Webセキュリティ覚書 : "攻撃" 編 [ 初学者向け ] - Qiita
Webのセキュリティ プログラミングスクールからエンジニアデビューしたものですが、セキュリティの重要さと、攻撃された時の恐ろしさに戦々恐々としました。今でもしてます。 たとえ、エンジニアでなくとも、最低限の対策をしないとリリースするのは危険です。 プログラミングスクールではセキュリティについては、深く学ぶことはあまりないと思います。 自分と同じ駆け出しエンジニアさんや、エンジニアじゃないけど、Webサービスリリースしたい！みたいな方に共有できたらと思います。 セミナーでセキュリティについて学んできたので、復習も兼ねて自分なりの解釈で記事に落とそうと思います。 脆弱性? Webサイトの脆弱性は二種類。 ロジックエラー(設計段階で生まれる脆弱性) セッションの管理不備や特殊文字を処理せずにデータを受け渡してしまうことです。 テクニカルエラー(実装段階で生まれる脆弱性) SQLインジェクション、
![Webセキュリティ覚書 : "攻撃" 編 [ 初学者向け ] - Qiita](https://cdn-ak-scissors.b.st-hatena.com/image/square/0118b606e54d7151dde8e72674271b8fc604496f/height=288;version=1;width=512/https%3A%2F%2Fqiita-user-contents.imgix.net%2Fhttps%253A%252F%252Fcdn.qiita.com%252Fassets%252Fpublic%252Farticle-ogp-background-412672c5f0600ab9a64263b751f1bc81.png%3Fixlib%3Drb-4.0.0%26w%3D1200%26mark64%3DaHR0cHM6Ly9xaWl0YS11c2VyLWNvbnRlbnRzLmltZ2l4Lm5ldC9-dGV4dD9peGxpYj1yYi00LjAuMCZ3PTk3MiZoPTM3OCZ0eHQ9V2ViJUUzJTgyJUJCJUUzJTgyJUFEJUUzJTgzJUE1JUUzJTgzJUFBJUUzJTgzJTg2JUUzJTgyJUEzJUU4JUE2JTlBJUU2JTlCJUI4JTIwJTNBJTIwJTIyJUU2JTk0JUJCJUU2JTkyJTgzJTIyJTIwJUU3JUI3JUE4JTIwJTVCJTIwJUU1JTg4JTlEJUU1JUFEJUE2JUU4JTgwJTg1JUU1JTkwJTkxJUUzJTgxJTkxJTIwJTVEJnR4dC1hbGlnbj1sZWZ0JTJDdG9wJnR4dC1jb2xvcj0lMjMyMTIxMjEmdHh0LWZvbnQ9SGlyYWdpbm8lMjBTYW5zJTIwVzYmdHh0LXNpemU9NTYmcz0wYTkwMmQ5NjM4NzVmOWY2OWE4NTExNDY3MjBkZjRmOQ%26mark-x%3D142%26mark-y%3D57%26blend64%3DaHR0cHM6Ly9xaWl0YS11c2VyLWNvbnRlbnRzLmltZ2l4Lm5ldC9-dGV4dD9peGxpYj1yYi00LjAuMCZoPTc2Jnc9NzcwJnR4dD0lNDBUc3V0b3UmdHh0LWNvbG9yPSUyMzIxMjEyMSZ0eHQtZm9udD1IaXJhZ2lubyUyMFNhbnMlMjBXNiZ0eHQtc2l6ZT0zNiZ0eHQtYWxpZ249bGVmdCUyQ3RvcCZzPWNjZjUwMTExZWNkYWFmYWZiYmQ3NzQzMmQ3NGFjMDk2%26blend-x%3D142%26blend-y%3D436%26blend-mode%3Dnormal%26txt64%3DaW4gVGltZXJzIGluYw%26txt-width%3D770%26txt-clip%3Dend%252Cellipsis%26txt-color%3D%2523212121%26txt-font%3DHiragino%2520Sans%2520W6%26txt-size%3D36%26txt-x%3D156%26txt-y%3D536%26s%3Ddebc7d29bc741953df89bdf27c162bd1)
セキュリティミニキャンプ広島2017で講師をした · いいえ
http://www.security-camp.org/minicamp/chugoku2017.html チャレンジ枠という過去の全国修了生に講師やらせようみたいなのがあって、場所は広島ということで呼ばれた。 ミニキャンプとはいえ、講師というポジションは目標の1つであったが、面白いコンテンツを用意できるかという点で悩んだ。 Web診断も始めてまだ1年半ぐらいの若輩者で（しかもアルバイト）、偉そうに講師とかしていいのかよとか思ってたけど、来年は（無事卒業できれば）就職していることもあって、様々な社会が発生するので、できるうちにやっておくかという気持ちもあったので引き受けた。 2日目午前中は、森田さんより、「Webアプリケーション脆弱性診断入門」 #spcamp #seccamp pic.twitter.com/ohpaph6ExM — セキュリティ・キャンプ (@security_cam
Microsoft、OSSのWebサイト解析ツール「SONAR」公開
