pastebinに貼られた「twitterユーザのパスワード」を軽く分析した - ockeghemのtumblr
アノニマス匿名のハッカーがpastebinにtwitterアカウントのユーザ名とパスワード55,000以上を漏洩させたという書き込みがありました。（注:当初anonymous hackersをアノニマスハッカーと訳していましたが、ここは「匿名の」という意味ですね。訂正します） 真偽のほどはよくわかりませんが、ここに貼られていたパスワードを少し分析してみました。当然ながら、このパスワードを使ってログインしてみる、というのは違法行為ですので、絶対にやってはいけません。以下はあくまでもパスワード文字列の統計的な分析です。 まず、貼られていたアカウントの数ですが、単純に数えると、58,978個あり、約59,000というところです。ところが重複がかなりあり、ユニークなID:パスワードの組み合わせだと、34,069に減少します。さらに、「同一ユーザ名でパスワードが異なる」組み合わせが6個ありました。
GoogleがSafariの設定を迂回してトラッキングしていたとされる件について - 最速転職研究会
※この記事の完成度は85%ぐらいなので後で追記します。 http://webpolicy.org/2012/02/17/safari-trackers/ http://online.wsj.com/article/SB10001424052970204880404577225380456599176.html http://blogs.wsj.com/digits/2012/02/16/how-google-tracked-safari-users/ 合わせて読みたい。 http://trac.webkit.org/changeset/92142 https://bugs.webkit.org/show_bug.cgi?id=35824 一番上のJonathan Mayer氏の記事については純粋に技術的なレポートなので、特におかしなことは書かれていない。元はといえばSafariのCooki
5分でできるPHPセキュリティ対策 - ぼくはまちちゃん！
こんにちはこんにちは！！ Webプログラミングしてますか！ よく「PHPはセキュリティがダメ」とか言われてるよね。 でもそれって、べつにPHPが悪いんじゃなくて、 たぶん、セキュリティとかが、まだよくわからない人が多いだけなんじゃないかな。 がんばって勉強しようと思っても、なんだか難しい理屈が並んでいたりするしね…。 なので今日は、セキュリティ対策について、 「これだけやっとけば、わりと安全になるよ」ってことを、初心者むけに、大雑把に書いてみます！ 理屈がわからなくても、最初はコピペでも、 なにもやらないより、やったほうがきっとマシになる！ 1. XSS対策 動的なものを表示するとき、全部エスケープすればokです！ (NG) あなたの名前は <?= $name ?> ですね！ ↓ (OK) あなたの名前は <?= htmlspecialchars($name, ENT_QUOTES) ?>
Googleの賞金付き脆弱性報告制度は「大成功」、Chromium OSにも対象拡大
「賞金制度によって脆弱性研究への参加が広がり、それだけ多くの脆弱性が修正されてユーザーにとっての安全性が高まった」とGoogle。 米Googleは、Webブラウザ「Chrome」などの脆弱性情報に賞金を支払う制度について、導入から2年を経て「あらゆる点で大きな成功を収めた」と振り返るとともに、今後はChromium OSも同制度の対象にすると発表した。 Googleは2010年1月からChromeの脆弱性を発見・報告した研究者などに賞金を進呈する制度を開始し、これまでに支払った賞金の総額は30万ドルを超えた。 同年11月には「google.com」や「youtube.com」などのWebアプリケーションに対象を拡大し、これまでに200人以上が1100件を超す問題を報告。うち730件について総額41万ドル以上の賞金を進呈し、報告者の厚意によって1万9000ドルは慈善事業に寄付したという。
単なる OAuth 2.0 を認証に使うと、車が通れるほどのどでかいセキュリティー・ホールができる
In some of the feedback I have gotten on the openID Connect spec, the statement is made that Connect is too complicated. That OAuth 2.0 is all you need to do authentication. Many point to Identity Pro… 英語読みたくないという人のために簡単に解説すると… OAuth 2.0 の implicit flow を使って「認証」をしようとすると、とっても大きな穴が開きます。 カット＆ペーストアタックが可能だからです。 OAuth 認証？は、図１のような流れになります。 図１ OAuth 認証？の流れ 一見、問題なさそうに見えます。しかし、それはすべてのサイトが「良いサイト」ならばです。 Site_A
Content Security Policy
