デバッガを利用してWebアプリの脆弱性を分析してみた - とある診断員の備忘録
11/15に開催されたこちらの勉強会に参加いたしました！ デバッガでWordPress本体やプラグインの脆弱性を追いかけてみよう - connpass こちらの勉強会は、「WordPress本体とプラグインの脆弱性をデバッガで追跡することにより、脆弱性の中身について詳しく追跡し、理解を深める」という内容のものであり、なんとあの徳丸浩さんが講師をされています！ 私個人としては、仕事というか半分趣味でゆるゆる脆弱性の検証をしており、今回の勉強会はまさに自分の興味分野にドンピシャな内容だったので、非常に楽しんで参加させていただきましたｗ 私はこちらの勉強会にブログ枠として参加いたしましたので、勉強会の内容について本ブログにてレポートいたします。 分析対象の脆弱性について 今回分析する題材となった脆弱性は以下の二つです。 なお、二つの脆弱性とも徳丸さんが詳細な解説記事をブログにて公開されております
WordPressのショートコードを簡単に作成・管理できる便利なプラグイン -Snippy
WordPressで自分用のショートコードを作成するのは通常、function.phpを触らないといけないので、少し面倒です。管理画面で簡単にショートコードを作成でき、管理もできるWordPressのプラグインを紹介します。 ショートコードはHTML, CSS, JavaScriptに対応しており、単独でも組み合わせても利用できる優れものです。 Snippy Snippyの特徴 Snippyのダウンロードとインストール Snippyの使い方 Snippyの特徴 Snippyは、独自のカスタムショートコードを素早く作成できます。 function.phpを編集する必要はなく、管理画面で簡単に作成できます。 Snippy 対応しているコードは、下記の通り。 HTML CSS JavaScript YouTube動画を埋め込むコード、Googleマップを埋め込むコードなど、自分用にカスタマイズし
WordPress 4.7.1 の権限昇格脆弱性について検証した
エグゼクティブサマリ WordPress 4.7と4.7.1のREST APIに、認証を回避してコンテンツを書き換えられる脆弱性が存在する。攻撃は極めて容易で、その影響は任意コンテンツの書き換えであるため、重大な結果を及ぼす。対策はWordPressの最新版にバージョンアップすることである。 本稿では、脆弱性混入の原因について報告する。 はじめに WordPress本体に久しぶりに重大な脆弱性が見つかったと発表されました。 こんな風に書くと、WordPressの脆弱性なんてしょっちゅう見つかっているという意見もありそうですが、能動的かつ認証なしに、侵入できる脆弱性はここ数年出ていないように思います。そういうクラスのものが久しぶりに見つかったということですね。 WordPress、更新版で深刻な脆弱性を修正 安全確保のため情報公開を先送り Make WordPress Core Conten
PhpStorm: PHP IDE and Code Editor from JetBrains
Major frameworks support PhpStorm is perfect for working with Symfony, Laravel, Drupal, WordPress, Zend Framework, Magento, Joomla!, CakePHP, Yii, and other frameworks. All the PHP tools The editor actually 'gets' your code and deeply understands its structure, supporting all the PHP language features for modern and legacy projects. It provides the best code completion, refactorings, on-the-fly er
思ったより簡単！WordPressのサムネイルを別サイズも含め作り直す方法！！ | 株式会社LIG(リグ)｜DX支援・システム開発・Web制作
こんにちは。プログラマーの卓司です。 今回はWordPressのサムネイルを再度、別のサイズも含めて作成する方法をまとめます。 0. 前段 先日、某WEBサイトの機能改修でサムネイルの画像サイズが微妙に異なるものを利用したいとの要望がありました。 『お。サイズ変えたいんだ。widthとheightいじってさくっとおわらせちゃお。』 WordPress中々さわる機会がなかったので、ソースを読んでびっくり。 サムネイル出力は <?php the_post_thumbnail('large-feature'); ?> と。。。 『え？画像サイズ変えりゃ済むもんじゃないんですか？』 有識者様に相談した所、新たに使いたいサムネイルのサイズを定義して、再度サムネイルを作成し、それを参照するのだそうで。。。 WordPress一年生の僕には『うわっ、面倒。。。』と少し抵抗がありました。 しかし、やってみ