Microsoftは10月25日(現地時間)、「sonar: Linting the web forward - Microsoft Edge Dev BlogMicrosoft Edge Dev Blog」において、Webページの解析を行うためのツール「SONAR」を発表した。オンラインツールとしてサイトを解析できるほか、コマンドラインツールとしてローカルで利用することもできる。最新のルールセットが使われており、今度も開発への投資が表明されているなど、Webページ解析ツールとしての活用が期待できる。 Web技術の発展は速く、Webページを構成するコンテンツやコード、スタイルは複雑化している。構築されたWebページが規約に準拠しているかをエンジニアが自らの知識のみで判定することは難しい。SONARのようなツールを利用することにより、すでに構築したWebページの内容が規約にそった適切なもので
自律制御するWebサーバのための高速に動作する権限分離アーキテクチャ / pepabo-web-priv-autonomous
超高集積マルチテナント環境におけるなめらかなシステム
セキュリティと性能要件を同時に満たすWebサーバホスティング技術の最新動向 / virtualhosting-security-performance-operasion
ロリポップは 2001 年以来、約 15 年間ホスティング (レンタルサーバ) サービスを提供してきた。その間、ハードウェアやソフトウェアの進化に伴って要求されるサービス品質も高くなってきており、いかにサービス事業者の運用コストを減らしながらも、高品質なサービスを提供するかが重要である。そこで、私が京都…
Webサーバのベンチマークツールはh2loadが便利 - 人間とウェブの未来
Webサーバのベンチマークをとるのが趣味になりつつあるmatsumotoryです。 Webサーバのベンチマークについては、abからはじまりwrk等を使っていたのですが、最近ではほぼh2loadを使っています。 h2loadはnghttp2というHTTP/2ライブラリのアプリケーションに含まれているツールですが、 HTTP/2（SPDYも）とHTTP/1.xに両対応している ベンチマーク側の同時スレッド数を増やせる TLS及びSNIもサポートしている 最小、最大、平均、標準偏差あたりもちゃんとでる ので、色々プロトコルを変えつつ同じベンチマークツールで、値の目安を出すにはとても重宝しています。 Nghttp2: HTTP/2 C Library - nghttp2.org 実行結果のサンプルは例えば以下、 $ h2load -c 100 -n 10000 https://localhost:
学生時代に知っておきたかったWeb技術の学び方の学び方 | リブセンス
「プログラミングを学ぼうと瞬間最大風速的に意識は高くなるものの、一人でいると気がついたら一日ソシャゲして夕方頃に『また今日も勉強できなかった』と自己嫌悪。」モチベーションが続かない時の対策をはじめ、学び方、学べる環境の作り方をまとめています。
本当の基礎からのWebアプリケーション入門――Webサーバを作ってみよう
このページの目的は、 Webアプリケーションの基礎の基礎を説明することです。 さて、ここから下のぐだぐだは読み飛ばして、 いきなり実装の説明に 行ってもらってもかまいませんが、一応趣旨を書いておきます。 現在、プロのプログラマーの方々には、日々の仕事でせっせと 「Webアプリケーション」を作っている人が多いと思います。 そして、いまどきWebアプリケーションを作るのに、 CGIとかあり得ないでしょうから、 それなりの高級言語で、 それなりのフレームワーク等を使用して作っているのだと思います。 私自身、現状、仕事では主にC#とASP.NETを使っています。 そうやって生産性を上げるのは大変よいことだと思うのですが、 ことWebアプリケーションにおいては、 そのような「一見簡単そう」なフレームワークを使っても、 ちょっとややこしいことをやろうとするとすぐにうまくいかなくなって、 職場の先輩に聞
オワスプナイト20150115 dependency check
6. Webアプリセキュリティ教育に関する取組み 1. 半日の入門コースを定期開催 – 基本的に座学中心 – 脆弱性のメカニズムと対策について、原理・原則を学ぶ – 受講者は、「PM」「SE」等の技術職以外に、Web企画職の方も 2. 社内ハードニングイベントを開催 – 現実的に起こりうるシナリオを体験する – 開発・運用・インシデント対応で必要なスキルを学ぶ 理論 実践 8. アジェンダ（例） • Webアプリケーションインシデントとビジネスインパクト事例 • セキュアなWebアプリケーション開発ー 概 論 ー • Webアプリケーションのセッション管理 • セッション管理の不備をついた攻撃と対策 – セッションハイジャック – セッションフィクセーション（セッション固定） – クロスサイト・リクエスト・フォージェリ • 入出力の不備を突いた攻撃と対策 – クロスサイトスクリプティング
伊藤直也氏が「Web開発は高度化している」と語る理由と、押さえておきたい3つの技術領域【2014年前半のインプットlog】 - エンジニアtype
KAIZEN platform Inc. Senior Technology Advisor 伊藤直也氏（@naoya_ito） 2002年に新卒入社したニフティでブログサービス『ココログ』の開発担当となり、一躍有名になる。その後、はてなで『はてなブックマーク』など各種サービスを立ち上げ、2010年にグリーへ入社。2012年に同社を退職して以降は、フリーランスとしてベンチャーの技術顧問などを請け負う。自身のブログ『naoyaのはてなダイアリー』が人気 「Webアプリの実装で差別化は無理」という考えが変わった 現在、KAIZEN platform Inc.をはじめ複数社の技術顧問を務めている伊藤直也氏。「普段から、アウトプットの目的なく技術の勉強をすることはほとんどない」という性分から、今年上半期は「顧問としてベストプラクティスを提供するために知っておくべき領域」にフォーカスして情報収集を
2014年のウェブシステムアーキテクチャ - stanaka's blog