This document defines a policy language used to declare a set of content restrictions for a web resource, and a mechanism for transmitting the policy from a server to a client where the policy is enforced. This is a public copy of the editors’ draft. It is provided for discussion only and may change at any moment. Its publication here does not imply endorsement of its contents by W3C. Don’t cite t
Androidがマルウェアの最大の標的に――McAfeeのセキュリティ動向報告書
セキュリティ企業の米McAfeeは11月21日に発表した2011年7～9月期のセキュリティ動向報告書で、GoogleのAndroidがモバイルマルウェアの最大の標的となる傾向が鮮明になったと報告した。 それによると、Android搭載端末の普及に伴い、Androidを狙ったマルウェアは前期に比べ約37％増加した。この時期に新たに出現したマルウェアは、全てAndroidが標的だったという。中でもSMSを送信したり個人情報などを盗んだりするトロイの木馬型マルウェアや、通話の内容を録音して攻撃者に送信するマルウェアが多数を占めていた。 PCを狙ったマルウェアでは、偽ウイルス対策ソフトやAutoRunを利用して感染するマルウェア、パスワードを盗み出すトロイの木馬が依然として横行。また、Macを狙ったマルウェアも引き続き増加傾向にあるとした。 一方、スパムメールは流通量を見ると2007年以来最低のレ
不正QRコードで拡散するAndroidマルウエア
海外のセキュリティベンダーが公開するブログの中から、最近の脅威や動向をつかめるものを紹介しよう。まず最初はQRコードとスマートフォンに関する話題だ。 QRコードは、現在では特定の情報にアクセスするためにバナー広告や雑誌などでよく使われている。英ソフォスは、スマートフォンで読み込むと悪意のあるファイルをホスティングしたURLに誘導する不正QRコードについてブログで説明した。こうしたQRコードは既に存在し、広まりつつある。 スマートフォンユーザーは、スマートフォン向けの新しいソフトウエアをパソコンで探すことがよくある。何か面白いソフトウエアを見つけても、スマートフォンからサイトにアクセスしてダウンロードするのに端末のブラウザーでURLを入力するのは手間がかかる。そのため、URLを簡単に読み込めるQRコードがサイトに用意されている。 現在、SMS型トロイの木馬を中心とした多くのモバイルマルウエア
javascript: escape(), encodeURI(), encodeURIComponent() 比較 (groundwalker.com)
« DoBeDo 2.5 | メイン | javascript で Query String » javascript: escape(), encodeURI(), encodeURIComponent() 比較 javascript の escape(), encodeURI(), encodeURIComponent() 関数群について、どの文字がエンコードされてどの文字がエンコードされないのか分かりにくいのでまとめておく。 まずは、対象範囲 %20（半角スペース）〜%7E（チルダ~） 元データ !"#$%&'()*+,-./ 0123456789 :;<=>?@ ABCDEFGHIJKLMNOPQRSTUVWXYZ [\]^_` abcdefghijklmnopqrstuvwxyz {|}~ escape() %20%21%22%23%24%25%26%27%28%29*+%2C-
Cross-Origin Resource Sharing (CORS) - HTTP | MDN
Cross-Origin Resource Sharing (CORS) is a mechanism that uses additional HTTP headers to tell browsers to give a web application running at one origin, access to selected resources from a different origin. A web application executes a cross-origin HTTP request when it requests a resource that has a different origin (domain, protocol, or port) from its own. An example of a cross-origin request: the
情報セキュリティ技術動向調査（2011 年上期）：IPA 独立行政法人 情報処理推進機構
この何年かでWebアプリケーションは、サーバ上のみでプログラムが動作するものから、多くのJavaScriptコードがWebブラウザで動作し、背後でサーバと連携して、リッチかつスムーズな操作感を提供するものへと進化してきた。このことは、Webブラウザ上に悪意のスクリプトを送り込む「スクリプト注入（XSS）」攻撃を、より防止しづらく、悪用の懸念がより大きなものに変化させた。本稿は、WebアプリケーションにAjax等の進化をもたらした技術について振り返るとともに、スクリプト注入対策を考慮すべき新たな文脈について論じるものである。 Ajax（Asynchronous JavaScript and XML）[1]は、必要となるデータを非同期でWebサーバから取り寄せつつ、Webブラウザの画面上でなめらかな操作性を提供する形態のJavaScriptプログラムのことである。かつてのブラウザにおいてはこの
