだと思うんですが、今日ぼくが知ったのは「ブラウザで直接ファイルを開かないようにすることで、セキュリティを向上させる」
LWSとHTTPヘッダインジェクション | 技術者ブログ | 三井物産セキュアディレクション株式会社
今回のトピックは「HTTPヘッダインジェクション」です。 HTTPヘッダインジェクションは、リクエストパラメータの操作等により、HTTPのレスポンスヘッダに改行文字（CR,LF）を挿入し、ヘッダフィールドを追加したり、ボディを操作したり、新たな偽のHTTPレスポンスを作り出したりする（HTTPレスポンス分割）攻撃、あるいは脆弱性です。 状況にもよりますが、この脆弱性は、被害者のブラウザにおいて、脆弱性のあるページのオリジンで不正なJavaScriptを実行する攻撃につながりえます。つまり被害としては、クロスサイトスクリプティングと同様になりうるということになります。 この脆弱性は古くから知られており、近年は特に目新しいトピックもなかったのですが、2014〜2015年に状況の変化があったので、今回取り上げてみたいと思います。 タイトルにあるように、本記事の主なテーマは「LWS」とHTTPヘッ
CT対応を示すExpect-CTヘッダとは - ASnoKaze blog
追記 2021/11/15 Expect-CTヘッダの役割は、CTの利用が必須となり不要となる方向です asnokaze.hatenablog.com Certificate Transparency Certificate Transparencyと呼ばれる、不正な証明書の発行を検知する仕組みがGoogle社によって考案され、RFC 6962として標準化されています。もちろん、Google Chromeもこの機能に対応しており、ログサーバーにSigned Certificate Timestamp(SCT)を検証し、正しく発行された証明書なのかを検証します。 詳しい仕組みについては、各社CAの説明を読むとわかりやすいかと思います。 CertificateTransparency（証明書の透明性）とは - Symantec Certificate Transparency（証明書の透明性）
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
処理を実行中です
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
What Is MIME Sniffing? - KeyCDN Support
OCSP Expect-Staple
A new security header: Expect-CT
