NANAROQ(ナナロク)｜ガバナンス・リスク・コンプライアンス・セキュリティをサポート社名変更およびコーポレートサイトURL変更のお知らせ NANAROQ株式会社は、2018年3月1日に「株式会社GRCS（ジーアールシーエス）」へ社名変更いたしました。 日本語表記： 株式会社GRCS（ジーアールシーエス） 英語表記： GRCS Inc. 新コーポレートサイト： https://www.grcs.co.jp/ ※ ブックマークの変更をよろしくお願いします。 ※ 所在地、電話番号などに変更はございません。
Webアプリケーションを作る前に知るべき10の脆弱性 ― ＠IT
Webアプリケーションが攻撃者に付け込まれる脆弱性の多くは、設計者や開発者のレベルで排除することができます。実装に忙しい方も、最近よく狙われる脆弱性のトップ10を知ることで手っ取り早く概要を知り、開発の際にその存在を意識してセキュアなWebアプリケーションにしていただければ幸いです。 Webの世界を脅かす脆弱性を順位付け OWASP（Open Web Application Security Project）は、主にWebアプリケーションのセキュリティ向上を目的としたコミュニティで、そこでの調査や開発の成果物を誰でも利用できるように公開しています。 その中の「OWASP Top Ten Project」というプロジェクトでは、年に1回Webアプリケーションの脆弱性トップ10を掲載しています。2004年版は日本語を含む各国語版が提供されていますが、2007年版は現在のところ英語版のみが提供さ
「わざと脆弱性を持たせたWebアプリ」で練習を
命名・「やられWebアプリケーション」（仮） 構築したWebアプリケーションがセキュアかどうかを確かめる方法として、疑似的に攻撃を行うことで問題を発見する「脆弱性診断」があります。脆弱性診断は専門業者が実施することがほとんどだと思いますが、あなた自らが脆弱性診断の技術を身につけることで、セキュアWebアプリケーションについての理解が深まるとか、自社内で脆弱性診断ができるようになるといったこともあるかもしれません。 脆弱性診断の技術を身につける過程では、脆弱性を見つける手法を試したり、診断ツールを試したりする必要がありますが、診断といえど攻撃と同様のことを行うので、気軽に実稼働環境で実験するわけにもいきません。ましてや、他人や他社のWebサイトで試すなどはもってのほかです。 そこで、わざと脆弱性を持たせたWebアプリケーションと、それを動作させる環境が必要になります。 このような環境をわざわ
［気になる］JSONPの守り方
XSSにCSRFにSQLインジェクションにディレクトリトラバーサル……Webアプリケーションのプログラマが知っておくべき脆弱性はいっぱいあります。そこで本連載では、そのようなメジャーなもの“以外”も掘り下げていきます （編集部） JSONPだって、セキュリティを気にしてほしい 皆さんこんにちは、はせがわようすけです。今回は、JSONPを使用する場合のセキュリティについて解説しましょう。 JSONPとは、JSON with Paddingの名称が示しているとおり、JSON形式のデータにコールバック関数の呼び出しのためのコードを付加することで、クロスドメインでデータの受け渡しを実現するためのデータ形式です。JavaScriptからクロスドメインでのデータが簡単に扱えることなどを理由に、多数のWebアプリケーションでAPIの一部としてJSONP形式でデータの提供が行われています。 具体的な例を見
XMLをparseするアプリのセキュリティ - 2009-06-21 - T.Teradaの日記
「XML」「セキュリティ」という単語でWeb検索すると、多くヒットするのはXMLデジタル署名やXML暗号などを説明したWebページです。 本日の日記では、それとはちょっと違うテーマ（XXEと呼ばれる攻撃）について書きます。 脆弱なコードと攻撃方法 さっそく脆弱性があるサンプルプログラムです。 import java.io.*; import javax.servlet.*; import javax.servlet.http.*; import org.w3c.dom.*; import org.apache.xerces.parsers.*; import org.xml.sax.*; public class Test1 extends HttpServlet { public void service(HttpServletRequest request, HttpServletRe
