オラクルデータベースを攻撃する新手法が登場--Black Hatカンファレンスで
バージニア州アーリントン発--新たな攻撃手法が、Oracleのデータベースソフトウェアに存在する共通のバグをさらに危険なものにすると、セキュリティ研究者が警告した。 これまで、PL/SQLインジェクションの脆弱性を悪用するには、データベースに対する高い権限が必要になると考えられてきた。NGS Softwareのデータベースセキュリティ専門家であるDavid Litchfield氏は、米国時間3月1日に当地で開催されたイベント「Black Hat DC」で、新しい攻撃手法ならそうした制限も取り払えると話した。 Litchfield氏はインタビューの中で、「最低限の権限しか持っていない攻撃者でも、この手法を用いてデータベースサーバを完全に乗っ取ることができる。しかもこの手法は、以前はそれほど問題視されていなかった脆弱性の多くに適用することが可能だ」と述べている。 これまでもたびたびOracle
Microsoft Word - cursor-injection.doc
Cursor Injection - A New Method for Exploiting PL/SQL Injection and Potential Defences David Litchfield [davidl@ngssoftware.com] 24th February 2007 An NGSSoftware Insight Security Research (NISR) Publication ©2007 Next Generation Security Software Ltd http://www.ngssoftware.com Introduction On occasion Oracle in their alerts state that the ability to create a procedure or a function is required f
NSMWiki
New to Sguil? Check out this overview and some installation guides. You might also want to read the FAQ. The practice of Network Security Monitoring (NSM) is so broad that it encompasses both traditional IDS/IPS and other network information gathering techniques, all focused on providing an intrusion analyst with the best possible information in the shortest amount of time. NSMWiki was started by
Visitors - fast web log analyzer
Visitors は Linux、Windows およびその他の Unix ライクな OS で動くとても軽快なウェブログ解析ツールです。 ウェブサーバログファイルを入力すると、統計をいろいろな形のレポートとして出力します。 その設計方針は同じタイプの他のソフトウェアと比較するとかなり異なっています: インストールは必要ありません。高速なコンピュータでは毎秒最大150,000行のログエントリ(作者自身のログファイルの平均では毎秒20MB)を処理します。 コマンドラインで実行するように設計されており、html とテキストでレポートを出力します。 テキストのレポートを less にパイプすることで ssh を通じてウェブ統計をチェックすることができます。 バージョン 0.3 で導入された Visitors ストリームモードによってリアルタイム統計をサポートしています。 ログの書式を指定する必要は
1秒で10万行を処理するフリーの超高速なログ解析ソフト「Visitors」 - GIGAZINE
GIGAZINEのログは膨大な量になっているため、以前まで使っていた「ApacheLogViewer」では毎日のアクセス解析に時間がかかりすぎるのと、今後のさらなるログの増大を考えると不安を覚えたので、いろいろと試してみた結果、「Visitors」というアクセスログ解析ソフトが超高速でよかったです。 大体、10万行を1秒～2秒ほどで処理してくれます。しかもサイトへの人の流れをフローチャート化することも可能。ユニークユーザーベースで解析してくれるだけでなく、検索ボットは除外したり、特定のリファラをブラックリストにしてノーカウントすることも可能。非常にすばらしいです。 また、Linux版だけでなく、Windows版も一応提供されています。やろうと思えばWindowsで解析することも可能です。 というわけで、実際にインストールして実運用するまでの手順をメモしておきます。参考になれば幸い。 ■解析
【レポート】WindowsにおけるRootkitの現状と将来 - VistaのRootkit対策とは (1) Windowsへと対象を広げるRootkit | エンタープライズ | マイコミジャーナル
Rootkitという単語をご存知だろうか? 管理者(root)のためのツールキット(tool-kit)を想像された方は、おしい。Rootkitの利用者は、正規のシステム管理者ではなく、システムに不正に侵入した侵入者である。 元々Rootkitは、SolarisやLinuxといった、いわゆるUNIX系OSの文化圏で頻繁に悪用されてきた。こうしたOSはサーバー用途ということもあり、システムの管理者アカウントと一般ユーザのそれが古くから明確に区別されていたため、侵入者にとっての一つの目標は、管理者アカウントの奪取と維持であった。Rootkitは、奪取した管理者アカウントを維持するために利用され、侵入の痕跡となるシステムの情報を操作・隠蔽するマルウェア(不正プログラム)である。 一見すると、Windowsには縁のないように思えるが、近年、サーバ・クライアント問わずWindowsにおいてもRootk
