サイト脆弱性をチェックしよう！--第6回：SQLインジェクションの検査方法
印刷する メールで送る テキスト HTML 電子書籍 PDF ダウンロード テキスト 電子書籍 PDF クリップした記事をMyページから読むことができます 前回は、クロスサイトスクリプティング（XSS）について説明したが、今回はXSSと並び、話題となっているSQLインジェクションについて説明する。 2年前に立て続けにSQLインジェクションの脆弱性を攻撃された事件が発生したため、この言葉を聞いたことがある人は多いことだろう。それ以前は、SQLインジェクションの脆弱性を攻撃するには、SQLやプログラミングの知識が必要とされていた。 しかし、ちょうど3年ほど前に、SQLインジェクションの脆弱性を攻撃するためのツールが作成されたため、このツールさえ使えれば、誰でも簡単にアプリケーションを攻撃することができるようになった。その結果、2年前よりSQLインジェクションを利用した情報漏えいがたびたび発生す
hackme Lv4を攻略（ネタバレあり） - わーくあうと！
先日ハマったhackmeでLv4クリアしたので解き方をメモしておきます。（Lv1から3はこちら）ネタバレするので自力で解きたい人はこれ以上読まないでください。 もう色々な所でネタバレしちゃってますが、いわゆるXSS攻撃ってやつです。ユーザーが入力した文言がそのまま表示される掲示板などでちゃんとエスケープしないとスクリプト埋め込まれたりするやつです。 ポイントはログイン失敗後、直近5件のログイン履歴がUA付きで表示されるってこと。 流れとしては、UA偽装してわざとログインに失敗してhtmlを改ざん。そして次にログインしてきた人のセッションを自分の用意したプログラムに送って盗むといった感じです。 でも自分でわざわざプログラム作ったりとかはしなくておｋです。（それがなんか腑に落ちなかった…） 偽装するUAには↓のものを入れました。 </li><script>document.location="
hackmeを攻略（ネタバレあり） - わーくあうと！
はてブのホッテントリにhackme（http://hackme.netfire.jp/）っていうのがあったのでなんとなくやってみたらハマってしまった。明日も仕事なのに〜 というわけで現在まででわかったことをメモ。ネタバレ（解き方？）含むので普通に楽しみたい人は見ないでください。 Level1 これは普通にソースを見れば書いてあるので説明不要。 Level2 これはSQLインジェクション。こことかにもう答えでちゃってる。 ちなみにIDはadminでパスは【' OR 1=1--】とかで。 Level3 これはいわゆるディレクトリトラバーサル攻撃というものっぽい。URLのpage=のあとに【../etc/passwd】と【../etc/master.passwd】でpasswdファイルとshadowファイルが見れる。ここに書いてあるrootのパスは暗号化された物なのでこれを解析しなきゃいけない詳
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
処理を実行中です
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