Bootstrap ベースのシンプルでカスタマイズ性の高い WordPress テーマ Habakiri が公式ディレクトリに掲載されました。
Habakiri Bootstrap ベースのシンプルな WordPress テーマ。レスポンシブ、多くのカスタマイズ機能。圧縮された CSS・JS を使用する高速化対策。Microformats 対応。Sass、クラスベースの functions.php。 公式サイトを見る 先日、WordPress の公式テーマディレクトリにテーマ Habakiri が掲載されました。以前掲載された Kotetsu に続き2つ目のテーマ掲載となります。 お使いの WordPress の管理画面にログインし、テーマインストール画面で「Habakiri」と検索すればすぐにインストールできます。このサイトも Habakiri を親テーマとして使っているので、だいたいの雰囲気はわかるかなと思います。 Habakiri の特徴 WordPress テーマ Habakiri には次のような特徴があります。 Boot
ハッカー（クラッカー）の気持ちで考えるWordPressのセキュリティー対策 | 無料WordPressテーマ BizVektor [ ビズベクトル ]
WordPressのセキュリティ設定に関するブログ記事は山ほど見かけますが、今回はよく発生する改ざんについて「効果が高い」「比較的カンタンに出来る」「費用がかからない」という視点でピンポイントに対策したいと思います。 不正アクセスの目的と手口 そもそも何が目的で不正アクセスをしようとしてくるのか？ 自分も含めいろいろな改ざん報告を見ると、 改ざん者が関連しているウェブサイトへ誘導するスクリプトをこっそり書いていく 投稿の本文の文中にサイトへの誘導リンクを書き込む メールを自動送信するプログラムが書いてあるファイルをテーマディレクトリ内に置かれる というケースが多いようです。 効率良く改ざんするための手順 それでは、上記の事を達成するのに効率が良いのはどんな方法か？ 現実的に考えて、人間が手動で一つ一つのサイトにハッキングを試みるのはどう考えても効率が悪いです。そんな事をするくらいなら時給で
![ハッカー（クラッカー）の気持ちで考えるWordPressのセキュリティー対策 | 無料WordPressテーマ BizVektor [ ビズベクトル ]](https://cdn-ak-scissors.b.st-hatena.com/image/square/f766f5261227a22c288258afdfb88c6481b833da/height=288;version=1;width=512/https%3A%2F%2Fbizvektor.com%2Fwp-content%2Fuploads%2Fsec1-1024x538.jpg)
少しのコードで実装可能な20のWordPress小技集
2016年10月27日 Wordpress CSSの小技やjQueryの小技、スマートフォン対応など、これまで様々な小技集を紹介してきました。そこで今回はWordPressの小技を紹介しようと思います！基本から応用まで、簡単なコードで設置可能なので、WordPress初心者さんでも大丈夫！みなさんのサイトに合わせてカスタマイズしてくださいね！ ↑私が10年以上利用している会計ソフト！ 目次 カスタムメニューの設置 アイキャッチ画像（サムネイル画像）を利用する 検索ワードをハイライト Twitterのユーザー名を自動的にリンクさせる デバイスによってコンテンツ変える 画像を挿入する際、P タグで囲まないようにする 「続きを読む」リンクをカスタマイズ ショートコードを作成 ショートコードをテンプレートファイル内で実行する 古い記事にメッセージを表示する RSSフィードに画像を追加 記事に含まれ
WordPress JSON REST API に OAuth でログインしてみた
まとめ：割と大変（今のところ）。 WordPress JSON REST APIとは WordPress JSON REST APIとは、WordPressの外部からWordPressのデータベースにアクセスできるAPIのことです。まだWordPressに組み込まれた機能ではありませんが、すでに注目を集めている新機能のひとつです。バージョン4.1のマイルストーンに組み込まれていますので、近い将来にコアに組み込まれると思われます。他の新機能と同様プラグインで開発が進められています。 このAPIを使うと、WordPressとやりとりできるリソースはURIで表され、JSON形式のデータでやりとりすることができます。RESTの概念を説明しだすと長くなるのですが、要するにかんたんにシステムとデータのやり取りをするための人気のある規格と覚えておいていただければと思います。実際に、これまでもXML-RP