携帯業界の認証事情 Part2 - y-kawazの日記
先日の日記で携帯の認証に関しての考察をして、とりあえずキャリア毎のIP制限を行っていれば端末IDやユーザID認証を信用していいのでは無いか？と書いたのだが、更に調べた結果どうも怪しい実態が見えてきたので危険度と合わせて再度纏めてみようと思う。 とりあえず指摘があったので前回のテストに加えて以下を試してみました。 NO uidに指定した値 実際に送信されてくる値 8 %30%31%32%33%34%35%36%37%38%39%61%62*1 1234567890ab うわ弱っ、駄目じゃん。見事にuidの詐称が成功してしまった…。 DoCoMoのユーザIDの信頼性が地に落ちた瞬間です。 2007-03-01追記）DoCoMoスゲー！昨日は確かに上記の方法で詐称できたのに、今日はもう既に対策されとるし(^^; 今、同じことを試すと以下のメッセージが出るのみでした。 IPサイトの記述に誤りがある
携帯電話向けWebアプリケーションのセッション管理手法 - ockeghem's blog
高木浩光＠自宅の日記 - 携帯電話向けWebアプリの脆弱性事情はどうなっているのかに、高木浩光氏が携帯電話向けWebアプリケーションの安全性についてコメントされておられる。 なぜ「URLにセッションIDが含まれる場合はセキュリティに注意する必要があり」なのかと言えば、Refererによってリンク先にセッションID入りのURLが流出し、流出先サイトの人にセッションハイジャックされてしまうからだ。 確かにそうなのだが、携帯電話向けWebアプリケーションでは、セッションIDをURLに埋め込むことが定石として用いられている。 その理由は、他に適当な方法がないからである。 携帯電話向けWebの代表例であるi-modeでは、Cookieをサポートしていない。そのため、セッションIDを埋められる場所というと、 URLに埋め込む Hiddenフィールドに埋め込んでPOSTで送出する くらいしか代替手段がな
2007-03-06
ケータイWebアプリの脆弱性問題は、私の専門分野であるので、もう少し突っ込んでみたいと思う。 高木浩光氏の高木浩光＠自宅の日記 - 携帯電話向けWebアプリの脆弱性事情はどうなっているのか 携帯電話Webアプリのセキュリティが怪しいという話はいろいろな人から耳にするが、携帯の世界では秘密保持契約による縛りがあって、皆それらを話せない状態になっているようだ。その結果として、脆弱性の実態が明らかにならないばかりか、正しい実装方法の普及が進まない。 この問いかけに対して、技術論ではなく、脆弱性検査を実施した結果の統計情報で回答する。 というには、私の勤務先では、まさにケータイ向けWeb脆弱性診断をやっていて、昨年一年間の脆弱性傾向の統計を発表しているからだ。 https://www.kccs.co.jp/contact/paper_websecurity/index.html このホワイトペーパ
携帯端末の個体識別情報(uid)取得方法
携帯サイトでユーザー認証をする方法はいくつかあります。 一番簡単なのは、ユーザ名とパスワードを使う方法です。 しかし、毎回入力するのはユーザにとっては面倒ですよね。 PCサイトならばクッキーを使ってこれらの情報を保存しておけるので 毎回入力する必要はありません。 しかし携帯サイトではクッキーが使えない(一部機種によって可能らしい)ので 別の手法を取ることを考えなくてはいけません。 そこで出てくるのが、携帯端末の個体識別情報(uid)を使うというやり方です。 携帯電話は電話番号と同じように、その端末を識別するIDのようなものを持っています。 これを利用すれば、アクセスしてきたのがどのユーザなのかを判別することが可能になるというわけです。 キャリアによって取得方法や制限などがあるので、以下に紹介します。 なお、個体識別情報はキャリアによって様々な言い方があるようですが ここでは便宜上「端末ID
携帯業界の認証事情 - y-kawazの日記
巡回サイトの一つである高木浩光＠自宅の日記で以下のようなエントリーがあった。 高木浩光＠自宅の日記 - 携帯電話向けWebアプリの脆弱性事情はどうなっているのか ここではいつもの高木氏の口調で、「携帯向けWEBアプリ開発では未だにGETパラメータでセッションIDを渡しており、それはこれまでも何度もいかんことだと言っている。」というような内容が語られている。 確かにWEB+DBの記事に対して高木氏が注釈で言っているように「IPアドレスによる制限に関して書いていない」という点に関してはWEB+DB側の落ち度だと思う。実際これを行わない限り端末IDやユーザID*1による認証が意味をなさなくなってしまうからだ。*2 但し、キャリア毎にIPアドレス制限をする限りにおいては端末IDやユーザIDは偽装不可能*3なので、むしろ他人でも入力可能なパスワード認証よりも強力な認証かもしれません。逆にいえばその認
Retina Sharebot - eEye Digital Security - SCS 住商情報システム株式会社
