The JSON SQL Injection Vulnerability
tl;dr Many SQL query builders written in Perl do not provide mitigation against JSON SQL injection vulnerability. Developers should not forget to either type-check the input values taken from JSON (or any other hierarchical data structure) before passing them to the query builders, or should better consider migrating to query builders that provide API immune to such vulnerability. Note: 問題の発見者による日
とある診断員とSQLインジェクション
こちらのスライドは以下のサイトにて閲覧いただけます。 https://www.docswell.com/s/ockeghem/ZM6VNK-phpconf2021-spa-security シングルページアプリケーション(SPA)において、セッションIDやトークンの格納場所はCookieあるいはlocalStorageのいずれが良いのかなど、セキュリティ上の課題がネット上で議論されていますが、残念ながら間違った前提に基づくものが多いようです。このトークでは、SPAのセキュリティを構成する基礎技術を説明した後、著名なフレームワークな状況とエンジニアの技術理解の現状を踏まえ、SPAセキュリティの現実的な方法について説明します。 動画はこちら https://www.youtube.com/watch?v=pc57hw6haXk
深刻な「ブラインドSQLインジェクション」の脅威
2013年11月18日から11月21日の4日間にわたり、アメリカ合衆国ニューヨークでWebアプリケーションのセキュリティに関する国際的なカンファレンスである「OWASP AppSec USA 2013」が開催されました。 世界各国から開発者・研究者が一堂に会するこの一大イベントに参加してきましたので、その模様を報告します。 Webアプリセキュリティにまつわるあらゆる話題を扱う「OWASP」 OWASP（Open Web Application Security Project）は、WebアプリケーションおよびWebサービスのセキュリティ向上を目的とした、ボランティアによるプロジェクトです。 今回参加した「AppSec」をはじめとするカンファレンスの開催による知識の展開やトレーニングを通じた開発者のスキル向上の他、開発者向けガイドラインの作成、テストツールの開発・公開などを行っています。ツー
世界の大手企業に不正アクセスした犯人、1億6000万件のクレジットカード情報を盗む
訴追された男5人は米NASDAQや7-Elevenといった大手企業のネットワークにSQLインジェクション攻撃を仕掛けて不正侵入し、マルウェアを仕込んで情報を盗んだとされる。 米司法省は7月25日、世界の大手企業のネットワークに侵入して1億6000万件あまりのクレジットカード情報を盗んでいた男5人を、不正アクセスなどの容疑で訴追したと発表した。 被害に遭った企業の中には、米NASDAQ、7-Eleven、JetBlue、Dow Jonesといった大手企業や組織、Visa（ヨルダン）やDiners（シンガポール）などの主要クレジットカード会社が含まれる。被害総額はこのうちの3社だけで3億ドルに上るという。 訴追されたのは、ロシア人とウクライナ人の26歳から32歳の男5人。それぞれに役割分担があり、まずロシアの男2人が企業のネットワークに不正アクセスを確立し、3人目の男がそのネットワークから情報
CMSに潜むSQLインジェクション
ポップアップされたダイアログには、ご親切にも実行に失敗したSQLが表示されている。これを見ていくと、どうやらシングルクオーテーションがエスケープされていないようだ。もしかするとSQLが実行できるかもしれない。 Gekko Data Error :Gekko DB SQL Error running SELECT id,username,date_created,date_modified,date_last_logged_in,status,ip,date_last_failed_login_attempt,total_failed_login_attempt FROM gk_user_items WHERE (username LIKE '%'%') OR (firstname LIKE ''%') OR (lastname LIKE ''%') order by sort_order.
