.NETセキュリティ .NET Frameworkに潜む脆弱性「SMTPコマンド・インジェクション」とその対処法 NTTコミュニケーションズ、セキュリティ・オペレーション・センター（SOC） 佐名木 智貴 2011/01/21 JISコードでエンコードされたメールを.NET Frameworkを用いて送信する際には、メール本文の作成にAlternateViewクラス（System.Net.Mail名前空間）を使う（.NET Framework 2.0以降で利用可能）。しかし、このAlternateViewクラスを使ったメール送信機能には、「SMTPコマンド・インジェクション（SMTP Command Injection）」の脆弱（ぜいじゃく）性が潜んでいることが判明したので、その内容と対策を解説する。 なお、本稿の内容は、2011年1月11日にNTTコミュニケーションズが公表した「.NET

.NET Framework 2.0では、CLR上で動作するプログラム（以降、.NETプログラム）を生成するための新たなビルド・エンジンとして「MSBuild」が搭載された。 そこで本特集では、前・後編の2回に分けてMSBuildの詳細を解説する。前編では、「MSBuildとは何かについてとその利用方法」について、後編では「ビルドの手順（以降、ビルド・プロセス）を記述したMSBuild用ファイルの読み方や書き方、またMSBuildにカスタムの機能を追加して拡張する方法」について説明する。 それではさっそくMSBuildとは何かから説明していこう。 1. 「MSBuild」および「MSBuildファイル」とは？ MSBuildとは、独自のXMLフォーマットのファイル（以降、MSBuildファイル）を解釈して、それに従い.NETプログラムをビルドするためのツールである。 MSBuildファイル

2010/02/03 Windows 7は、従来バージョンのWindowsより、ちょっとマシなだけ――。ヨーロッパを中心に高い市場シェアを持つ総合セキュリティ企業、カスペルスキー ラブスCEOのユージン・カスペルスキー（Eugene Kaspersky）氏は、こう語る。 ――カスペルスキーさんは、常々Windowsはセキュアじゃないと言っていますが、Windows 7はいかがですか？ セキュアだと思いますか？ カスペルスキー　いえいえ（笑）。Windows 7は、Windows OSと同じ設計で、同じアーキテクチャを持った別のバージョンに過ぎません。同じセキュリティの問題を抱えています。autorunを禁止してUSBドライブの利用が安全になるなど修正もありますから、確かに“少し”はセキュアですが、ほんの少しですね。 セキュアなOS環境というのは、信頼できるアプリケーションしか実行の許可を与

C#やVisual Basicなどのコードからアンマネージ・コード（ネイティブ・コード）を呼び出すための「P/Invoke（Platform Invoke、プラットフォーム呼び出し）」には定型作業が多い。例えばC／C++用のマクロ定数は、C#ではenum型として扱いたいところだ。これには例えば次のような書き換えが必要になる。 #define PAGE_NOACCESS          0x01 #define PAGE_READONLY          0x02 #define PAGE_READWRITE         0x04 #define PAGE_WRITECOPY         0x08 （以下略）

「W3Cの賞味期限はあと何年ぐらいだと思いますか？」。先日、あるパーティーでこう聞かれた。私は虚を衝かれたように、思わず真意を聞き返した。なぜなら、私にこの質問をしたのは、日本人として唯一、W3CのXMLワーキンググループで1997～98年のXML 1.0の標準化プロセスに携わった村田真氏だったからだ。村田氏は現在、Office Open XML（主にMicrosoft Officeで用いられる文書形式）の標準化についても情報処理学会 情報規格調査会の専門委員として国際標準化に携わっているなど、この道のエキスパートだ。 驚きはしたが、やはりとも思った。W3Cはもう標準化組織としての黄金期を過ぎ、権威が失われつつある。もしかすると標準化プロセスにしても、もっと良い別のやり方があるのではないか。このところずっとそう感じていたからだ。 W3Cのウィジェット標準を知っていますか？ 村田氏の見立てで

プログラムの実行はどのようにして行われるのか、Linuxカーネルのコードから探る （2017/7/20） C言語の「Hello World！」プログラムで使われる、「printf()」「main()」関数の中身を、デバッガによる解析と逆アセンブル、ソースコード読解などのさまざまな側面から探る連載。最終回は、Linuxカーネルの中では、プログラムの起動時にはどのような処理が行われているのかを探る エンジニアならC言語プログラムの終わりに呼び出されるexit()の中身分かってますよね？ （2017/7/13） C言語の「Hello World！」プログラムで使われる、「printf()」「main()」関数の中身を、デバッガによる解析と逆アセンブル、ソースコード読解などのさまざまな側面から探る連載。今回は、プログラムの終わりに呼び出されるexit()の中身を探る VBAにおけるFileDial

