[B! セキュリティ] suzuken83のブックマーク

［はまちちゃんのセキュリティ講座］ここがキミの脆弱なところ…！：第1回　HTTPのしくみを復習しよう｜gihyo.jp … 技術評論社

こんにちはこんにちは ! ! はまちや2です！今日からぼくと一緒にWebプログラミングのセキュリティについて、ちょっぴり勉強してみませんか！今回はHTTPがどんなやりとりをしているのか、簡単におさらいしてみましょう！

suzuken83 2011/06/03

リンク

Amazon.co.jp: 体系的に学ぶ安全なWebアプリケーションの作り方脆弱性が生まれる原理と対策の実践: 徳丸浩: 本

suzuken83 2011/03/07

リンク

開発者のための正しいCSRF対策

著者: 金床 <anvil@jumperz.net> http://www.jumperz.net/ ■はじめにウェブアプリケーション開発者の立場から見たCSRF対策について、さまざまな情報が入り乱れている。筆者が2006年3月の時点において国内のウェブサイトやコンピュータ書籍・雑誌などでCSRF対策について書かれている記事を調べた結果、おどろくべきことに、そのほとんどが誤りを含んでいたり、現実的には使用できない方法を紹介したりしていた。そこで本稿ではウェブアプリケーション開発者にとっての本当に正しいCSRF対策についてまとめることとする。また、採用すべきでないCSRF対策とその理由も合わせて紹介する。 ■あらゆる機能がターゲットとなりうるウェブアプリケーションの持つ全ての機能がCSRF攻撃の対象となりうる。まずこのことを認識しておく必要がある。 Amaz

suzuken83 2011/02/18

リンク

徳丸浩の日記 - 書籍「PHP×携帯サイトデベロッパーズバイブル」の脆弱性

_書籍「PHP×携帯サイトデベロッパーズバイブル」の脆弱性「PHP×携帯サイトデベロッパーズバイブル」という携帯サイト開発のノウハウを解説した書籍が今月初頭に発売され、話題になっている。Amazonの「インターネット・Web開発」カテゴリで1位ということで、たいしたものだ。私も発売前から予約して購入した。私がこの書籍を購入した動機は大きく二つある。一つは、携帯サイトの最新の開発ノウハウをまとめた書籍に対する期待をしていたということ。もう一つは、セキュリティに対する記述がどの程度あるのかを見てみたいというものだった。このうち、前者については、期待は叶えられた。非常に盛りだくさんのテーマが手際よくまとめられていて、かつ読みやすい。あまり原理・理屈のことは書いていないが、開発現場では、コピペの情報源として重宝されることだろう。しかし、問題はセキュリティについての記述である。本社のサ

suzuken83 2010/11/17

認証とセッション管理についての問題点

リンク

SET NAMESは禁止

(Last Updated On: 2018年8月13日)MySQLには文字エンコーディングを変更する「SET NAMES」SQL文が用意されています。（PostgreSQLも同様のSQL文、SET CLIENT_ENCODINGがあります）この機能はSQLコンソールからは使ってよい機能ですが、アプリケーションからは使ってはならない機能です。SQLインジェクションに脆弱になる場合があります。 Ruby on Railsの本を読んでいて、ActiveRecordを説明している部分にMySQLの文字エンコーディングを変更する場合の例としてSET NAMESが利用されていました。アプリケーションからはSET NAMESは使ってはならない事を周知させるのは結構時間が必要かなと思いました。 PHPも5.2の途中からMySQLモジュールにlibmysqlの文字エンコーディング設定APIのラッパー関数が

suzuken83 2010/11/17

セキュリティ

リンク

セッションハイジャックと session_regenerate_id( )関数

へんじがない。ただのポンコツのようだ。ポンコツが今日も持ち場でガンバリつつ、楽しく生きていくための備忘録ブログ。ぬわーーっっ！！2005年7月から絶賛「更新」中！【この記事の所要時間：約 4 分】 ●PHPのセッション管理の問題とは？ PHPのセッション管理は、セッションの固定化（Session Fixation）問題というのがある。この問題に対応するために、ログイン後にセッションIDを作り直して、ログイン後のセッションを保護するという対策が講じられる。 Session Fixationを原因としたセッションハイジャックを防ぐために、セッションIDを置き換える関数というのが、PHPには用意されている。それが、session_regenerate_id( )である。session_regenerate_id( )を使うとセッションIDは新しいものと置き換わるが、セッション情報を維持