Google's Vulnerability Reward Program - ma<s>atokinugawa's blog
Googleは2010年11月からGoogleのウェブアプリケーションのセキュリティ脆弱性を報告した人に報酬を支払う制度をスタートしました。僕も早速いくつか報告し、以前TwitterでGoogleから$7337頂いたよとつぶやきましたが、あれから新たに$6337の入金があり、今のところこの制度で$13174($1337 × 2 + $1000 × 2 + $500 × 17)を頂いています！ありがとう！ 追記 7337+6337=13674なので入金があったのは$13674($1337 × 2 + $1000 × 2 + $500 × 18)でした。合計を間違えてました。足し算難しい！＞＜+$500！ 修正されたものは情報を公開してもいいとのことなので、報告した中から多少変わったタイプの脆弱性を3つ紹介しようと思います。 <script>タグのsrcを細工することによるXSS こんなページ
｢無料公衆WiFi｣の正体＆繋いじゃいけない理由
空港・カフェ・図書館などノート繋げる場所で接続候補に｢Free Public Wi-Fi（無料公衆Wi-Fi）｣って出ることないですか？ あれって繋いでも、ウェブに繋がらないんですよね。そりゃそうです、そばにいる誰かさんと直接繋がってるんですから！ NPRプロデューサーのTravis Larchukさんがワイヤレスセキュリティの専門家Joshua Wrightさんに尋ねてみたら、｢Free Public WiFi｣というのは名ばかりで、無料でもないし、公衆でもない、Wi-Fiサービスですらないって言うんですね。ウイルスみたいなもので、おそらく最初は誰かの冗談かいたずらで始まったのが、Windows XPの古いバージョン（SP 3）のバグで世界中に広まってしまった。マイクロソフトからは修正も既に出てるんだけども、まだアップデートしてない人も多いらしく、まさにゾンビ状態。 XPの古いバージョン
MD5やSHA、Base64機能を提供するActionScript3用暗号＆ハッシュ化ライブラリ「As3Crypto」:phpspot開発日誌
MD5やSHA、Base64機能を提供するActionScript3用暗号＆ハッシュ化ライブラリ「As3Crypto」 2008年04月10日- AS3 Cryptography Library As3 Crypto is a cryptography library written in Actionscript 3 that provides several common algorithms. MD5やSHA、Base64機能を提供するActionScript3用暗号＆ハッシュ化ライブラリ「As3Crypto」。 ActionScript3上で、MD5や、SHA1,224,256、RSA、AES, DES, 3DES, BlowFishなどの暗号機能を提供するライブラリです。 これら暗号化方式だけでなく、Base64エンコード/デコード機能も提供。 バイナリ列をBase64化してサー
livedoor ニュース - 『mixi年賀状』にセキュリティホール!?【トレビアン】
『mixi』が日本郵便と組んで始めたサービス『mixi年賀状』、これはマイミクが自分の住所を相手が知っていなくても年賀状を受け取ることができるというサービス。 通常は差出人が受取人の住所書くのだが、『mixi年賀状』は受け取り時に受取人の方で住所を入力するため相手に住所がわからないようになっている。 リアルな友達じゃないけど年賀状の交換はしたいという人に向けて開始されたサービス。 あまりの人気に一時サーバーがパンクするほどだ。 しかしそんな『mixi年賀状』にセキュリティホールが発見された。 先ほど家のポストを見てみると『mixi年賀状』が届いていた。 少し早い年賀状だと思いよく見てみるとそれは自分がマイミクに出したものだったのだ。 年賀状には以下の様にかかれており差し戻しされていた。 「配達準備中に調査しましたがあて名不完全で配達できません」 これは自分がマイミクに年賀状を出した際に、相
58. すごいリロード対策
まず、日本のサイトにある一般的な登録フォームの画面遷移は 入力画面→入力確認画面→完了画面 となっている場合が多いようです。ここでリロード問題となるのは完了画面でのDBへのINSERT処理やCSV書き出し処理、メール送信処理など「一度しか行わない処理」です。例えば完了画面へ遷移した際にブラウザのリロードボタンが押された場合、確認画面よりsubmitした情報が再度submitされて上記の一度しか行わない処理が二度行われてしまいます。そうならないよう、リロード対策はスクリプトで制御します。 まずは確認画面のスクリプト 確認画面でチケットを発行し、セッションに保存しておきます。同時に完了画面へチケットがPOSTされるよう、hiddenにセット。こうして完了画面へ遷移させます。それでは完了画面のスクリプトを見てみましょう。 このように、確認画面で発行されたチケットは一度使い切ってしまえば2度処理さ
星野君のWebアプリほのぼの改造計画 連載インデックス - ＠IT -
セミナー申し込みフォームがスパムの踏み台？ 星野君のWebアプリほのぼの改造計画（1） 念願のWeb担当に異動した星野君。最初の仕事はセミナーのWeb申し込みフォームを3日で作ることだった（2005/10/15） ・セミナー申し込みフォームを3日で作れ！ ・Webサーバはどこだろう？ ・Web申し込みフォームなんて簡単ですよ ・スパムの踏み台は想定外！？ 誰でもWeb管理画面に入れる気前のいい会社 星野君のWebアプリほのぼの改造計画（2） 星野君に与えられた次なる指令は……仕事がなかった。しかたなく「Web管理ツール」を調べてみると……（2005/11/19） ・仕事がない！ ・サーバ上にある「admin」フォルダの謎 ・「admin」フォルダを封鎖せよ ・SQLインジェクション、発見！ ・助けて！ まこと先輩 ・Webアプリ改造計画発動－SQLインジェクション編 Webアプリ、入力チェ
SQL Injection Cheat Sheet
Examples; (MS) means : MySQL and SQL Server etc. (M*S) means : Only in some versions of MySQL or special conditions see related note and SQL Server Table Of Contents About SQL Injection Cheat Sheet Syntax Reference, Sample Attacks and Dirty SQL Injection Tricks Line Comments SQL Injection Attack Samples Inline Comments Classical Inline Comment SQL Injection Attack Samples MySQL Vers
XSS (Cross Site Scripting) Cheat Sheet
XSS (Cross Site Scripting) Cheat Sheet Esp: for filter evasion By RSnake Note from the author: XSS is Cross Site Scripting. If you don't know how XSS (Cross Site Scripting) works, this page probably won't help you. This page is for people who already understand the basics of XSS attacks but want a deep understanding of the nuances regarding filter evasion. This page will also not show you how to
IPAたんからの返事 - ぼくはまちちゃん！
Date: Tue, 30 Jan 2007 10:37:05 +0900 From: "IPA/vuln/Info" To: root@hamachiya.com はまちや２様 ウェブアプリケーションの脆弱性関連情報を届出いただき、ありが とうございます。 本件につきまして、ガイドラインの以下の項目に記載がありますよ うに、届出の際には発見者様の氏名をご記入頂いております。 これは、責任ある届出を促すためであり、匿名やハンドルネームの 届出は受理できませんので、実名での届出にご協力をお願い致します。 ----------------------------------------------------------- 「情報セキュリティ早期警戒パートナーシップガイドライン」P.17 V．ウェブアプリケーションに係る脆弱性関連情報取扱 2. 発見者の対応 4) 届け出る情報の内容 ・発見者
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
フリーFTPソフト『FFFTP』に、8080系のマルウェア感染と同時にID・パスワードを取得される危険性があるそうです : ライフハッカー［日本版］, 仕事も生活も上手くこなすライフハック情報満..
ヒマナイヌ - 家の鍵を閉めたかどうかを鍵自身が記憶する仕組み