法と技術とクローラと私 - 最速転職研究会
こんにちは、趣味や業務で大手ポータルサイトのサービスで稼働しているいくつかのクローラの開発とメンテナンスを行っているmalaです。 さて先日、岡崎市立中央図書館Webサイトをクロールしていた人が逮捕、勾留、実名報道されるという事件がありました。 関連URL: http://librahack.jp/ 電話してみた的な話 http://www.nantoka.com/~kei/diary/?20100622S1 http://blog.rocaz.net/2010/06/945.html http://blog.rocaz.net/2010/07/951.html この件につきまして法的なことはともかくとして技術者視点での私見を書きたいと思います。法的なことは差し置いて書きますが、それは法的なことを軽んじているわけではなく、法律の制定やら運用やらは、その法律によって影響が出る全ての人々の常識
iPhoneの全データを一瞬で盗み出すハッキングの秘策
ヨーロッパ生まれの天才たちにアップルもタジタジ... カナダのバンクーバーで開催された｢Pwn2Own 2010｣ハッキングコンテストにおいて、あっと世界を驚かせたのが、こちらのワインマンさん＆イオッツォさんのコンビでしたよ。なんでも特殊な細工が施されたウェブページを作り上げ、ここにアクセスしたiPhoneは、いずれも一瞬にしてデータを盗み出されるという恐るべき手口を立証して、見事に1万5000ドルの賞金を獲得しちゃったのでした！ はっきり言いまして、防御手段は無いに等しいですね。だって、この特殊ページへとアクセスしただけで、わずか20秒間のうちに、iPhone内の削除済みのメッセージも含めた全SMSのデータベース情報が抜き取られてしまったのですから、もう開いた口が塞がらないですよね。そのまま完成度を高めれば、まったくアクセスしちゃった当のiPhoneユーザーには気づかれることもなく、連絡
オンライン・バンキングを狙った次世代型サイバー攻撃
IBM ISS X-forceの報告によると，最近，フィッシング詐欺が増加傾向にある。ただ，フィッシング詐欺で銀行口座の番号を奪ったとしても，ワインタイム・パスワードを採用しているなどセキュリティ強度が比較的高いと，奪った情報はほとんどど役に立たない。攻撃者にとっては効率が悪い。 この点から考えると，9月30日に報告された「URLZone」というトロイの木馬（ウイルスの一種）を悪用したサイバー犯罪は注意しておくべきだろう。URLZoneの標的はオンライン・バンキングのユーザーだ。ウイルス対策ソフト・ベンダーのFinjanの報告によると，既に被害パソコン（PC）は6000台を超える。感染したPCのユーザーが利用するオンライン・バンキングの口座から，勝手に犯罪者に送金してしまう。日本では馴染みがない部類のウイルスだが，海外ではこの手のサイバー犯罪は以前より増えている。 銀行の口座を直接操作でき
Exploits Database by Offensive Security
The Exploit Database is maintained by OffSec, an information security training company that provides various Information Security Certifications as well as high end penetration testing services. The Exploit Database is a non-profit project that is provided as a public service by OffSec. The Exploit Database is a CVE compliant archive of public exploits and corresponding vulnerable software, develo
サンシャイン牧場 情報「露出」問題のまとめ | 鳩丸よもやま話
「サンシャイン牧場」において、課金操作を行った人のメールアドレスと電話番号が「露出」していた件のまとめです。 はじめに「サンシャイン牧場」はmixiアプリとして提供されているゲームです。mixiアプリとしては最大の利用者数を誇り、2009年11月23日現在、利用者は300万人を突破しています。運営しているのはRekooという中国の会社です (が、最近、日本法人もできました)。 2009年10月21日、サンシャイン牧場に「Kコイン」の仕組みが導入されました。実際のお金を支払って「Kチャージ」を行うとKコインが増え、Kコインを消費することで、通常では購入できない作物や肥料などを手に入れられる仕組みです。リアルのお金を支払ってアイテムを購入するという、いわゆるアイテム課金の制度になります。支払い方法は、株式会社ゼロの決済代行サービスを利用したクレジットカード払いでした。 ところが、この課金に際し
iモード専用サイトのhtmlソースの閲覧方法 « mpw.jp管理人のBlog
iモードブラウザ2.0のJavaScriptを調査･研究する過程で、iモード専用サイトのhtmlソースを閲覧する方法を発見しました。 今回発見した方法を用いれば、「ドコモ・ゲートウェイ以外からのアクセスを禁止している」、「サーチエンジンのクロールを禁止している」、「XSS脆弱性が存在しない」の三つの条件を満たしているiモード専用サイトでも、htmlソースを閲覧することができます。 しかし、htmlソースを閲覧するためには、そのiモード専用サイトが別の二つの条件を満たしている必要があります。 htmlソースが閲覧可能なiモード専用サイトの条件 デフォルトホストで運用されている。（ヴァーチャルホストではない） iモードブラウザ2.0のJavaScriptからのアクセスを禁止していない。 iモード専用サイトのhtmlソースの閲覧方法 iモードブラウザ2.0のJavaScriptで、htmlソース
