Evernote XSS事件のエクスプロイトとその対策過程と顛末 | uuu
Evernoteに任意のHTMLを注入できる脆弱性がありました。 http://togetter.com/li/125281 Evernoteのセキュリティポリシーとかには触れず、とりあえず何が可能だったのか、どういう状況だったのかを書きます。 4/18 16時ごろ Evernoteの登録ページのHTMLに以下のような記述があります。 <script type="text/javascript"> $(document).ready(function() { suggestedTags = []; suggestedNotebook = ""; sourceUrl = ""; providerName = ""; payload = { "user" : { ... }, ..後略.. </script> このsourceUrl = ""の部分、https://www.evernote.c
Evernote の XSS 脆弱性に関して mala 氏のつぶやき
要するに、解決されるまではログアウトしとけということだそうデス。 【2011/04/20 12:20 追記】ひゃっはー的なおまけを追加しました。 【2011/04/20 00:30 追記】多分これで最後。以降は Evernote の正式発表を待った上で、それを信用して利用するかどうかは各個人の判断にお任せします。 【2011/04/19 17:05 追記】午後の部追記。なお、エントリを起こされている方がおりましたのでご紹介。＞『bulkneets氏によって報告されたEvernoteのXSS脆弱性とは 危険と対策』( http://d.hatena.ne.jp/pichikupachiku/20110419/1303158373 ) 続きを読む
UNIX系OSのサーバに対するイタズラ集 - yuyarinの日記
随時追加 ターミナルを立ち上げたまま席を離れるとマシンにイタズラされることがよくある．とはいえシャレにならないイタズラはしても笑えないので，基本的には教育的に効果があって被害の出ないものしか実際にはしない． じゃあ，たとえ root じゃなくてもどこまでえげつないことができるのか*1，今回はちょっと考えてみたユーザ権限でできる酷いイタズラを紹介する．対象はリモートログインする UNIX 系 OS を利用しているサーバ，主に Ubuntu である． ls が sl 方法 alias ls=sl sl を期待したという意見が多かったので掲載．掲載しなかったのは sl がインストールされていない環境が多く，インストールには root 権限が必要になるから．後述のバイナリを持ち込んでパスを通す方法を使えばできないことはないかも． エディターが全部 ed 方法 alias nano=ed alias
» セキュアなサーバを作るために最低限やっておくこと: エスキュービズム ラボ Blog
Recent Entries セキュアなサーバを作るために最低限やっておくこと Yahooキーワード抽出APIライブラリ テスト駆動開発 （test driven development: TDD） のすすめ GoogleAnalyticsAPI on EC-CUBE 土日で作るコンパイラ OPEN ERPに挑戦３ OPEN ERPに挑戦２ OPEN ERPに挑戦 ERPはたくさんあれど・・・ OpenGLで3D、やってみよう Recent Comments No Responses. Recent Trackbacks テスト駆動開発 （test driven development: TDD） のすすめ 06/11 » Yahooキーワード抽出... みなさんはサーバを管理するときに、何を一番気にしますか？ 人によって程度の差はあるのでしょうが、誰もが気になるのが「セキュリティ」でしょ
Winnyウィルス制作者逮捕の経過、背景、問題点 - P2Pとかその辺のお話@はてな
Winnyウィルスの制作者と他２名の逮捕が話題に挙がっているけれども、その情報は各報道ごとにさまざまに異なっているため、とりあえず一旦纏めることにした。特にウィルス制作者の逮捕を中心に、これまでの経過、背景、その問題点について述べる。 2008年1月24日、京都府警生活経済課ハイテク犯罪対策室と五条署はWinnyを通じて、著作権者の許諾なくアニメを送信可能状態に置いたとして、大阪府の大学院生（24）、会社員（39）、兵庫県の無職（35）（いずれも男性）を、著作権法違反（公衆送信権侵害）で逮捕した。 ウィルス内画像の無断使用が著作権侵害 このうち大学院生は、２００７年１１月２８日、Winnyを通じて、ポニーキャニオン他３社が著作権を有する「CLANNAD−クラナド−」の画像を表示させる原田ウィルスの亜種をばら撒いていたという。 大学院生は「ウィルスを作ったのは僕です。クラナドを使ったのは、話
原理から学ぶネットワーク・セキュリティ---目次
企業からの個人情報漏えいや，偽造されたWebページを使った詐欺事件などが珍しくなくなっています。個人情報保護法や，不正アクセス禁止法などセキュリティに関する法律も整備されてきました。しかし，法律でコンピュータ・セキュリティが保護されたと安心しているユーザーはほとんどいないでしょう。ネットワークを使って安心して買い物や銀行取引をするには，法律のみならず，技術についての理解が欠かせません。 セキュリティに関する技術というと，SELinuxやファイアウオールの設定，SSHやIPsecなどのプロトコルのことを思い浮かべる人も多いかもしれません。また，セキュリティに関するさまざまな技術について断片的には理解しているが，それがどういう目的でどういう役目を果たしているのかを頭の中で整理できていない人もいるのではないでしょうか。 そこで本連載は，セキュリティの基本技術である暗号化技術やPKI（公開鍵暗号方
opera
「脆弱性の件数はIEよりFirefoxの方が多い」としたMicrosoftセキュリティ責任者の報告書に、Mozilla側がかみついた。 IEとFirefox、どちらが安全？ セキュリティ担当者がブログで火花 - ITmedia エンタープライズ secunia.comによる調査結果 じゃあ、ちょっとセキュリティ専門サイトでの調査結果を並べてみようか。 ブラウザ名 未修正 発見済 参照URL Internet Explorer 7.x 7 19 http://secunia.com/product/12366/ Internet Explorer 6.x 21 121 http://secunia.com/product/11/ Firefox 2.0.x 4 18 http://secunia.com/product/12434/ Firefox 1.x 4 45 http://secun
4-2. Perl の危険な関数
Perlには他のプログラムを起動したり，文字列で与えられた式を実行時に解釈実行する機能を持つ関数が用意されている。こうした関数に与える引数は，十分に吟味しないと，悪用されて意図しないコマンドを実行させられる。 Perlには外部プログラムとの連携機能が複数組み込まれている。Perlは連携機能を実現するため内部的にUnixシェルを起動する（注１）。そのため連携機能をユーザ入力データなどの外部から与えられるデータと組み合わせて使用する場合，外部からシェルコマンドを混入され実行されてしまう可能性がある。次の関数はこのような問題につながる注意すべき関数や構文である。 open system, exec, ``(backticks) <>(fileglob)，glob C言語などのコンパイル系言語と異なりPerlはスクリプト系言語である。Perlは実行時にプログラムを解釈して実行する。eval
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
Twitterのハッカーとのコンタクトに成功―攻撃手口の詳細が判明した
Studying HTTP
dfltweb1.onamae.com – このドメインはお名前.comで取得されています。
あなたのWordｐｒｅｓｓ（ワードプレス）をより安全に作るための6つの方法*ホームページを作る人のネタ帳