(Monitoring Casual Talk in Kyotoで発表してきたので、ブログエントリにまとめ直しました) 2013年はインフラ周りの技術的な進化が大きく、いくつかのエポックメイキングな概念と実装が産まれました。個人的には特に以下の2つが大きいと思っています。 AWSの本格普及期 DockerとImmutable Infrastructure これらを踏まえて、2014年のウェブシステムの進化の方向性を考えてみます。また、それによるモニタリングへの影響もあわせて考えます。だいぶ長くなってしまったので、急ぐ人は最後に結論をまとめましたので、そちらからどうぞ! 2013年という時代背景 AWSが本格普及期を迎えているのは、言わずもがなのことで、Re:Inventでの246件という膨大のセッション数などにその勢いが表われています。 また、DockerはLXC (LinuX Conta
G-WANはなぜ速いのか？をnginxと比べながら検証してみた - blog.nomadscafe.jp
ツチノコブログのWEBサーバベンチマークツール比較の記事で紹介されていた。WebサーバのG-WAN。この記事によると凄く速いようです。 Intel Xeon E5-2640 (6コア/12スレッド 2.50GHz) を2つというサーバで gwan 334944 req/s nginx 111842 req/s と、速いと言われているnginxの3倍の速度を出しています。 このベンチマーク結果がとても気になったので、なぜG-WANが速いのか、自分でも検証してみました。 結論から言うと以下の2つ。 1) G-WANはデフォルトで物理CPUに合わせた数のスレッドを起動する 2) HTMLファイルも一度読み込んでキャッシュする という事です。 今回はAWSのcc2.8xlarge(E5-2670 8コア/16スレッド 2.60GHz *2)を使ってベンチマークを行いました。OSはAmazon L
Shortfin Web Server
Shortfin is a fast and lightweight static web server made to run web apps.Install Shortfin is completely written in C and currently only runs on Linux, but porting to xBSD has been initiated. Just run the following command as root to install the server. # wget http://shortfin.io/install.sh && sh install.sh Config To get the best performance out of the server it's important that you configure it
LTSVフォーマットなログを fluentd + GrowthForecast で料理 - naoyaのはてなダイアリー
ここ数年のデータ解析の重要性の高まりから、ログに関するソリューションが方々で活発に探求されている昨今でございます。ウェブサーバーの単純なアクセスログをそのまま保存するではなく追加情報を添加してみたり、あるいはアプリケーションから直接ログを吐いてそれらをデータウェアに投げ込んで･･･というのも当然のように行うようになりましたね。 しかしあまり自由度のない access_log の combined フォーマット。さてどうしたもんか･･･ ここで id:stanaka の登場です。 Labeled Tab Separated Valueというのは、はてなで使っているログフォーマットのことで、広く使われているTSV(Tab Separated Value)フォーマットにラベルを付けて扱い易くしたものです。はてなでは、もう3年以上、このフォーマットでログを残していて、one-linerからflue
Security Briefs: SDL Embraces The Web
The SDL also permits a small set of attributes for these elements, but before we get into this, it's more important to discuss validation techniques. One of the most effective techniques for validating user input is to use a regular expression, either through the RegularExpressionValidator control or the Regex class: // ensure the user input matches the form of a US ZIP code if (!Regex.IsMatch(Te
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
Webサーバ拡張における排他制御のパフォーマンスチューニング /performance_tuning_of_exclusive_control in_web_server extension
pynyumon/2_scraping.md at master · pynyumon/pynyumon
Webサーバの高集積マルチテナントアーキテクチャに関する研究 / Studies on Highly Integrated Multi-Tenant Architecture for Web Servers
ターミナルの出力をWeb経由で共有できるコマンドラインツール「Gotty」が公開。
ウェブパフォーマンスの基礎とこれから
