OSCP合格までの道のりとそこから学んだこと
先日、OSCPというペネトレーションテストの資格試験を受けて無事に合格できました！ 合格までの間、多くの先人の方々のブログを参考にさせてもらっていたので、私もこれからOSCPを取ろうと思っている人たちのために、合格までの道のりと、そこから学んだことをまとめておこうと思います。細かいTips等も含めています。 ちなみに私は、セキュリティ企業で働いている(もしくは働いていた)というわけではなく、どちらかというと、インターネットサービスを開発をする会社のインフラ・セキュリティを担当するという立場で働いている者です。なので、OSCPでペネトレーションテストのテクニックを学ぶことで、システムを保護するためのスキル向上につなげたいというモチベーションがありました。この点については、もう少し詳しく後述します。 OSCPとは すでに多くの紹介ブログがあるのでここでは簡単な説明にとどめますが、 Offens
DMARC をなめるな - 弁護士ドットコム株式会社 Creators’ blog
Gmailが「メール送信者のガイドライン」を改訂し、なりすましメールへの対策を強化する旨を発表しています。今までは原則、なりすましメール対策の有無にかかわらず、メールはいちおうは届いていました。しかし今後は、なりすましとみなされたメールは届かなくなる方向に向かいつつあります。 なりすましメールとみなされないようにするために、メール送信者には、「メール送信ドメイン認証」への対応が求められます。メール送信ドメイン認証の技術には、主に以下の3つがあります。 SPF: Sender Policy Framework (RFC 7208) DKIM: DomainKeys Identified Mail (RFC 6376) DMARC: Domain-based Message Authentication, Reporting, and Conformance (RFC 7489) SPFは従来
Tips＆Tricks » Poderosaで公開鍵認証
OpenSSH で生成した秘密鍵を使って Poderosa で公開鍵認証をしようと思ったのですが 「Wrong Key Format」なるアラートがでて困り果てました。 いろいろ調べてみると OpenSSHの鍵ファイルは変換しないと使えない ・・・それ先に言ってくださいｚｚ SECSH 形式への変換方法 PuTTYに付属している「PuTTYgen」というプログラムを利用します。 ※このままPuTTYに乗り換えてもいいんジャマイカ？ PuTTY（SSHクライアント）をインストールしてください。 更に日本語化するならPuTTYjpをインストールしてください。 PuTTYgenを起動します。 Loadボタンを押しOpenSSH 側で生成した秘密鍵を読込みます。 秘密鍵を無事に読込めれば、以下のメニューを選択する Conversions ⇒ Export ssh.com key SECSH
htaccessパスワード認証
FTPの転送先ディレクトリが「/public_html_ドメイン名」または「/htdocs」のサーバーをご利用の方 サーバーの管理画面（HDE Controller）から、ディレクトリごとにパスワード認証が設定できます。 手順は以下の通りです。 バーチャルサイト用管理画面へアクセスしてください。 Webサーバー設定画面を開き、「ディレクトリの追加」メニューより、認証をかけるディレクトリを追加して下さい。 「ディレクトリ認証の設定」メニューより、認証をかけるディレクトリのユーザー名、パスワードを設定して下さい。 くわしくはバーチャルサイト管理マニュアルの「ディレクトリ認証の設定」をご参照下さい。 「.htaccess」と「.htpasswd」の2つのファイルを作成しサーバーへ転送します。 「.htaccess」をおいたディレクトリ内のコンテンツに対してパスワード制限がかかります。 許可するユ
.htaccess実践活用術
現在、WEBサーバのシェアとしてはApacheが過半数を占めています。英国Netcraft社の調査によると2016年4月におけるApacheのシェアは49.15％である（active sitesにおけるシェア。参照：Netcraft: April 2016 Web Server Surveyy）。 2位のnginxを大きく引き離しています。このような世界的に人気の高いApacheをウェブマスターとして使いこなす方法として、このホームページでは.htaccessの利用法について解説します。httpd.confに触ることのできない一般のウェブマスターさんを対象に、「アクセス制限」「カスタムエラーページの設定」「MIMEタイプの設定」など実用度の高い利用法に絞って紹介します。「何をしたいか」のかを中心に、.htaccessの利用法を説明する構成になっています。
［はまちちゃんのセキュリティ講座］ここがキミの脆弱なところ…！：第1回 HTTPのしくみを復習しよう｜gihyo.jp … 技術評論社
こんにちはこんにちは ! ! はまちや2です！ 今日からぼくと一緒にWebプログラミングのセキュリティについて、ちょっぴり勉強してみませんか！今回はHTTPがどんなやりとりをしているのか、簡単におさらいしてみましょう！
カラーミーショップで会員登録をすると店にもパスワードが送られる - はてなダイアリー
先日、paperboy&co.のショッピングカートサービス「カラーミーショップ」を使って買い物をしました。その際、ついでに会員登録をすると、注文明細にログイン用のパスワードが書かれたメールが送られてきました。こんなかんじです。 …▼総合計================================================================【 合計（消費税） 】2,100円(100円)【 送 料 合 計 】500円（税込）【決 済 手 数 料】0円（税込）【 総 合 計 】2,600円================================================================ ▼会員登録情報================================================================【 ログイ
The GNU Privacy Guard
GnuPG is a complete and free implementation of the OpenPGP standard as defined by RFC4880 (also known as PGP). GnuPG allows you to encrypt and sign your data and communications; it features a versatile key management system, along with access modules for all kinds of public key directories. GnuPG, also known as GPG, is a command line tool with features for easy integration with other applications.
