wordpressハッキングされました（涙）adminアカウント消すだけじゃダメ！ - 渡米生活。（日記）
とある非営利団体のweb masterになって３日目。 wordpressで作った新サイトがハッキングされました（涙目） 私が作ったサイトではなく、ちょっとセキュリティが甘かったので、管理をひきついですぐに、とりあえずadminアカウントは消したのだけど、簡単に破られました。 理由は、新しく作ったアカウントのニックネーム（web表示名）が、ログインアカウントと同じだったから（爆） wordpressは、デフォルトで「投稿者名」のページを作ります。同じ投稿者が投稿した記事を集めるページです。 で、ここに表示されるニックネームが、ログインで使うログインアカウントと同じだと、外部にログインアカウントを公表しているのと同じことに！ 私もうっかりして、ニックネームを変えるのを忘れていたんですが、コレ、ひとこと注意書きがあってもいいよね……（汗） ただ、今回のハック、なんかちょっとへんな感じで、新しく
CookieにログインIDを保存してはいけない
phpproのQ&A掲示板で下記の質問を読みました。 ログインの際に、クッキーにログイン情報を保存し、ログアウトの際には、フォームタグの中でPOSTでログアウトの為の値を飛ばし、値を受け取ったらクッキーの有効期限をマイナスにしてクッキー情報を消すというログアウト処理を作っています。 同一ページでのCookieでのログアウト処理より引用 クッキーにそのままログイン情報を保持するのはよくありませんね。質問を更に読むと、以下のソースがあります。 setcookie("logid",$row["f_customer_logid"],time()+60*60*24); setcookie("point",$row["f_customer_point"],time()+60*60*24);どうも、SQL呼び出しの結果からログインIDを取り出し、それをそのままCookieにセットすることで、ログイン状態
誰もが注意すべき「5つのセキュリティホール」 | ライフハッカー・ジャパン
セキュリティ上の問題はあらゆるところに存在します。ハッキングに弱いルーターから、データを流出させるアプリケーションまで。幸いなことに、簡単に自衛はできますので、方法を紹介しましょう。 セキュリティに関するすべてのニュースに目を通してでもいない限り、どんな脆弱性が悪用されているのか完全に知ることはできません。誰のパソコンでも、攻撃に対して弱い部分がどこかにあります。パソコンを買ったままで一度も設定をいじったことがない人は、そろそろ見直してみた方がいいかもしれません。 この記事で紹介しているセキュリティホールのことはもう知っていて、ちゃんと対策も立てているって？ 素晴らしい！ では、知らない友人にこの記事を教えて、自分を守れるようにしてあげてください。UPnPは外部からのアクセスを許す UPnP（Universal Plug and Play）というのは、ルーターやプリンタ、メディアプレイヤー
ブラウザにファイルをドロップしてはいけない - ぼくはまちちゃん！
こんにちはこんにちは！！ 先日、CROSS 2013っていう、エンジニア向けのビール飲み放題のイベントに行ってきました！ そこの「HTML5×セキュリティ」っていうコーナーで、ちょっと喋ってきたんですが、 その時の小ネタを紹介しておきます。 最近、ブログとかのWebサービスで写真をアップロードする時に、 ファイルをドラッグ＆ドロップするだけでできたりしますよね。 いちいちダイアログから選ばなくていいから便利です。 こんなやつ。 この手の仕掛けって、ドラッグ時にボーダーカラーを変えたりして 「いまドラッグ＆ドロップ状態ですよ〜」ってわかりやすく表示されますが、 それって別に、ブラウザが警告の意味で出してるんじゃなくて、 あくまで、Webサービス側が親切で表示してるだけなんですよね。 ってことは ・ドラッグされても特にボーダーラインなどを表示せず ・画面上のどこでもドロップを受け入れるようにし
Mozilla Re-Mix: [AutoCopy][Fasterfox Lite]などのFirefoxアドオンが買収され現在の所有者があらゆる情報を収集している件。
