SharedArrayBuffer と過渡期な cross-origin isolation の話
2021/12/26: Safari も 15.2 から COOP/COEP を使って SharedArrayBuffer が利用できるようになったので、該当箇所の表記を変更しました。 長い記事なので先に結論を書きます。 Chrome、Firefox および Safari で SharedArrayBuffer や高精細タイマーが使えるようになりました。そのためには cross-origin isolation という状態を有効にするのですが、親となる HTML ドキュメントに下記 2 つのヘッダーを送ります。 Cross-Origin-Embedder-Policy: require-corp Cross-Origin-Opener-Policy: same-origin ただ、これを有効にするには様々な条件と制約が存在し、現段階では多くのサイトは苦戦するでしょう。とりあえず従来通り C
Spectre の脅威とウェブサイトが設定すべきヘッダーについて
長い記事なので先に結論を書きます。 Spectre の登場で、ウェブサイトに必要とされるセキュリティ要件は増えました。具体的に必要な対策は下記の通りです。 すべてのリソースは Cross-Origin-Resource-Policy ヘッダーを使って cross-origin なドキュメントへの読み込みを制御する。 HTML ドキュメントには X-Frame-Options ヘッダーもしくは Content-Security-Policy (CSP) ヘッダーの frame-ancestors ディレクティブを追加して、cross-origin なページへの iframe による埋め込みを制御する。 HTML ドキュメントには Cross-Origin-Opener-Policy ヘッダーを追加して popup ウィンドウとして開かれた場合の cross-origin なページとのコミュニ
第三者中継をチェックする | FoxTrot
メールサーバーの第三者中継チェック メールサーバーを自分で作らなくても、信頼性の高いメールサーバーを安価に持つことが出来る時代となってきているので、ほとんどのユーザーは、gmailであるとか、携帯のキャリアメールを使うことが多いが、本、サイトで扱っているような、sendmailやpostfixをお手軽に構築しようとするユーザーの場合、やはり第三者中継は簡単にチェックしたいものである。 以下のサイトは、この記事を書いている時点では閉鎖されていないので適宜使うことが出来る。 Online SMTP diagnostics tool – MxToolbox Open relay SMTP test 詳細なチェックが出来る「Online SMTP diagnostics tool – MxToolbox」がオススメだが、簡単に不正中継チェックだけを行ないたい場合には、後者のサイトでも良いと思う。
CVE-2018-6389 WordPressにDoSの脆弱性があるとされる情報とその対処方法について – Capital P – WordPressメディア
海外のサイト及び日本のいくつかのサイトでも取り上げられていますが、WordPress本体にDoSの脆弱性がある（ところで「DoSの脆弱性ってなんか違和感あるんですがどういう言い方が正しいの？笑）との情報が流れております。 日本語での情報は以下が詳しいですね。 http://knqyf263.hatenablog.com/entry/2018/02/07/103705 先に書いておきますが個人的には慌てるような内容ではないと思っています。ためしに僕の個人のブログではほっときます。ｗ 脆弱性の概要 WordPressの管理画面では膨大な数のCSSやJavaScriptファイルを使用しており、これらのTCP接続のオーバーヘッド等をおさえるために wp-admin/load-(scripts|styles).php というURLでひとまとめにして出力するようにしています。 これは引数に渡された j
Website Malware Scanner | Online Website Virus and Malware Scanner
Cybercriminal work around the clock to figure out new ways of getting into your computer system. Many people have installed antivirus software to prevent system corruption. However, with the rise of malware attacks, antivirus software may not be enough. Businesses and institutions have suffered crippling malware attacks over the years. Cybercriminals use new ploys such as new extensions to capital
危険なWordPressプラグインの作り方 - Qiita
WordBench東京 3月勉強会「WordPress プラグイン祭り」の発表資料です。 WordPressプラグインの脆弱性の分類 〜Sucuriブログからの抜粋を添えて SQLインジェクション $wpdb の間違った使い方により発生。外部からデータベースから自由に情報が取り出せたり、変更できたり 結果、ログインパスワードのハッシュが窃取されるなどの被害が起こる NextGEN Gallery for WordPress Ninja Forms クロスサイトスクリプティング Javascript を含んだ文字列が画面に表示されてしまうバグ。ログイン中の管理者のブラウザをJavascriptで操って不正な操作を行わせたり、Cookie情報を盗んだり JetPack bbPress Akismet WP-Super-Cache バックドア やりたい放題(ノ´∀｀)ノ ファイル作成処理の不備に
WordPress 4.7/4.7.1 の Content Injection の脆弱性を確認する - 社会人から始めるペネトレーションテスト