連載：.NET中心会議議事録 第1回 いま使うべき、学ぶべき.NETテクノロジはどれ？ デジタルアドバンテージ　一色 政彦 2009/11/18 ＠IT／Insider.NET内に設置されているコーナー「.NET開発者中心」（以前は「VB研」）の主催により、現場で働く.NET開発者のためのセミナー「.NET中心会議」の第1回が、2009年10月24日（土）に開催された。 今回は「いま使うべき、学ぶべき.NETテクノロジはどれ？」というテーマで、現実的に、開発者が現時点ではどのような技術選択をすべきかについて、パネル・ディスカッションが行われ、下記の4つのテーマに対して、およそ3時間かけて徹底的な議論が展開された。 ●討論テーマ 1：Windowsアプリケーション 2：Webアプリケーション 3：データ・アクセス 4：開発言語 なお、当初はより多くのテーマについての討論を予定していたが、ディ

Windowsアプリケーションで、ユーザーがコントロールに対して入力したキーを処理するには、通常、キーイベント（KeyDownイベント、KeyPressイベント、KeyUpイベント）を処理するメソッドを追加して、そのメソッド内にキー処理内容を実装する（実際の実装方法は「TIPS：コントロールに対するキー入力をフォームで処理するには？」を参考にしてほしい）。このキー処理の工程を、ここでは「キーイベント・プロセス」と呼ぶことにする。 しかし、ある特定のキー（以降、「特殊入力キー」）については、これらのキーイベントが発生しないことがある（つまり、前述のキーイベント・プロセスではキー処理が行えないことがあるのだ）。そのような場合に入力キーを独自に処理するには、キーイベントの発生前の処理工程である「プリプロセス」でキー処理を行う必要がある。この実装方法については「TIPS：Windowsアプリケーシ

2009/10/08 Google DocsやGmail向けとしてグーグルが実装した「Google Docs Viewer」は、PDFやPowerPoint、TIFFに対応するJavaScript版の文書ビューアだ。もともとGoogle DocsやGmailといったサービス上にある文書ファイルや添付ファイルを対象とするビューアだったが、外部のオンライン文書に対してもURLをダイレクトに指定することで利用できる（例えば総務省の資料をDocs Viewerで開く例をクリックしてみてほしい）。Docs Viewerではサーバ側が実体ファイルを読み込み、それをレンダリング。その結果を1ページ1画像としてクライアントに順次読み込ませるという動作をする。 Docs Viwerはグーグルの外部にあるファイルでも利用でき、HTMLページに埋め込む機能もある。このことに、一部のユーザーは気付いていたが、これ

オピニオン：.NET＆開発環境の考察 現実に最も使える.NETのバージョンはどれ？ デジタルアドバンテージ　一色 政彦 2009/10/06 2009/10/07 更新 .NET Framework（以降、.NET）ベースのアプリケーションを開発し、それを実際にユーザーや顧客に使ってもらう場合、「.NETおよびVisual Studioの、どのバージョンを使うべきか？」は重要な検討事項になる。本稿では、その検討の際に参考となる情報や筆者の考えを提示する。 ■.NETバージョンを検討するための3つの観点 .NETのバージョンを決定するには、次の3つの観点から検討できると筆者は考えている。 ・実行環境となるWindows OS ・.NETのサポート期間 ・利用するVisual Studio もちろん、これは絶対的な基準ではない。例えば利用するテクノロジが決まっている場合は、それに応じて.NET

第2回　簡潔なコーディングのために （2017/7/26） ラムダ式で記述できるメンバの増加、throw式、out変数、タプルなど、C# 7には以前よりもコードを簡潔に記述できるような機能が導入されている 第1回　Visual Studio Codeデバッグの基礎知識 （2017/7/21） Node.jsプログラムをデバッグしながら、Visual Studio Codeに統合されているデバッグ機能の基本の「キ」をマスターしよう 第1回　明瞭なコーディングのために （2017/7/19） C# 7で追加された新機能の中から、「数値リテラル構文の改善」と「ローカル関数」を紹介する。これらは分かりやすいコードを記述するのに使える Presentation Translator （2017/7/18） Presentation TranslatorはPowerPoint用のアドイン。プレゼンテー

「Competition」は、特定ジャンル／テーマのWindows対応製品をスペックで横並び比較するコーナーです。 PDF（Portable Document Format）といえば、広く普及している電子文書の標準的なフォーマットである。文書を作成したアプリケーションが何であれ、PDF形式にしておけば、無料で提供されるPDFビューア（Adobe Readerなど）でどこでも文書を表示したり、印刷したりできる。このように幅広く配布可能な形式であると同時に、図版や組版処理などテキスト・ファイルでは不可能な文書構成が可能なことから、最近では私文書だけでなく、企業のニュース・リリースや、官公庁が公開する文書などにもPDFが広く利用されるようになっている。 このように閲覧の機会ばかり多いことから、PDFは文書を閲覧するためのフォーマットと思っている人が多いかもしれない。しかし実際には、PDFはエンド

