[WEB SECURITY] CSRF: Flash + 307 redirect = Game Over
Phillip Purviance phillip.purviance at whitehatsec.com Thu Feb 10 14:22:20 EST 2011 Previous message (by thread): [WEB SECURITY] 5 Key Design Decisions That Affect Security in Web Applications Next message (by thread): [WEB SECURITY] CSRF: Flash + 307 redirect = Game Over Messages sorted by: [ date ] [ thread ] [ subject ] [ author ] A vulnerability for Ruby on Rails was recently patched [http://w
X-Content-Type-Options: nosniff つかわないやつは死ねばいいのに! - 葉っぱ日記
2011-01-06: IE8ということを追記 & ちょっと間違いを修正。あけましておめでとうございます。 年明け早々ですが、Internet Explorerの話題です。IEはご存じの通り、Content-Type だけでなくコンテンツの内容なども sniff することでファイルタイプを決定しているため、画像ファイルやテキストファイルをHTMLと判定してしまい、クロスサイトスクリプティングが発生することが昔からたびたび報告されていました*1。現在は幾分マシになったとはいえ、IEのファイルタイプの判定アルゴリズムは非常に難解であり、現在でも状況によってはWebサイト運営者のまったく意図していないかたちでのXSSが発生する可能性があったりします。そういうわけで、IEがコンテンツを sniff してHTML以外のものをHTML扱いしてしまうことを防ぐために、動的にコンテンツを生成している場合に
Ben Strong's Blog: Google and Microsoft Cheat on Slow-Start. Should You?
Nov 25, 2010 Google and Microsoft Cheat on Slow-Start. Should You? A Quest for Speed I decided a couple of weeks ago that I wanted to build an app, most likely a web app. Being a premature optimizer by nature, my first order of business (after deciding I need to learn to draw) was to find the absolute fastest way to serve up a web page. The Google home page is the fastest-loading page I know of,
blog.8-p.info: Facebook の BigPipe と TTI
Posted at 2010/10/22 01:59, Modified at 2010/10/22 03:42 Facebook のフロントエンドは結構かわったことをやっていて、例えば、ログイン後の http://www.facebook.com/home.php には <div id="pagelet_home_stream"></div> みたいな空の HTML があり、その後に <script>big_pipe.onPageletArrive({ … });</script> <script>big_pipe.onPageletArrive({ … });</script> ... と script 要素が何個もならんでいる。 BigPipe: Pipelining web pages for high performance この仕組みは (変数名のとおり) BigPipe と呼
KiokuDB
KiokuDB is a Moose based object oriented persistence frontend for various document oriented storage backends. KiokuDB focuses on predictability and transparency, allowing noninvasive persistence while minimising the unpleasant surprises that come with naive serialization approaches. The project builds on Moose's metaprogramming for runtime support, Search::GIN's indexing and querying facilities, a
フロント/バックのreverse proxy構成で、指定秒数以内に必ずレスポンスを返す方法 - （ひ）メモ
目的 フロントがHTTPリクエストを受けて、バックエンドのアプリケーションサーバにreverse proxyするような構成において、指定秒数以内に何かしらのレスポンスを返したい。 200が返せない場合は、処理を打ち切って500を返したい。 背景 フロントでApacheやNginxをreverse proxyとして使っている場合、バックエンドが無応答になってしまうと、クライアントにレスポンスが返るのはデフォルトで数十〜数百秒後(ApacheのTimeoutのデフォルトは300秒、Nginxのproxy_read_timeoutのデフォルトは60秒)になってしまいます。 通常のWebサービスではこのオーダーのタイムアウトでもいいのかもしれませんが、数秒以内に(エラーでもいいので)レスポンスを返すことが求められる環境も存在します。(最近、特に多いのではないでしょうか:P) もちろんバックエンドが
tcpflow -- TCP Flow Recorder
tcpflow -- A TCP Flow Recorder Note: I am no longer actively maintaining tcpflow. This page has the most recent version I released personally. Maintenance has been taken over by Simson Garfinkel, who distributes new versions at his site. Downloads and Documentation The most recent version of tcpflow is v0.21, released 7 August 2003. You can also see the history of previous releases. There is an HT
Varnish HTTP Cache — Varnish HTTP Cache
Varnish HTTP Cache¶ I’m new here, please explain this Varnish thing What is happening¶ 2025-05-12 - Security release 7.7.1¶ Varnish versions 7.7.1 is now available. This release addresses the vulnerability described in VSV00016. 2025-05-12 - Request Smuggling Attack¶ Please see VSV00016 Request Smuggling Attack. 2025-05-12 - Security release 7.6.3¶ Varnish versions 7.6.3 is now available. This rel
Rack::Throttle - HTTP Request Rate Limiter for Rack Applications