WordPressで特定ページにだけコードを埋め込める便利プラグインの使い方をご紹介 -CSS & JavaScript Toolbox
特定のページだけヘッダに手をいれたい、テキストや画像を加えたい、CSSやJavaScriptやPHPを適用するなど、特定の複数ページにだけコードを埋め込めるWordPressのプラグインを紹介します。 個別にCSS/JavaScriptを埋め込むことができるプラグインは他にもありますが、HTMLやPHPにも対応、そしてそれらを一元管理できるのはこれだけだと思います。 CSS & JavaScript Toolbox 以前ご紹介したCSS&JavaScript Toolboxが新しいバージョンをリリースされたので、改めて紹介します。 新しいバージョンになり、Free版とPro版の機能の差はなくなりました。 ※Pro版はサポートやフォーラムへのアクセス権がつきます。 CSS & JavaScript Toolboxの特長 CSS & JavaScript Toolboxのインストール CSS
DoSの踏み台にされているJPドメインのWordPressをまとめてみた - piyolog
Krebsが自分のサイト(KrebsOnSecurity)に対して41,000超のWebサイトからDoSを受けていると報告しています。 このDoSはWoredpressのpingbackを悪用したものらしく、先日、Sucuriもpingback機能を悪用したDoSについて報告していました。 More Than 162,000 WordPress Sites Used for Distributed Denial of Service Attack WordPressの16万サイトが大規模攻撃の踏み台に、「Pingback」機能悪用 - ITmedia エンタープライズ pingbackを悪用したDoS方法 pingbackはハイパーリンクを設置したことを通知する仕組みですが、リモート投稿(XMLRPC)の機能（WordPressのxmlrpc.php）に対して次のPOSTを送信するとそのW
Dreamweaverで始めるWordPressサイト構築の基礎知識
本連載では、CMSのスタンダードでもある「WordPress」のテーマ作成を、「Adobe Dreamweaver CC」（以下、Dreamweaver）をメインに用いてさまざまなモダンな技術を組み合わせながら爆発的に捗（はかど）らせる方法を解説していく。さまざまなモダンな技術としては、「Sass」「Compass」「Emmet」（旧、Zen-Coding）を想定している。 今回は、Dreamweaverの概要と最新版Dreamweaverの新機能、WordPressの概要、Dreamweaver＋WordPressの環境構築を行う際に必要な初期設定などを紹介していこう。 そもそもDreamweaverとは、なぜDreamweaverを使うのか DreamweaverはWebサイト／Webアプリケーションの制作ツールだ。HTMLエディタという見方をすれば非常に動作が重そうで、他の軽量なエデ
個別のHTML, CSS, JS, PHPを追加・管理できるプラグイン -CSS & JavaScript Toolbox | コリス
WordPressで特定のページだけ個別のスタイルシートやスクリプトを使いたい！ しかも1ページだけでも複数のページにも適用する場合がある！ そんな要望を叶えてくれます。 投稿記事、固定ページ、カテゴリページ、カスタム投稿記事に、個別のHTML, CSS, JavaScript, PHPのコードを追加でき、一元管理もできるプラグインを紹介します。 CSS & JavaScript Toolbox CSS & JavaScript Toolbox -WP Plugin Directory 以前、紹介したCustom CSS and JSは記事や固定ページごとにそれぞれ個別のCSS, JavaScriptの外部ファイルやコードを追加できるプラグインで、これは手軽に利用できて便利ですが、今回紹介するのはそれより高機能。 まずは、その画面をご紹介。 当ブログにインストールした画面です。 左パネルで
セキュリティ対策まとめ（2013年秋）
JOJOのアニメ第三部が正式に決まったそうですね！ 楽しみ～な、にわかファン Latin です。 最近のWordPress界隈ではAmazon Web Serviceが俄然盛り上がっておりますが、大好きなWordPressを守るため、セキュリティ対策をまとめてみました。 初期セットアップ・設定系の対策 データベースのプレフィクス（接頭辞）を変更する wp-config.php 内の「wp_」の接頭辞を任意のものへ変更します。 その場合、追加で以下の作業が発生します。 phpMyAdmin などを使い、データベースのテーブルネームを変更したカスタムプレフィクスに変更する。 options や usermeta テーブルなどの他のフィールドでも「wp_」プレフィクスが使われている可能性がある為、以下のクエリーを走らせてプレフィックスを変更する。 SELECT * FROM `myprefix_