福森大喜／ラウリ・コルツパルン 株式会社サイバーディフェンス研究所 上級分析官 2009/9/14 ハッカーのためのイベント、DEFCON17で開催されたCTF決勝に日本人が参加！ 参戦レポートの前編では、そこに至るまでの道のりを紹介します（編集部） 今年も開催、ハッカーの祭典「DEFCON」 毎年8月上旬になると、世界中のハッカーがラスベガスを訪れます。これは、「DEFCON」というセキュリティカンファレンスに参加するためです。 このDEFCONには、毎年8000人を超える参加者があるそうです。新しい脆弱性や攻撃手法が公開され、話題になることも多いため、官民学のセキュリティ関係者も注目しています。また、単なるカンファレンスではなく、イベントも多く開催されます。例えばウイルスをアンチウイルスソフトに検知されないようにする方法を競うコンテストから、ビールをいかに早く冷やすかを競うコンテストま

第2回　簡潔なコーディングのために （2017/7/26） ラムダ式で記述できるメンバの増加、throw式、out変数、タプルなど、C# 7には以前よりもコードを簡潔に記述できるような機能が導入されている 第1回　Visual Studio Codeデバッグの基礎知識 （2017/7/21） Node.jsプログラムをデバッグしながら、Visual Studio Codeに統合されているデバッグ機能の基本の「キ」をマスターしよう 第1回　明瞭なコーディングのために （2017/7/19） C# 7で追加された新機能の中から、「数値リテラル構文の改善」と「ローカル関数」を紹介する。これらは分かりやすいコードを記述するのに使える Presentation Translator （2017/7/18） Presentation TranslatorはPowerPoint用のアドイン。プレゼンテー

2009/07/30 ページランク（PageRank）の名称にもその名を刻む、グーグル共同創業者のラリー・ペイジ（Larry Page）氏。1973年生まれの現在36歳。120億ドル（約1兆1400億円）の資産を持つ世界有数の富豪であると同時に、グーグルを率いる主要な経営者の1人だ。 コンピュータサイエンティストで大学教授だった父親の薫陶を受け、幼少時からコンピュータに触れて育ったというペイジ氏は、根っからのエンジニアでもある。創業から10年余り、グーグルという会社はどこへ行こうとしているのか。＠IT編集部は2009年7月23日、来日中だったペイジ氏にグループインタビューする機会を得た。 グーグルがChrome OSに取り組むワケ ――いまグーグルについて最大の話題はChrome OSのアナウンスです。どうしてWebの世界からこの領域へ踏み込もうと考えたのですか？ ペイジ氏　サーゲイやエリ

Ruby 1.9は移行準備オッケー ＠IT　yuguiさんは、2009年2月のDeveloper's Summitの講演で、そろそろRuby 1.8系から1.9系への移行を始めるべきだと主張されてましたね。 園田裕貴氏。裕貴のピンイン表記である「yugui」のハンドル名で知られている。Ruby 1.9系統リリースマネージャで、Rubyコミッタ。1981年生まれ。著書に『初めてのRuby』（オライリージャパン）がある。最近はRailsアプリケーションをよく書いているという yugui　ええ、一般のRubyユーザーはRuby 1.9への乗り換えは慎重にという立場の人もいますけど、私はそろそろ移行を考える時期だと思います。 ＠IT　もう1.9に移行してもオッケーだと。 yugui　もう根本的な仕様が変わることはないという意味でオッケーです。2007年12月に出た1.9.0は、仕様が煮詰まっていな

2009/06/01 グーグルが発表した新しいコミュニケーションプラットフォームの「Google Wave」が大きな反響を呼んでいる。技術的な詳細がかなり明らかにされているので、何が可能かはだいたい予想ができそうだが（だからこそ発表時に会場を埋めていた4000人あまりの聴衆は興奮のあまり立ち上がって喝采を送ったのだが）、誰も想像できなかったようなキラーアプリケーションが登場するのかどうか、あるいはWave自体がキラーアプリケーションなのか、それはまだ誰にも分からない。 レポート記事（【詳報】Google Waveとは何なのか？）への反響を見ると、さまざまな疑問を感じている人がいる。そこでここでは、直接Waveのプロジェクトリーダーに話を聞いたり、別セッションで開発チームが行った説明、およびオンラインドキュメントから読み取れたことなど、いくつか追加情報をまとめたい。ちなみに、Google I