[オープンソース使ったWeb開発編]グローバル変数や循環参照オブジェクトを使ってはいけない
グローバル変数や循環参照オブジェクトをやたらと使ってはいけない。やみくもに使ってしまうと，意図しないバグに悩まされたり，サービスがダウンして夜中に呼び出されたりといった悲しい事態に陥ることになる。 なぜ使ってはいけないのか。 グローバル変数の危険性 グローバル変数とは，名前空間という変数や関数（あるいはメソッド）の名前と実態を，プログラム全体で共有している変数のことだ。特に断りが無い場合は，ソースコード中のどこからでも参照，変更が可能である（図1）。 一方で特定の範囲でしか参照・変更できない変数をローカル変数と呼ぶ。ローカル変数はその特定の領域を超えたり，あるいはどこからも参照されなくなったりすると，自動的に消える変数と考えてよい。これらの違いを前提に考えると，自分の宣言したグローバル変数が自分の意図していない個所で変更されるかもしれないという危険性がある。 例えば，業務で定数のように扱っ
![[オープンソース使ったWeb開発編]グローバル変数や循環参照オブジェクトを使ってはいけない](https://cdn-ak-scissors.b.st-hatena.com/image/square/bed39b5962a5d552c95b6d796db8f55e72d32943/height=288;version=1;width=512/https%3A%2F%2Fxtech.nikkei.com%2Fimages%2Fn%2Fxtech%2F2020%2Fogp_nikkeixtech_hexagon.jpg%3F20220512)
リアルビジネスと融合するOpenID － ＠IT
2009/01/28 ブログやソーシャル系サービスなど、Web2.0的サービスのシングル・サイン・オン技術（SSO）として登場したOpenIDだが、米国をはじめとするグローバルな市場での受容と、日本での受容には大きな違いがあるようだ。1つは、OpenIDの認知度や利用率が日本では突出して高いこと。もう1つは、Webサービス系の連携のフレームワークとしてよりも、インターネットサービスではない“非Web系”の連携ツールとして、OpenIDがリアルビジネスと結びつく形での普及の兆しが見えてきたことだ。 野村総合研究所（NRI）は1月28日にセミナーを開き、日本のID関連ビジネスの動向やOpenIDを使った事例紹介、同社の戦略について説明した。 ネットのデファクト、5億個のOpenID 「利用者への普及という点では、日本は世界的にも突出している」。こう語るのは、自らもOpenIDの仕様策定に加わる
Apacheの安全を確保するための10の対策 - builder by ZDNet Japan
あなたは自分の会社のウェブサイトをサービスするApacheをインストールしたところだとしよう。Apacheはスムーズに動作しており、万が一の場合にもLinuxのセーフティネットが助けになるはずだと思う。ところが、2週間ほど経ったところで、いろいろとおかしなことが起こり始める。なぜだろう。ApacheとLinuxを使っているのに・・・おかしくなることなどあるだろうか？ もちろん、注意を払わなければ、おかしくなることはいくらでもあり得る。Apacheを安全にする方法はあるが、もちろん何もしなければ安全にはならない。以下に示すのは、Apacheをより安全なウェブサーバにするための簡単な10の方法だ。 #1: とにかくアップデート LinuxでApacheを動かしているからと言って、アップデートが不要だということにはならない。常に新しいセキュリティホールやリスクが登場している。あなたは、最新のパッ
携帯業界の認証事情 Part2 - y-kawazの日記
先日の日記で携帯の認証に関しての考察をして、とりあえずキャリア毎のIP制限を行っていれば端末IDやユーザID認証を信用していいのでは無いか？と書いたのだが、更に調べた結果どうも怪しい実態が見えてきたので危険度と合わせて再度纏めてみようと思う。 とりあえず指摘があったので前回のテストに加えて以下を試してみました。 NO uidに指定した値 実際に送信されてくる値 8 %30%31%32%33%34%35%36%37%38%39%61%62*1 1234567890ab うわ弱っ、駄目じゃん。見事にuidの詐称が成功してしまった…。 DoCoMoのユーザIDの信頼性が地に落ちた瞬間です。 2007-03-01追記）DoCoMoスゲー！昨日は確かに上記の方法で詐称できたのに、今日はもう既に対策されとるし(^^; 今、同じことを試すと以下のメッセージが出るのみでした。 IPサイトの記述に誤りがある
Geekなぺーじ：Google Code Searchの危険な使われ方