Googleの開発者支援ツール「DOM Snitch」、Webサイトに潜む危険を検出
DOM Snitchでは潜在的に危険なJavaScriptのメソッドやプロパティを見つけ出し、セキュリティ問題につながる可能性があるかどうかの診断に役立てられるという。 米Googleは、Webサイトのコードを調べてセキュリティ問題の発見を支援するChromeブラウザの拡張機能「DOM Snitch」の試験版を開発者向けにリリースした。 GoogleのTestingブログによると、同社がこれまでに提供してきた開発者向けのセキュリティ診断ツールがサーバサイドのコードのチェックに主眼を置いていたのに対し、DOM Snitchではクライアントサイドコードの問題を見つけ出せるのが特徴だという。 同ツールを実行すると、例えば「document.write」「HTMLElement.innerHTML」など、潜在的に危険なJavaScriptのメソッドやプロパティを見つけ出し、その文書のURLとスタッ
はてなグループの終了日を2020年1月31日(金)に決定しました - はてなの告知
はてなグループの終了日を2020年1月31日(金)に決定しました 以下のエントリの通り、今年末を目処にはてなグループを終了予定である旨をお知らせしておりました。 2019年末を目処に、はてなグループの提供を終了する予定です - はてなグループ日記 このたび、正式に終了日を決定いたしましたので、以下の通りご確認ください。 終了日: 2020年1月31日(金) エクスポート希望申請期限:2020年1月31日(金) 終了日以降は、はてなグループの閲覧および投稿は行えません。日記のエクスポートが必要な方は以下の記事にしたがって手続きをしてください。 はてなグループに投稿された日記データのエクスポートについて - はてなグループ日記 ご利用のみなさまにはご迷惑をおかけいたしますが、どうぞよろしくお願いいたします。 2020-06-25 追記 はてなグループ日記のエクスポートデータは2020年2月28
米政府高官ら数百人のGmailアカウントが中国からハックされる、その手口とは
米政府高官ら数百人のGmailアカウントが中国からハックされる、その手口とは2011.06.05 21:00 福田ミホ （画像クリックで拡大します） これ実際見ても、見破れないかも...。 先日、数百人分のGmailアカウントがハックされていたことが明らかになりました。攻撃対象には米国の政府高官や軍関係者、韓国や中国の官僚や活動家が含まれていたそうです。 以下はGoogleからの公式声明です。 我々はクラウドベースの強固なセキュリティと不正利用検知システムを有していますが、その中でフィッシングの手口によると思われるユーザーパスワード収集の動きを発見しました。この動きは中国済南から行われたものと考えられ、数百人の個人Gmailアカウントに対して行われていました。対象には米国政府高官や中国の政治活動家、アジア数か国（主に韓国）の官僚、軍人、ジャーナリストが含まれています。 Googleによれば
DOM APIとinnerHTMLは等価ではない
最近、徳丸本をじわじわ読んでいるのですが、DOM based XSSの話が書いてあったので、少し言及しておこうと思います。 徳丸本から引用 DOM based XSSと呼ばれるXSSがあります。これは、JavaScriptによりクライアント側で表示処理する箇所があり、そこに脆弱性がある場合のXSSです。 サンプル書いてみました。 <script> document.write(unescape(location.href)); </script> こいつを適当なファイル名で保存して、domxss.html#<script>alert("hello")<script>などのURLでアクセスするとalertが表示されるはずです。任意のスクリプトが実行可能な状態ってことですね。任意のスクリプトが実行可能ってことは、セッションクッキー盗み放題で、他人に成り済まして買い物できちゃったりするレベルです
Google's Vulnerability Reward Program - ma<s>atokinugawa's blog
Googleは2010年11月からGoogleのウェブアプリケーションのセキュリティ脆弱性を報告した人に報酬を支払う制度をスタートしました。僕も早速いくつか報告し、以前TwitterでGoogleから$7337頂いたよとつぶやきましたが、あれから新たに$6337の入金があり、今のところこの制度で$13174($1337 × 2 + $1000 × 2 + $500 × 17)を頂いています！ありがとう！ 追記 7337+6337=13674なので入金があったのは$13674($1337 × 2 + $1000 × 2 + $500 × 18)でした。合計を間違えてました。足し算難しい！＞＜+$500！ 修正されたものは情報を公開してもいいとのことなので、報告した中から多少変わったタイプの脆弱性を3つ紹介しようと思います。 <script>タグのsrcを細工することによるXSS こんなページ
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
HTML5 Security Cheatsheet
サイフにやさしいSSL証明書 by エスロジカル
reCAPTCHA
IT news, careers, business technology, reviews