Retina Sharebot 「Retina Sharebot」は、世界トップレベルの脆弱性エキスパートeEye Digital Security社が、ネットワーク脆弱性検査ツール「eEye Retina」の開発で培った技術を応用して開発したP2Pファイル交換ソフトShare EX2（以下Share）用ネットワーク可視化システムです。 「Retina Sharebot」は、Shareネットワーク上のファイルがどのノードに存在するかを特定できるソフトウェアです。 「Retina Sharebot」はShareネットワーク内に存在するノードの一つとして振る舞い、他ノードが持つキー情報(交換可能ファイル名やハッシュ、ファイルの存在するノードのIPアドレスとポート等が含まれます)をマルチスレッドで取得し、キー情報のデータベースを作成します。作成したデータベースからはファイル名及びShar
PukiWiki 【FrontPage】
なんだかやけに長い説明ばかり検索に引っかかったので書きました。 Linuxのローカル環境でDockerコンテナ内のXアプリ（GUIアプリ）を利用するには $ xhost localhost + を実行した後に $ docker run --rm --net host -e "DISPLAY" container_image_name x_app_binary_path とすれば良いです。 もっと読む SSHなどよく知られたサービスポートで何も対策せずにいると数えきらないくらいの攻撃リクエストが来ます。不必要なログを増やしてリソースを無駄にし、もし不用意なユーザーやシステムがあると攻撃に成功する場合もあります。 SshguardはC作られており、flex/bisonのパーサールールを足せば拡張できますがカスタム版をメンテナンスするのも面倒です。必要なルールを足してプルリクエストを送ってもマー
セキュアプログラミング・テクニック
本ページは、このようなセキュリティ上の問題が存在する事を衆知徹底させる事を目的とする。 衆知徹底する事で、すべてのコンピュータ・ソフトウェアからこのセキュリティ問題を駆逐し、コンピュータ・ソフトウェア環境をより安全なものとなる事を期待する。 Link IPA ISEC セキュア・プログラミング講座 IPA ISEC セキュア・プログラミング講座2 書籍「セキュアWebプログラミング Tips集」 JPCERT/CC クリックジャッキング対策 ～X-FRAME-OPTIONSについて～ WizardBible 45 (SSL の負荷試験記事あり)、[seasurfers:0843] も併せて読むとよい 脆弱性体質の改善 - C/C++セキュアコーディング入門 (1) 脆弱性体質の改善 - C/C++セキュアコーディング入門 (2) 脆弱性体質の改善 - C/C++セキュアコーディング入門 (
Know your Enemy: Web Application Threats | The Honeynet Project
Using Honeypots to learn about HTTP-based attacks Primary Authors Jamie Riden, New Zealand Honeynet Project Ryan McGeehan, Chicago Honeynet Project Brian Engert, Chicago Honeynet Project Michael Mueter, German Honeynet Project Introduction Why Web applications are at High Risk Fundamentals of an Attack Trends in Discovery Techniques Exploitation Trends Trends in Evasion and Anonymity Current Resea
F-Secureが公開した「Rootkit解体白書」
F-Secure Security Labsが、数年間にわたって進めてきたKernel Rootkitの追跡および分析の結果をまとめた文書を公開した。 セキュリティアナリストらはかねてから、2007年も引き続き、プログラムのソフトウェアカーネルの一部分を変更した別のコードで置き換え、自身の活動を隠そうとするKernel Rootkit（カーネルルートキット）の出現頻度が高まるだろうと予測してきた。 CAでは、Microsoftの新しいOS、Windows Vistaの64ビット版に組み込まれたカーネル保護システム「PatchGuard」をはじめとする、Rootkit対策テクノロジも存在するが、一方で今後1年の間、PCユーザーの大半は、この攻撃に無防備なままだろうと指摘したことがあった。経験の豊富なPC利用者でさえ、彼らの高度なテクニックには脆弱だろうという。 F-Secure Securi
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
k1体育官方入口(中国)有限公司
Amazon.co.jp: 【ダイジェスト版マイ・ゴール】これだっ!という「目標」を見つける本: リチャード・H・モリタ (著), ケン・シェルトン (編集), アーサー・R・ペル (編集), スコット・デガーモ (編集): 本
辞典・百科事典の検索サービス - Weblio辞書
Amazon.co.jp: 松井教授の東大駒場講義録 ―地球、生命、文明の普遍性を宇宙に探る (集英社新書): 松井孝典: 本
Amazon.co.jp: われわれはどこへ行くのか? (ちくまプリマー新書): 松井孝典: 本
http://s3g-mirror.malware-dmz.org/papers/puppetnets-ccs06.pdf
Amazon.co.jp: どうにも素敵な文具術: 仕事がはかどりすぎて困る!: 中島孝志: 本
Bugtraq
Bugtraq