先日、WordPress 4.7 および 4.7.1 における Content Injection の脆弱性が世間を騒がせました。脆弱性が「すでに存在する投稿を上書きする」という内容であるため、脆弱性診断士としてはお客様の環境に試すことが憚られる脆弱性です。しかし、検証を実施した結果、この脆弱性は投稿を実際に上書きをしなくても検出できることがわかりました。そこで今回の投稿では、これから脆弱性診断士を目指す人のことを意識して、この脆弱性の検出手法の解説を通じて「脆弱性診断士として気をつけなければならないこと」や「脆弱性を確認する手法の作成手順」がざっくり伝えられればと考えております。 どういう脆弱性なの？ WordPress 4.7 系から導入された REST API という機能に不備があり、WordPress で作成された Web サイトに投稿されている内容を上書きできるという脆弱性です。
sendmail の設定
多くのディストリビューションでは, sendmail がインストールされているようですのですぐに使い始めることが出来ます. インストールされているかどうかは以下のコマンドで確認できます. (Redhat 系の場合) # rpm -qa | grep -i sendmail sendmail-8.11.0-8 (Debian の場合) # dpkg -l | grep -i sendmail sendmail-8.11.0-8 しかし, sendmail を利用するには設定ファイルを編集する必要があります. sendmail の設定ファイルは /etc/sendmail.cf ですが, このファイルは sendmail がインストールされている場合は既に存在していることかと思います. ただし, このファイルを編集するにはある程度, 知識が必要で難しいものですので, 比較的簡単に sendma
sendmail.cf
最近の sendmail は、ずいぶんとセキュリティーが強化され、CF を利用することで設定も楽になってきました。とはいっても、後発の qmail 等に比べるとまだまだ面倒な設定ファイルである sendmai.cf と格闘しなくてはなりません。そこで、何処をどうすればどんな設定ができるかまとめてみます。 なるべく新しい sendmail を導入 なるべく、セキュリティーが強化されていてバグの少ない sendmail 8.9.3 の利用をお勧めします。 sendmail 8.10 は、alias 関連などセキュリティーがさらに強化されいますがこの記事を記述した段階ではβ版なので、利用する際は注意してください。 コンパイルはさほど難しくないので、 http://www.sendmail.org/ からソースをダウンロードしてコンパイル/インストールしてください。 sendmail に付
メール不正中継対策 | 法人向けOCN
事業共創プログラム OPEN HUB for Smart World 未来をひらく「コンセプトと社会実装」の実験場 OPEN HUB for Smart Worldは、社会課題を解決し、わたしたちが豊かで幸せになる未来を実現するための新たなコンセプトを創り、社会実装を目指す事業共創の場です
iOSのWKWebViewでURLを扱う際に注意すべき脆弱性
サイバーセキュリティエンジニアリング部の西村です。先日、PacSec 2016というセキュリティカンファレンスでiOS版Firefoxの脆弱性に関する講演をしてきました。 iOS版FirefoxはWebページの表示にiOSのWKWebViewを使用しており、講演の中で紹介した脆弱性はいずれもWKWebViewを利用するiOSアプリで発生しうるものです。この記事では、iOS版Firefoxの脆弱性事例を元に、WKWebViewでURLを取り扱う際に注意すべきポイントを紹介します。 URLのuserinfoフィールドを考慮する WKWebViewでは、urlというプロパティを用いて、現在表示しているWebページのURLを取得できます。しかし、urlプロパティの値を表示するとき、注意すべき点があります。それは、URLのuserinfoというフィールドです。 URLの仕様を定めるRFC 3986で
WordPressセキュリティ対策強化の基本 | レンタルサーバーのCPIスタッフブログ
オープンソースCMSのWordPressを利用するときに一番気になるのが、セキュリティ対策についてではないでしょうか。 近年WordPressを狙ったハッキングが増えてきていますので、しっかりとセキュリティ対策を実施し、皆様のウェブサイトを守ってください。 2016年Q3のハッキング状況 「Hacked Website Report – 2016/Q3」の調査によると、2016年Q3にハッキングされたCMS8,000サイトのうち、WordPressが74%、Joomla!が17%、Magentoが6%でした。 （調査結果及び、画像引用：Hacked Website Report – 2016/Q3） 2017年のハッキング状況 「Hacked Website Report 2017」の調査によると、2017年に34,371件の感染したウェブサイトを調査した結果、WordPressが83%、
Dockerでホストを乗っ取られた - Qiita
注意 本件記事ですが、私の不適切な行動（拾ったスクリプトを検証なく走らせる）が原因です。「dockerは（特に何もしなくとも）危険」との誤解を皆様に与えた点、ご迷惑をおかけいたしました。申し訳ございません。 拡散されている記事を削除するのはさらなる誤解を招きかねないと思いましたので、冒頭に注意を付記しております。以下の記事は、「自分が何してるかをきちんと検証できないとセキュリティホールを生み出す」という意味で参考にして頂ければ幸いです。 追記 Twitterやはてブで言及いただきました皆様、ありがとうございます。 本件はpullしてきたイメージが悪意ある開発者によるものかどうかにかぎらず、不適切な設定をしていると起こり得ます。 ※コメント欄に質問への回答という形で、私がそのときに走らせていたイメージの一覧を挙げておりますが、どのイメージも評判あるものだと思います。 皆様におかれましては「あ
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
第三者不正中継チェックサイトメモ 2017 | 優技録
WordPress Hacked? 17+7 Ways To Protect (And Fix) A Website
WordPressのセキュリティ対策 xmlrpc.phpとwp-cron.phpの無効化 | モバイル・スマホWeb・WordPressのSEO塾.com
セキュリティ研究所 | WebセキュリティのEGセキュアソリューションズ
ＳＰＡＭメール
http://www.tcp-ip.or.jp/~ikken/intra/mail_cf.txt
sendmail-8.9.3+sun の設定