This is Rack middleware that provides logic for rate-limiting incoming HTTP requests to Rack applications. You can use Rack::Throttle with any Ruby web framework based on Rack, including with Ruby on Rails 3.0 and with Sinatra. http://github.com/datagraph/rack-throttle Features Throttles a Rack application by enforcing a minimum time interval between subsequent HTTP requests from a particular clie
Read Ruby: A Free, 19 Chapter Ruby 1.9 Reference Guide
In math, a unary operation is an operation with a single input. In Ruby, a unary operator is an operator which only takes a single ‘argument’ in the form of a receiver. For example, the – on -5 or ! on !true. In contrast, a binary operator, such as in 2 + 3, deals with two arguments. Here, 2 and 3 (which become one receiver and one argument in a method call to +). Ruby only has a handful of unary
HTTPリクエスト/レスポンスとは? HTTPヘッダーを理解しよう | 初代編集長ブログ―安田英久
今日は、少し技術的な話ですが、Web担当者も知っておくといい知識を。テーマは「HTTPヘッダー」です。知らなくてもWebサイトは作れますが、知っておくとサイト上での仕組み作りの視野が広がるかもしれません。 ブラウザでWebページを表示するときに、ブラウザはWebサーバーと通信しています。そのときに使われるのが「HTTP」というルールです。 HTTPは「HTTPリクエスト」と「HTTPレスポンス」に分けて考えます。ブラウザがサーバーに「このページを見たい」と頼む通信が「HTTPリクエスト」で、そのリクエストに応えてサーバーがブラウザに返す通信が「HTTPレスポンス」です。 まず、ブラウザ → サーバーの「HTTPリクエスト」から説明しましょう。 HTTPリクエストはブラウザが送るものですから、HTTPリクエストを作るのはブラウザです。サーバーは、受け取ったHTTPリクエストの内容からどんな情
Hypertext Transfer Protocol (HTTP) Status Code Registry
Last Updated 2024-11-13 Available Formats XML HTML Plain text Registry Included Below HTTP Status Codes HTTP Status Codes Registration Procedure(s) IETF Review Reference [RFC9110, Section 16.2.1] Note 1xx: Informational - Request received, continuing process 2xx: Success - The action was successfully received, understood, and accepted 3xx: Redirection - Further action must be taken in order to com
HAProxy - The Reliable, High Perf. TCP/HTTP Load Balancer
Quick News Feb, 26th, 2025 : HAProxyConf 2025 Early birds registration Early birds registration for HAProxy Conf 2025 is now available! Please check the link to book your tickets. Nov, 26th, 2024 : HAProxy 3.1.0 release This release brings a number of troubleshooting improvements. For example it offers new sample fetch methods to report information about last rule, termination states and syscall s
Route 477(2009-11-10)
■ [ruby] 大規模Railsサイトのための新しいHTTPサーバ、Unicorn githubの中の人が、ブログで「Unicorn使い始めて一ヶ月くらい経つけどいい感じだよ」と書いています。 適当に要点だけ拾ってみました。 Unicornって何よ？ UnicornはRubyのためのHTTPサーバ。MongrelやThinのようなものだけど、全く違う設計と思想を持っている ありがちな構成 [mongrel] [mongrel] .. [nginx] -> [haproxy] -> [mongrel] [mongrel] .. [mongrel] [mongrel] .. 問題点: あるactionの処理に60秒以上かかったとき、Mongrelが当該スレッドをkillしようとして固まることがある メモリが一定量を超えたときMongrelを再起動するのが遅い。 デプロイ時に9個のmongre
Rails Deployment with NginX ? SlideShare
This document provides an overview of deploying Rails applications with NginX. It discusses using Mongrel as a web server for Rails and how NginX can be used as a reverse proxy for load balancing across Mongrel instances. The document also covers NginX configuration options and optimizations for serving static files, caching, and balancing requests across backends.
HTTPのリダイレクトとPOSTメソッドの話 — ありえるえりあ
Recent entries Apache2.4のリリース予定は来年(2011年)初め(あくまで予定) inoue 2010-12-23 Herokuの発音 inoue 2010-12-20 雑誌記事「ソフトウェア・テストPRESS Vol.9」の原稿公開 inoue 2010-12-18 IPA未踏のニュース inoue 2010-12-15 労基法とチキンゲーム inoue 2010-12-06 フロントエンドエンジニア inoue 2010-12-03 ASCII.technologies誌にMapReduceの記事を書きました inoue 2010-11-25 技術評論社パーフェクトシリーズ絶賛発売中 inoue 2010-11-24 雑誌連載「Emacsのトラノマキ」の原稿(part8)公開 inoue 2010-11-22 RESTの当惑 inoue 2010-11-22 「プ
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
GitHub - mnot/htracr: HTTP sniffing and low-level visualisation
wonderfullyflawed.com
mongoose - Google Code
skipfish web application security scanner