約11万件のカード情報が流出、携帯とWi-FiレンタルのGLOBALDATAとGlobal Cellularから
エクスコムグローバルは2013年5月27日、同社が運営する海外用モバイルWi-Fiルーターレンタルサービス「GLOBALDATA」（写真1）と海外用携帯レンタルサービス「Global Cellular」（写真2）のWebサイトから、10万9112件のクレジットカード情報が流出したと発表した。外部からSQL文を入力される「SQLインジェクション」と呼ぶ攻撃手法が使用されたとしている。 流出したのは（1）カード名義人名、（2）カード番号、（3）カード有効期限、（4）セキュリティコード、（5）申込者住所。サーバーには最大14万6701件のクレジットカード情報が記録されていた。漏洩対象は2011年3月7日から2013年4月23日に申し込んだ顧客の情報という。 エクスコムグローバルによれば4月23日17時頃、契約先である決済代行会社よりクレジットカード情報の流出懸念について連絡があり、同日、Webサ
エクスコムグローバル、SQLインジェクションで約11万件のクレカ情報流出
エクスコムグローバル、SQLインジェクションで約11万件のクレカ情報流出：サーバに保持のセキュリティコードなども流出 エクスコムグローバルは5月27日、同社WebサイトがSQLインジェクション攻撃を受け、最大10万9112件のクレジットカード情報やセキュリティコードが流出したことを明らかにした。 海外旅行者向けのモバイルルータレンタルサービスを提供しているエクスコムグローバルは5月27日、同社WebサイトがSQLインジェクション攻撃を受け、最大10万9112件のクレジットカード情報やセキュリティコードが流出したことを明らかにした。 情報流出が明らかになったのは4月23日17時ごろ。決済代行会社からクレジットカード情報が流出している可能性があると連絡が入ったことを受け、調査を進めてきたという。 ログ調査の結果、同社が運営する「GLOBALDATA」と「Global Cellular」のWeb
Ruby on Railsのfind_by_*メソッドにSQLインジェクション脆弱性(CVE-2012-5664) | 徳丸浩の日記
Ruby on Rails(3.2.9, 3.1.8, 3.0.17以前)のfind_by_*メソッドにSQLインジェクション脆弱性が見つかりました(CVE-2012-5664)。このエントリではその概要と対策について説明します。 概要 Ruby on Railsのfind_by_*メソッドの引数としてハッシュを指定することで、任意のSELECT文を実行できる脆弱性があります。 検証 Ruby on Rails3.2.9の環境を用意して、以下の2つのモデルを用意しました。 $ rails g scaffold user name:string email:string $ rails g scaffold book author:string title:string モデルUserは個人情報を保持しており、自分自身の情報のみが閲覧できるという想定です。モデルBookは書誌データベースであ
米ヤフーのサービス、ログイン情報45万件が漏えいか
米Yahooがセキュリティ侵害の犠牲となり、40万件を超えるログイン認証情報が漏えいする結果となったようだ。 ハッキングされたデータはハッカーサイト「D33D Company」に投稿された。同データは、45万3000件超のログイン認証情報を含んでおり、Yahooのネットワークから取得されたものとみられる。ハッカーらはUNIONベースのSQLインジェクション技術を使ってYahooのサブドメインに進入したと述べ、このデータダンプは「警鐘」のつもりだとしている。 ハッカーらは「このサブドメインのセキュリティ管理を担当している関係者には、これを脅迫ではなく警鐘としてとらえてほしい」とデータの末尾にコメントとして記している。「Yahooが所有するウェブサーバには悪用可能なセキュリティホールが多くあり、これらはわれわれのデータ公開よりもはるかに大きな損失を生み出している。軽く考えないでほしい。このサブ
不正アクセスによる情報漏えいのお詫びとご報告 - テニス用品大型通販専門店 テニスギア