情報処理推進機構：情報セキュリティ：脆弱性対策：安全なウェブサイトの作り方
「安全なウェブサイトの作り方」は、IPAが届出(*1)を受けた脆弱性関連情報を基に、届出件数の多かった脆弱性や攻撃による影響度が大きい脆弱性を取り上げ、ウェブサイト開発者や運営者が適切なセキュリティを考慮したウェブサイトを作成するための資料です。 「安全なウェブサイトの作り方」改訂第7版の内容 第1章では、「ウェブアプリケーションのセキュリティ実装」として、SQLインジェクション 、OSコマンド・インジェクション やクロスサイト・スクリプティング 等11種類の脆弱性を取り上げ、それぞれの脆弱性で発生しうる脅威や特に注意が必要なウェブサイトの特徴等を解説し、脆弱性の原因そのものをなくす根本的な解決策、攻撃による影響の低減を期待できる対策を示しています。 第2章では、「ウェブサイトの安全性向上のための取り組み」として、ウェブサーバの運用に関する対策やウェブサイトにおけるパスワードの取扱いに関す
「安全なWebアプリケーションの作り方」を読んでセッションを復習してみた - As a Futurist...
タイトルが長くて略称があれば知りたい感じの「安全な Web アプリケーションの作り方」を暇を見つけて読んでいます。今まであいまいなままだった部分を順を追って説明してくれるので、本当に助かります。Web アプリ作りの初心者は卒業したかなーという人は必ず目を通しておくと良いと思います。 Cookie を用いたセッションについて復習 「HTTP はステートレスで」とかいう話はよく聞きますが、じゃあどうやってセッション管理するのがいいの？って話をよく考えると体系的に聞いたことがなかった！というわけで、この本で文字通り体系的に学び直すことができました。 その中でも、「セッション ID の固定化」という話題はちゃんと分かってなかった部分があったので、こちらのサイトを参考に PSGI なアプリケーションを作ってみました(僕の書いたアプリ自体はその他の脆弱性に溢れていますがｗ)。コードはエントリの最後に。
高速でプログラミング言語をマスターするのに有効な記事まとめ - NAVER まとめ
サービス終了のお知らせ NAVERまとめは2020年9月30日をもちましてサービス終了いたしました。 約11年間、NAVERまとめをご利用・ご愛顧いただき誠にありがとうございました。
｢無料公衆WiFi｣の正体＆繋いじゃいけない理由
空港・カフェ・図書館などノート繋げる場所で接続候補に｢Free Public Wi-Fi（無料公衆Wi-Fi）｣って出ることないですか？ あれって繋いでも、ウェブに繋がらないんですよね。そりゃそうです、そばにいる誰かさんと直接繋がってるんですから！ NPRプロデューサーのTravis Larchukさんがワイヤレスセキュリティの専門家Joshua Wrightさんに尋ねてみたら、｢Free Public WiFi｣というのは名ばかりで、無料でもないし、公衆でもない、Wi-Fiサービスですらないって言うんですね。ウイルスみたいなもので、おそらく最初は誰かの冗談かいたずらで始まったのが、Windows XPの古いバージョン（SP 3）のバグで世界中に広まってしまった。マイクロソフトからは修正も既に出てるんだけども、まだアップデートしてない人も多いらしく、まさにゾンビ状態。 XPの古いバージョン
Apacheのアクセス制御をちゃんと理解する。 - こせきの技術日記
Apacheの設定で Order deny,allowとか Satisfy anyとか、なんだか意味わからん人のために。僕はずっとわかってなかった。 基本 Apacheのアクセス制御には、 ホストによる制御 (Order,Allow,Deny) ユーザ認証による制御 (Auth*, Require) の2通りがある。 Satisfyは、2通りあるアクセス制御の両方を満たす必要があるかどうかを決定する。デフォルトはSatisfy all。Satisfy anyなら、どちらか片方満たせばよい。 Order http://httpd.apache.org/docs/2.2/mod/mod_authz_host.html#order Order deny,allowは、全てのホストからのアクセスを許可する。 Order allow,denyは、全てのホストからのアクセスを拒否する。 Order d
http://www.mdis.co.jp/news/topics/2010/0903.html
弊社「図書館システム」について 2010年9月3日 弊社が納入しております図書館システムの一部で、大量アクセスによりつながらない、またはつながりにくい状態が発生し、ご導 入いただいた各図書館様ならびに一般利用者の方にご心配をおかけいたしました。 弊社システムご利用の図書館様に現在、弊社営業窓口より個別にご説明、ご相談させていただいております。 弊社は、操作性や利便性の向上とともに、インターネットを含めた利用環境の変化への対応など、より信頼性の高い製品作りに今 後とも努めて参りますので、何卒宜しくお願い申し上げます。 お問い合わせ先 このトピックスに関するお問い合わせは、お問い合わせフォームよりお願いいたします。
Web-based DNS Randomness Test
2023-06-01: This service has been deprecated in favor of Check My DNS. US-CERT's Vulnerability Note VU#800113 describes deficiencies in the DNS protocol and implementations that can facilitate cache poisoning attacks. The answers from a poisoned nameserver cannot be trusted. You may be redirected to malicious web sites that will try to steal your identity or infect your computers with malware. Wor
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
TechCrunch | Startup and Technology News