「Fun With Google Code Search」によると、 Google Code Searchを使って脆弱なソフトウェアを見つけられてしまうそうです。 実際に、Google Code Search経由で発見されてサーバを乗っ取られた事例が「How Hackers Are Using Google To Pwn Your Site」という記事で紹介されています。 ShoeMoneyが乗っ取られた事例では、恐らくWebサーバの設定ミスで.phpファイルの関連付けを行わない状態で、Google Sitemapsに登録してしまったため、Google Code Searchに自作コードが載ってしまい、それを見たクラッカーがサイトを乗っ取ったのであろうと思われます。 バッファオーバーフロー strcpy : strcpy\((\w+,\w+) lang:c sprintf : (sprin
mixiのソースコードが流出してる :: ぼくはまちちゃん！
で、その時、見えていたコードがしっかり出回ってるみたい＞＜ ぼくが(出回っているのを)確認したのは以下だよ！ add_diary.pl check.pl home.pl list_diary.pl list_message.pl show_friend.pl view_bbs.pl view_news.pl うわ…。 これは本当にまずいかもしれないね！ｗｗｗｗｗｗｗｗｗｗｗ
ハッシュ値
ポイント ●あるデータをハッシュ関数を使って計算した結果がハッシュ値である。メッセージ・ダイジェスト，フィンガープリント（指紋）とも呼ばれる ●ハッシュ値は基データのサイズに関わらず固定長になる。長さはアルゴリズムによって異なる ●ハッシュ値は「基データが異なれば，その計算結果であるハッシュ値も異なるのが普通で，同じハッシュ値になることはほとんどない」「ハッシュ値とハッシュ関数がわかっても，基のデータを特定できない」という特徴がある 本連載では，暗号方式に関する話が続いています。今回取り上げる「ハッシュ値」は，厳密に分類すると暗号の仕組みとは異なりますが，暗号方式を学習する時に外すことができない大切な基礎技術です。 ハッシュ値で完全性を確保する 連載の第1回で情報セキュリティの要素を勉強しました。このうちの機密性・完全性・真正性に着目します。 インターネットを介して通信する場合，機密性・完
WASForum Conference 2008 での OpenID のセキュリティについてのスライドを公開します - 日向夏特殊応援部隊
後にも先にもセキュリティがメインテーマの集いでお話する事が無さそうな id:ZIGOROu です。他のスピーカが全員スーツで来る中、一人私服で来ると言う緊張感の無さ*1でしたが、実際は激しく緊張してましたｗ 7/5 Developers DAY – 事件は現場で起こっている……セキュリティライフサイクルとマルプラクティス | Web Application Security Forum - WASForum にて講演したスライドを公開します。 The Security of OpenID Authentication 2.0 (PDF ファイル) 話の内容ですが、 OpenID プロトコルの概要 OpenID のセキュリティ discovery association RP の詐称と return_to, realm nonce の確認 Identifier 再利用問題 Reputatio
Gone Phishing
If you receive a direct message or a direct message email notification that redirects to what looks like Twitter.com—don’t sign in. Look closely at the URL because it could be a scam. What Is Phishing? Wikipedia defines phishing as “the criminally fraudulent process of attempting to acquire sensitive information such as usernames, passwords and credit card details by masquerading as a trustworthy
Memcached Injection
Memcached Injection N T T コ ミ ュ ニ ケ ー シ ョ ン ズ株式会社 IT マネジメントサービス事業部 セキュリティオペレーションセンタ 2008 年 12 月 19 日 Ver. 1.0 SR-20080310 1. 2. 3. 4. 調査概要 .............................................................................................................................. 3 MEMCACHED とは ................................................................................................................
