Cでポピュラーな脆弱性とバッファオーバーフロー（前編）
Insecure Interaction Between Components（6 errors） ソフトウェアコンポーネント間のセキュアでないやりとり SQLインジェクションやクロスサイトスクリプティング（XSS）のような類の脆弱性 Porous Defenses（11 errors） 不完全な防御策 認証関連の不備や暗号化機能の不適切な使い方など Risky Resource Management（8 errors） リソース管理の問題 バッファオーバーフローや整数オーバーフロー、書式指定文字列の脆弱性など 1つ目に分類されているSQLインジェクションやXSS（クロスサイトスクリプティング）などは、やりとりされる情報の意味がコンポーネント間で変わることから問題が発生するパターンです。 例えば、入力データからSQL文を組み立てるコンポーネント、そのSQL文を受け取ってデータベースから必要
X-Content-Type-Options: nosniff つかわないやつは死ねばいいのに! - 葉っぱ日記
2011-01-06: IE8ということを追記 & ちょっと間違いを修正。あけましておめでとうございます。 年明け早々ですが、Internet Explorerの話題です。IEはご存じの通り、Content-Type だけでなくコンテンツの内容なども sniff することでファイルタイプを決定しているため、画像ファイルやテキストファイルをHTMLと判定してしまい、クロスサイトスクリプティングが発生することが昔からたびたび報告されていました*1。現在は幾分マシになったとはいえ、IEのファイルタイプの判定アルゴリズムは非常に難解であり、現在でも状況によってはWebサイト運営者のまったく意図していないかたちでのXSSが発生する可能性があったりします。そういうわけで、IEがコンテンツを sniff してHTML以外のものをHTML扱いしてしまうことを防ぐために、動的にコンテンツを生成している場合に
Microsoft.comは毎秒7000～9000回の攻撃を受けている | スラド セキュリティ
Microsoft.comは常に大量の攻撃にされされているそうだ（本家記事）。 （マルウェアなどの）スクリプト初心者はまず同社をターゲットにするとのことで、Microsoftのシニア・セキュリティ・アーキテクトRocky Heckman氏によるとMicrosoft.comは毎秒平均7000～9000回もの攻撃を受けているとのこと。また、マルウェア製作中にWindowsをクラッシュさせ、うっかりエラーの詳細とその原因となったコードをMicrosoftに送ってしまうハッカーもかなりの数いるそうだ。 この話はMicrosoft Tech.Ed 2010で明らかにされたとのこと。Heckman氏曰く、最も使われるハッキング手法はこの6年間変わらずにクロスサイトスクリプティングおよびSQLインジェクションであり、これは悪意ある者が馴れた手法を使うことを好むのと、開発者らが（これらの手法やその対処など
それ Unicode で
UTF-7 を使ってスクリプトを記述 +ADw-SCRIPT+AD4-alert(\'XSS\');+ADw-+AC8-SCRIPT+AD4- IE は、文字エンコーディングが不明で UTF-7 っぽい文字列があれば、自動判別で UTF-7 となる。
OAuth Community Site
An open protocol to allow secure authorization in a simple and standard method from web, mobile and desktop applications. Learn more about OAuth 2.0 » For app developers... If you're building... web applications desktop applications mobile applications JavaScript or browser-based apps OAuth is a way to get access to protected data from an application. It's safer and more secure than asking users t
ウェブサービスAPIにおける『成りすまし問題』に関する一考察
先週の末に、はてなのウェブ・サービスAPIを使ったMash-upアプリをFlash上で作り始めていきなりつまずいたのが、Cross-Domainセキュリティ。satoshi.blogs.comから取得したswfファイル上のActionScriptからb.hatena.ne.jp下にあるRSSフィードだとかXML-RPCにアクセスができないのだ。 「確か方法があったはず」と調べてみると、はてな側がサーバーにcrossdomain.xmlというファイルを置いて明示的にCross-Domainアクセスを許可していなければならない、という。そこで見つけたのが、「Flashから各APIの操作、データのロードができるよう、サーバ上に「crossdomain.xml」というポリシーファイルの設置をお願いしたい。」というはてなアイデアへのリクエスト。2006年の2月にリクエストが出されているのだが、11月
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
処理を実行中です
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