セキュリティホール memo - 2009.06
》 フィンランドの摩訶不思議な飴 （フィンランド出張旅行記 その1） (エフセキュアブログ, 6/29)。フィンランドといえばやっぱり、北欧空戦史かなあ。安価だし、文章も読みやすい。 やる夫が雪中の奇跡を起こすようですでもいいかも。 ふつうに読みたい人は: 雪中の奇跡。 ふつうじゃなく読みたい人は: 冬戦争 (アンサイクロペディア) 》 京教大事件ネット中傷学生、反省文後も再び (読売, 6/29)。なんだかなあ。関連: またネットで準強姦被害者中傷 訓告処分の京都教育大生 (asahi.com, 6/29) 【集団暴行】京都教育大 退学は当面見送り 停学処分に戻し更生へ (産経 MSN, 6/24) 》 植草元教授に実刑、不当の声も？ブロガー次々と反論アップ (まぐまぐニュース, 6/29)。最高裁第 3 小法廷が上告棄却、懲役 4 か月の実刑確定。 まぁ、最高裁裁判官の第 3 小法廷は
Firefoxをセキュアに--お勧めアドオン10選
文：Don Reisinger（Special to CNET News.com） 翻訳校正：村上雅章・野崎裕子 2009-06-03 08:00 ウェブサーフィンを安全に行うということは極めて重要であるものの、安全さと快適さは時に相反する場合がある。しかしFirefoxのユーザーであれば、セキュリティを強化するアドオンをインストールしておくことで、ワームやハッカー、フィッシング詐欺といった脅威に備えることができるのだ。 ただし、こういったアドオンをインストールしたからと言って、絶対に安全であるとは言いきれないという点は述べておく必要がある。信頼できるサイトのみを訪問し、出所の不明なファイルをダウンロードしないということを常に心がけてほしい。 ＃1：BetterPrivacy BetterPrivacyを使用することで、有効期限が長く、削除されないトラッキングクッキーの脅威から身を守ること
リネージュ資料室
News 2014-05-20 L2アップデート アップデート 2014-05-13 L2アップデート アップデート 2014-04-08 L2アップデート アップデート 2014-02-14 L2アップデート アップデート 2014-02-12 L2アップデート アップデート 2013-12-03 L2アップデート Episodion 2013-09-10 L2アップデート アップデート 2013-07-23 L2アップデート アップデート 2013-05-28 L2アップデート アップデート 2013-05-24 セキュリティ Windows版QuickTimeの深刻な脆弱性修正 2013-05-21 L2アップデート アップデート 2013-05-15 セキュリティ Adobe Flash Player、Acrotabなどの脆弱性修正 2013-05-14 L2アップデート アップデ
PHP と Web アプリケーションのセキュリティについてのメモ
このページについての説明・注意など PHP は、Apache モジュールや、CGI、コマンドラインとして使用できるスクリプト言語です。このページでは、主に PHP における、Web アプリケーションのセキュリティ問題についてまとめています。 Web アプリケーションのセキュリティ問題としては、以下の問題についてよく取り挙げられていると思いますが、これらのセキュリティ問題について調べたことや、これら以外でも、PHP に関連しているセキュリティ問題について知っていることについてメモしておきます。 クロスサイトスクリプティング SQL インジェクション パス・トラバーサル(ディレクトリ・トラバーサル) セッションハイジャック コマンドインジェクション また、PHP マニュアル : セキュリティや、PHP Security Guide (PHP Security Consortium) には、PH
高木浩光＠自宅の日記 - ASPとかJSPとかPHPとかERBとか、逆だったらよかったのに