Kazuho@Cybozu Labs: Text::MicroTemplate - テンプレートエンジンのセキュリティと利便性
« MySQL の order by 〜 limit を高速化する方法 | メイン | MySQL Conference & Expo 2009 で Q4M の話をします » 2008年12月16日 Text::MicroTemplate - テンプレートエンジンのセキュリティと利便性 先月開催された Shibuya.pm #10 でプレゼンテーションがあった MENTA や NanoA では、Mojo 由来のテンプレートエンジンを拡張して使用してきたのですが、Perl モジュールとして独立させるべきだよね、ということになり、このたび Text::MicroTemplate として CPAN にアップロードしました。 そのことを告知するとともに、作業の過程で興味深く感じた、テンプレートエンジンのセキュリティと利便性に関する話題をブログに書いておこうと思います。 テンプレートエンジンのエスケ
学生はネット上で気を抜くべからず:Geekなぺーじ
昔から後輩や知らない学生がネット上で色々と撒き散らしているのを見ることがあります。 本人が気づいていないだけである場合もあるので、今回まとめて書いてみる事にしました。 なお、学生であろうが無かろうが気をつけた方が良いと思われるものも含まれます。 何故ネット上で気を抜いてはいけないのか そもそも、何故ネット上で公開する内容に気をつけなければならないのでしょうか？ それは公開することで不利益が生じる可能性があるからです。 高校入試で落ちるかも知れない 最近、茶髪・眉剃りをしていた受験者を高校が落とすという事件がありました。 今回の事件は茶髪・眉剃りが原因でしたが、近い将来「ネット上での言動が高校入試に影響」という事件が発生するだろうと予測しています。 「高校入試、茶髪・眉そりチェックし不合格 神奈川の県立」 就職活動に影響を与えるかも知れない 就職活動に影響を与える恐れがあります。 実名を公開
mixiが招待制廃止、15歳以上から参加可能に--「mixiアプリ」提供も:ニュース - CNET Japan
ミクシィは11月27日、ソーシャルネットワーキングサービス（SNS）「mixi」の利用制限を緩和することを発表した。12月10日からは15歳〜17歳のユーザーもmixiを利用できるようになり、2009年春には招待制を廃止する。またmixi Platformを開放し、12月11日にパートナー向けに「mixiアプリ」のベータ版を提供する。 年齢制限の引き下げにより、これまで18歳未満のユーザーは登録することができなかったが、15歳〜17歳でもmixiを利用可能になった。ミクシィでは、ユーザーサポート体制を強化するほか、青少年のユーザーに、ふさわしくない広告を表示しない、コミュニティ機能と検索機能を使えない、検索結果に表示されないようにするなど、健全性を高めるための施策を実施していくという。また、新規登録時の生年月日登録も必須化する。 登録制導入は2009年春から実施し、従来の招待制も併用してい
スパムメールの収益性が明らかに
文：Adam O'Donnell（Special to ZDNet.com） 翻訳校正：石橋啓一郎 2008-11-12 23:41 カリフォルニア大学サンディエゴ校の研究者が、Stormボットネットによって生成されているスパムメールの投下資本収益率を明らかにした。1通のメッセージに対する応答率は驚くほど低いにも関わらず、この率はスパム業者が収益を上げるには十分なものだった。 2008年のACM Conference on Computer and Communication Securityで、Stefan Savage氏、Vern Paxson氏とそのチームは、スパムメールの換算率、すなわち製品販売における広告効果を計測した結果を示す論文を発表した。同チームは、データの収集にあたり、かなり攻撃的な手法を用いている。同チームはこのために、Stormボットネットの一部を乗っ取り、彼らがコン
重要なお知らせ : 『iモードID』の提供開始について | お知らせ | NTTドコモ
お客様の設定により、お客様情報が「非表示」となっております。お客様情報を表示するにはdアカウントでログインしてください。 お客様情報表示についてへ お客様情報表示についてへ 平素はNTTドコモグループ（以下、ドコモ）のサービス・商品をご利用いただき、誠にありがとうございます。 ドコモは、お客様の利便性・満足の向上と、「iモード®」対応サイトの機能拡充を図るため、iモード上で閲覧可能な全てのサイトへの提供を可能としたユーザID『iモードID』（以下、iモードID）機能を提供いたします。 iモード対応サイトは、約4,800万のお客様のニーズを反映して多様化しております。また、iメニューサイトの枠に捉われずビジネスを展開する一般サイトも膨大な数にのぼっており、iモードのWebアクセスのうち約6割強が一般サイトへのアクセスとなっております。 一般サイトを含む全てのiモード対応サイトにおけるお客様ご
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
IPA セキュア・プログラミング講座
http://wordpress.rauru-block.org/index.php/1846
ケータイ利用のオークション、安全面にやや不安（＋D Mobile） - Yahoo!ニュース
米McAfee、携帯電話をマルウェアから守るための8つの注意点
民間主導で「安心ネットづくり」、携帯3社はじめ産学で協議会