第24回 無くならないSQLインジェクション脆弱性 | gihyo.jp
SQLMapを使ってみる 比較的メンテナンス状態が良いSQLMapを使ってみます。SQLMapはPythonで記述されたプログラムです。Pythonが利用可能なコンピュータであれば利用できます。 SQLMapを利用するために以下の、まったく無防備なコードを用意しました。これをローカルホストのApache／PHPで実行しアクセスできるようにしました。 PHPコード <?php $conn = mysql_connect('localhost','root'); mysql_select_db('test', $conn); $sql = "SELECT * FROM user WHERE name = '".$_GET['name']."' AND pass = '".$_GET['pass']."'"; $result = mysql_query($sql, $conn); if (!$r
『7th Attack 「ARPキャッシュポイゾニング 前編」』
やるぜーやるぜーやるぜーやるぜーやるぜー。 あ、別に故障したわけじゃないよ。 ちょっと気合入れてただけさ。 なんせ今回は画像テンコ盛りでお届けする予定なもんでね。 今回はCain & Abelを利用したARPキャッシュポイゾニングの機能を紹介する。 ARPキャッシュてのはIPアドレスとMACアドレスの対応表みたいなモンだな。 試しに自分のPCのARPキャッシュを確認したいなら、コマンドプロンプトから「arp -a」と実行してみよう。 （クリックで元画像表示） あ、ちなみにこの画像のARPキャッシュは仮想サーバのモノなのであしからず。 んで、通信を行うに当たってはこのARPキャッシュから送信先IPアドレスのMACアドレスを解決する。 この時、ARPキャッシュに目的のIPアドレスがない場合は、「だれかこのIP持ってるMACアドレスの人いませんかぁ～？」とネットワーク内のみんなに聞きに行く。 そ
ECサイトソフトウェアはなぜ更新されないのか
平穏に見えても実は…… 皆さんこんにちは、川口です。普段仕事をしていると社会人との付き合いが多くなるのですが、8月のセキュリティ＆プログラミングキャンプ以降、学生の方との出会いのイベントが立て続けに2つありました。1つは弊社の親会社であるラックホールディングスの2010年度内定者向けイベント、もう1つはIT Keysと呼ばれるイベントです。 どちらも20代前半のIT系企業を志望する学生たちに対して、JSOCを見学してもらいました。このような社外向けへのイベントの対応も、エバンジェリストとしての大事な務めです。 そんな学生たちが見学したJSOCは平穏そうに見えますが、実際にはさまざまなインシデントが発生していました。今回は、学生たちがJSOCを見学していた時期である8月ころから始まった、あるインシデントの傾向について取り上げます。 Zen Cartへの攻撃 先日、オープンソースのECサイト構
nemesis.sourceforge.net - Packet injection tool suite
Nemesis is a command-line network packet crafting and injection utility for UNIX-like and Windows systems. Nemesis, is well suited for testing Network Intrusion Detection Systems, firewalls, IP stacks and a variety of other tasks. As a command-line driven utility, Nemesis is perfect for automation and scripting. Nemesis can natively craft and inject ARP, DNS, ETHERNET, ICMP, IGMP, IP, OSPF, RIP, T
技術メモ帳
角谷さんにBDD(ビヘイビア駆動開発)について話していただくというakasaka.rb#2が行われました。 ほとんどの方と初対面だったのですが、気さくに話していただけまして非常に楽しかったです。 今後ともご指導のほどよろしくお願いいたします。 途中でワーキングプアの方が参加されるというハプニングも発生しました。 また、参加者全員に大場さんより "JRuby Tシャツ" がプレゼントされました。 参加者 ・角谷さん(http://kakutani.com/) ・id:Psychsさん ・レオさん(http://twitter.com/lchin) ・id:secondlifeさん ・野口真吾さん(http://cureblack.com/) ・大場さん(http://ko.meadowy.net/~koichiro/diary/) ・大場（嫁）さん(http://ko.meadowy.net
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
BackTrack4の導入 » Ebisu-IT.com
Sqlmapを使ってみよう - BlackRose
oxid.it
Blogger
backtrack