レガシーズ 公式ブログ
レガシーズ 公式ブログ レガシーコードと戦い続ける謎の集団、レガシーズの公式ブログです。 ※レガシーズはレガシーコードを通じて正しいコードの構造や改善の手法を模索する覆面集団です。特定のプロダクトやサービスを誹謗中傷する事が目的ではありません。 みなさん、こんにちは。マスク・ド・レガシーです。 PHPカンファレンスも無事に終わり、ゆっくりと休暇を楽しんでいたところ、にわかにタイムラインが騒がしくなっていました。今回は話題の中心になったSpikaを題材にPHPのコーディングについて考えてみようと思います。 Spikaの概要SpikaはMITライセンス化のオープンソースとして公開されたメッセンジャーアプリケーションです。プロジェクトにはネイティブで実装されたiOS、Android向けのモバイルアプリケーションとPHPで実装されたサーバーサイドを組み合わせる事で独自のメッセンジャーサービスを構築
Creasty | Yuki Iwanaga
Hello. I'm Yuki Iwanaga, a software engineer pursuing beauty in both design and engineering
WordPress の負荷テストと環境改善 - Cybozu Inside Out | サイボウズエンジニアのブログ
「サイボウズ・アドベントカレンダー2012」も、残すは今日と明日のみです（これまでの記事一覧）。 こんにちは、社内インフラ担当の稲生です。今回はWordPressサーバの簡単な改善方法と負荷テストによる比較のお話です。 一般の商用サイトでも利用可能な「WordPress」。サイボウズのWebサイトでも CMS で使ったり、有料 Blog サービスから移行したりと、その恩恵に与っています。そんな WordPress 環境ですが、最近サーバへの負荷が高い？ という連絡を受け、調査がてら負荷テストと環境改善に取り組んだ時のことを紹介します。 ※ 因みにサーバ高負荷の原因は WordPress と全然関係ありませんでした。詳細は本稿の主旨と異なるため省きますが、怪我の功名ということで。WordPress は良い子ですよ。 テスト環境を用意する テスト用に以下の仮想環境を用意しました。 CPU Xe
今年１年何度も読み返したWordPressに関する記事５ | WordPress【ワードプレス】初心者の部屋～使い方知っとこ？
今年1年を通して、何度も読み返した記事を忘れないように整理した。とりあえず、自分のための備忘録。 WordPress で Web製作をしたいけど、PHP はまだちょっとという人の PHP ガイド カスタマイズしたいけど、PHPの知識がないからちょっと…という人におすすめ。 一度目を通しただけで理解するのは難しいけど、何度か読むうちに全体像が頭に入ってきます。 最近は、webデザイナーさんも、システムよりの知識を身につける必要があるみたいで勉強に費やす時間が凄そう。文章量が多いので、読むときは気合いを入れて! WordPress使いならこれだけはやっておきたい本当のセキュリティ対策10項目 | WP-D 自分のサイトにあてはめてチェックしました。内容は基本ばかりだけど、抜けの確認にも最適。SSLを使う僕に死角なし。 WordPressをクライアントワークで使用する際に覚えておくと良さそうな管
新クラウドサービス「PHP APPS」が最強の無料ブログサービスになりそうな件
無料のブログサービスといえばアメブロやFC2、bloggerなどが有名です。かくいう私も忍者ブログの無料レンタルシステムを利用して当ブログを運営しています。 多くの人がこれらのメジャー系無料ブログサービスを利用していると思いますが、ここへ来て新たな無料ブログサービスが誕生しました。これはもしかしたら最強になるかもしれない。 ネットオウルがphpアプリケーションの無料クラウドサービスを開始まずはニュース記事で概要を。 WordPressなどPHPアプリを無料で利用できるクラウドサービス、ネットオウルが提供開始ネットオウルは2012年10月17日、オープンソースのブログプラットフォーム「WordPress」などのPHPアプリケーションを無料（広告表示付き）で利用できるクラウドサービス「PHP APPS」（写真）を提供開始した。サーバー構築や運用の知識を必要とせず、簡単なフォームを埋めるだけです
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
エンジニアの為のWordPress入門 〜WordPressはWebAppプラットフォームです〜