■ プログラミング解説書籍の脆弱性をどうするか 印刷されて流通する書籍に脆弱性がある、つまり掲載されているサンプルコードにズバリ脆弱性があるとか、脆弱性を産みやすいコーディングスタイルを身につけさせている解説があり、それが脆弱なプログラマを生産し続ける根源になっている問題は、「なんとかしないといけないねえ」と以前から言われてきた。 ソフトウェア製品の脆弱性は、指摘があればパッチが提供されたり修正版に差し替えられたりするが、書籍の脆弱性はどうか。正誤表が差し込まれるとか、回収する措置がとられるかというと、それは望めそうにない。言論には言論で対抗すればよいということになるだろうか。 久しぶりにいくつかの書籍について調べてみた。先月園田さんの日記などで比較的評判良く紹介されていた2冊を読んだ。 山本勇, PHP実践のツボ セキュアプログラミング編, 九天社, 2004年6月 GIJOE, PHP
シングルクォートもきちんとエスケープする - 素人がプログラミングを勉強していたブログ
追記2：2007-10-11 - hoshikuzu | star_dust の書斎を見ると、下に書いてるような対策では不十分なようだ。 追記：エスケープすべき文字は、Re: JavaScript内（文字列）にデータを出力する場合の適切なエスケープ手順｜freeml byGMOなどを参考に。 シングルクォート(')をエスケープせずXSSの原因になっているサイトをけっこう見かけたので、どういう時問題になるのか書いておく。 JavaScriptの文字列を動的に埋め込む場合。 <script> var q = 'hoge"fuga'; document.getElementById('word').appendChild(document.createTextNode(q + 'の検索結果')); </script> のように、変数に代入する文字列を動的に作っている場合、RubyのCG
セキュリティ
情報の秘匿 データの内容を意図した相手にしか読めないようにすること。通信データの盗聴はカード番号や個人情報の盗難、企業情報の漏洩などを引き起こし、後になりすましなどの不正行為の手がかりとなります。情報の秘匿は暗号化技術により実現されます。 情報の完全性 データの内容が意図的な改ざん、あるいは偶発的な破損を受けたときに検知できること。表示されている情報が正しいことを保障できないインフラでは契約や取引などに使用できません。電子署名を使用することで署名が行われてから情報が変更されていないことが保障されます。 身元情報の証明 相手の身元情報が信頼できること。第三者による成りすましを阻止できなければいけません。認証局 (CA) によって発行された証明書を使用して相手の身元情報を客観的に証明することができます。ただし、その身元情報を認識して意図した相手かどうかを確認する (認証) 責任はユーザにありま
高木浩光＠自宅の日記 - 日本のインターネットが終了する日
■ 日本のインターネットが終了する日 （注記：この日記は、6月8日に書き始めたのをようやく書き上げたものである。そのため、考察は基本的に6月8日の時点でのものであり、その後明らかになったことについては脚注でいくつか補足した。） 終わりの始まり 今年3月31日、NTTドコモのiモードが、契約者固有ID（個体識別番号）を全てのWebサーバに確認なしに自動通知するようになった*1。このことは施行1か月前にNTTドコモから予告されていた。 重要なお知らせ:『iモードID』の提供開始について, NTTドコモ, 2008年2月28日 ドコモは、お客様の利便性・満足の向上と、「iモード(R)」対応サイトの機能拡充を図るため、iモード上で閲覧可能な全てのサイトへの提供を可能としたユーザID『iモードID』（以下、iモードID）機能を提供いたします。 （略） ■お客様ご利用上の注意 ・iモードID通知設定は
Tomcatを安全にするセキュリティマネージャとは？ (1/3) - ＠IT
Tomcatを安全にするセキュリティマネージャとは？：Tomcatはどこまで“安全”にできるのか？（6）（1/3 ページ） 本連載「Tomcatはどこまで“安全”にできるのか？」では、いままでTomcat 6の新機能と、できるだけセキュアなWebアプリケーションサーバをTomcatで構築するためのヒントをいろいろと紹介してきました。 今回は、Tomcatセキュリティ連載の最後として、「セキュリティマネージャ」を利用したTomcatでのセキュリティの確保について解説していきたいと思います。 Tomcatの安全性を高めるセキュリティマネージャとは？ 「セキュリティマネージャ」（java.lang.SecurityManagerクラスが使われる）とは、信頼されていないコードを実行することでローカルファイルシステム上にあるファイルへとアクセスしたり、Javaアプレットのダウンロード元のホスト以外と