2011年8月23日 株式会社スポーツギア 代表取締役 大竹 幸信 2011年5月下旬、お客様のクレジットカード不正使用に関する複数の照会を受けたことに伴い、社内調査及び第三者機関による二重の調査を行いましたところ、"SQLインジェクション"というクラッキング手法による国内・海外（主に中国）からの不正アクセスを確認致しました。あわせて全263件（弊社関係者、有効期限切れを除くと248件）のクレジットカード情報の漏えいが判明致しました。お客様ならびに関係者の皆様にご迷惑、ご心配をおかけ致しまして心よりお詫び申し上げます。 弊社では、今回の事態を厳粛に受け止め、二度とこうしたお客様情報漏えいが起こらないよう、クラッキング対策及び個人情報保護プログラムの強化、またお客様及び関係者の皆様の信頼回復とお詫びに全力で取り組む所存です。 なお、今回、お客様情報が漏えいしたことが確認されたウェブサーバー
ソニー傘下のウェブサイトでさらなるハッキング被害--ギリシャとインドネシアで
ギリシャのソニー・ミュージックエンタテインメントのウェブサイト「SonyMusic.gr」がSQLインジェクションによる攻撃を受け、8300人以上のユーザーの氏名、ユーザー名、電子メールアドレスがPastebin.comに掲載されたという。The Hacker Newsが米国時間22日に伝えた。この記事には、「hacked by b4d_vipera」（b4d_viperaによりハック）と書かれたスクリーンショットが掲載されている。リンクされたPastebinのページは、23日午前の時点で空になっている。 セキュリティ企業SophosのChester Wisniewski氏は、自身のNaked Securityブログの記事で、Pastebinのデータはパスワードや電話番号なども含んでいると主張されているが、それらは欠けているか偽造であり、掲載されたデータは不完全なもののようだと述べている。
Togetter - 「巫女テスター（17歳）、システムの致命的な欠陥を発見しサーバーごとシステムをシャットダウンした一部始終」
コミュニケーションが生まれるツイートまとめツール
ウェブサイト改ざんの新攻撃、日本国内でも被害--トレンドマイクロ警告
トレンドマイクロは4月4日、SQLインジェクションによる正規ウェブサイトを改ざんする新たな攻撃、通称「LizaMoon（ライザムーン）」による被害が、日本の複数のウェブサイトに及んでいるとブログで伝えている。 LizaMoonは、正規サイトを閲覧したユーザーが最終的に偽セキュリティソフトをダウンロードさせられてしまい、金銭や個人情報を詐取される。攻撃パターンとしては新しいものではないが、攻撃で使用される偽セキュリティソフトが実在のセキュリティソフト「Microsoft Security Essentials」を偽っていることや、転送されるウェブサイトのURLの末尾がすべて「/ur.php」となっていることが特徴としている。 この攻撃により、これまでに全世界で10万以上のウェブサイトが改ざんされたことが明らかになっている。東京本社に設置しているリージョナルトレンドラボによる調査によって、日本
ぼくがPDOを採用しなかったわけ(Shift_JISによるSQLインジェクション)
補足 この記事は旧徳丸浩の日記からの転載です。元URL、アーカイブ、はてなブックマーク1、はてなブックマーク2。 備忘のため転載いたしますが、この記事は2010年7月1日に公開されたもので、当時の徳丸の考えを示すものを、基本的に内容を変更せずにそのまま転載するものです。 補足終わり PHPのデータベース・アクセス・ライブラリPDOは、DB接続時の文字エンコーディング指定ができないため、文字エンコーディングの選択によっては、プレースホルダを使っていてもSQLインジェクション脆弱性が発生します。 追記(2011/06/19) ここに来て急にブクマが追加されはじめていますが、このエントリを書いてから状況が改善しています。PHP5.3.6(2011/03/17)にて、PDOでもデータベース接続の文字エンコーディングを指定できるようになりました。この版で、UNIX版のPHPでは解決しましたが、Win
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
CMSに潜むSQLインジェクション
エクスコムグローバル株式会社｜XCom Global, Inc.
http://japan.internet.com/webtech/20110617/7.html
まとめよう、あつまろう - Togetter
アナログなSQLインジェクション手法がすごい件 - YomuKaku Memo
セキュリティ通信｜セキュリティ関連ニュース サイト改ざん(2)ハウス食品、民主党、ローソンなど被害サイト23の改ざん状況