無料でWebアプリにありがちな脆弱性を調べて治す
無料でWebアプリにありがちな脆弱性を調べて治す：Tomcatはどこまで“安全”にできるのか？（5）（1/3 ページ） 前回の「Tomcatのセキュリティとリスクの基本分かってる？」ではTomat自体が持つ脆弱（ぜいじゃく）性について調べていきましたが、今回はWebアプリケーションのセキュリティについて調べていきましょう。 Webセキュリティを調べる無料ツールとは？ Webアプリケーションが持つ脆弱性はいくつか存在しますが、前回の説明にあった「インジェクション系」や「クロスサイトスクリプティング」（XSS）などが有名です。それ以外にも「パラメータ改竄（かいざん）」や「セッションハイジャック」といった脆弱性が一般的にはよく見つかります。 このような脆弱性は特定の手法で見つかることはよくありますが、すべての手法を人が覚えて実行するのは大変です。設定のミスまで自分で探すのはとても大変なことで、常
セッションを使ったフォーム処理にありがちな問題点 - T.Teradaの日記
入力画面が複数に渡るフォームで、ユーザが各画面で入力したデータを、hiddenによって引き回すのではなく、セッション変数（セッションIDにヒモ付いてサーバ側に格納される情報）に一時保存するタイプのWebアプリケーションが増えているように思います。 フォーム処理でセッションが使われるのは、「実装をシンプルにしたい」「携帯サイトなどで通信量を減らしたい」といった理由のほかに、「アプリケーションをセキュアにしたい（hiddenだと改竄される）」という理由があるのではないかと思います。 しかし、セキュリティ上の問題は、セッションを使ったフォーム処理においてもしばしば見つかります。 以下では、セッションを使ったフォーム処理で、割と多く見つかる問題について書きます。 画面遷移の不正 ある会員制サイトの、会員登録フォームを会話風に書いてみます。 会員登録の際には、氏名、生年月日、住所の3つを登録します。
java:securityfilter [paulownia.jp]
いくつか依存JarがあるのでMavenを使うと楽。 <dependency> <groupId>securityfilter</groupId> <artifactId>securityfilter</artifactId> <version>2.0</version> </dependency> web.xmlにフィルタ設定を記述 <filter> <filter-name>securityfilter</filter-name> <filter-class>org.securityfilter.filter.SecurityFilter</filter-class> <init-param> <param-name>config</param-name> <param-value>/WEB-INF/securityfilter-config.xml</param-value> </in
おすすめプロポリス製品ランキング
このページでは、私が購入してみて十分なパワーを実感することができた製品を紹介しています。 これまでに数十種類の健康食品・ミツバチ関連製品を試してきましたが、その中でも特に満足できたサプリだけを厳選しました！ 匂いや味を気にせずに続けられた 目的をクリアできた（十分な変化を体感できた） コスパに満足できた 安心して飲み続けることができる条件が揃っていた これらポイントを意識して製品を選んでいます。 これからプロポリスを選ぶ方は、ぜひ、参考にしてみてください。 年齢：51歳 性別：女性 「見た目年齢が明らかに衰えてきた」 「いくら眠ってもグッタリがとれない」 そんな日々が続き、なんとかならないものかと購入したのが健康食品。 実際に飲んでみると、確かにイイ感じ。 だけど、もう少し自分に合うものがあるのではないか…と考えてアレコレと試した結果、私が辿り着いたのがプロポリスです。 他にもミツバチ関連
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
http://server.denksoft.com/wordpress/web-development/secure-ajax-channel-srp-hermetic/
http://blogged-on.de/xss/