Firefoxユーザーなら[AutoCopy]、[Fasterfox Lite]などといった有名かつ人気アドオンのことはご存じかと思います。 実はこれらアドオンはいつからか所有者が変更されており、現在の所有者はアドオン利用者のブラウジング情報を収集しているという事実が判明しています。 現所有者は[wips]というウェブ分析企業となっており、[AutoCopy]、[Fasterfox Lite]利用者は、この企業にOS情報やブラウジングに関する履歴、訪問日時、滞在時間などが送信されるという恐ろしいことになっています。 これら情報収集関しては[wips]に明記されてはいますが、AMOにはなんら情報は記載されておらず、ユーザーはアドオン所有者が変わったことやプライバシー情報が垂れ流しになっていることさえ気が付かないような事態となっています。 この件に関してはすでに各アドオンのレビュー欄や、国内外
あなたのWebサービスは狙われている！最低限押さえておきたいセキュリティ対策 | 株式会社LIG(リグ)｜DX支援・システム開発・Web制作
最近上京してきたんだけど、入谷から会社までくるのに徒歩10分の道のりで迷子になっちゃって、なんか知らない間に浅草の方まで行っちゃって、会社に遅刻しちゃって、東京ってマジ迷路だよね。あ、どうも、僕です。 今日はWebサービスを開発する上で最低限おさえておきたいセキュリティ対策について書こうと思うよ！ セキュリティホールって、 案外簡単な見逃しでできちゃうんだよね。 バリバリのハッカーしかハッキングなんてしないから、 うちのサイトは安全だなんて思ってたら大間違いだよ！ 今回は、その攻撃方法と、 それを防ぐための対策方法をセットにして書こうと思うよ！ 最低限、これだけは守っとかないと、 あなたのWebサービス、攻撃されちゃうよ！ ちなみに、言語はPHPを例とするよ！ ほかの言語にも当てはまるから、 攻撃方法と対策をセットで頭に入れておくこと！ クロスサイトスクリプティング (XSS) よくきくよ
Javaアプレットの機能を無効化する方法（「Java 7 Update 10より前」や「複数バージョンのJava混在環境」向け）
「Java 7 に脆弱性」というニュースが話題になっていますが、朝日新聞やそのWeb上の記事で紹介されている「Javaコントロールパネル」からJavaアプレットを無効化する方法は、「Java 7 Update 10（現在の最新版！）以降」が「単独」でインストールされている場合にしかちゃんと利用できません。そこで、「Javaアプレット無効化方法を多くの人に紹介する場合には、他のバージョンでどうなるかを含めて知ってもらう方がよさそう」と思ったので、今回はそこまで考慮した上での無効化手順（Windows向け）を紹介します。 脆弱性の存在が発表されたときは、自分はMac/Linuxだから大丈夫、とか、自分は対策済みだから大丈夫ではなく、PCに詳しくない人にも教えてあげてください。家族用PCとか要注意です。 ※「インストールされているJavaバージョンの調べ方」からまず、自分のPCにインストールされ
5分でできるPHPセキュリティ対策 - ぼくはまちちゃん！
こんにちはこんにちは！！ Webプログラミングしてますか！ よく「PHPはセキュリティがダメ」とか言われてるよね。 でもそれって、べつにPHPが悪いんじゃなくて、 たぶん、セキュリティとかが、まだよくわからない人が多いだけなんじゃないかな。 がんばって勉強しようと思っても、なんだか難しい理屈が並んでいたりするしね…。 なので今日は、セキュリティ対策について、 「これだけやっとけば、わりと安全になるよ」ってことを、初心者むけに、大雑把に書いてみます！ 理屈がわからなくても、最初はコピペでも、 なにもやらないより、やったほうがきっとマシになる！ 1. XSS対策 動的なものを表示するとき、全部エスケープすればokです！ (NG) あなたの名前は <?= $name ?> ですね！ ↓ (OK) あなたの名前は <?= htmlspecialchars($name, ENT_QUOTES) ?>
パスワードの定期的変更に関する徳丸の意見まとめ
パスワードを定期的変更するべきか否かについては、ほぼ「定期的に」意見を書いています。最近は、twitter上のつぶやき等を見ていても、「パスワードを定期的に変更する必要はない」とか、「パスワードを定期的に変更すべき状況は限られている」などの意見を見ることが多いようです。しかし、さまざまなガイドライン類は、依然としてパスワードの定期的変更を要求しているため、私としては継続的に（定期的にw）この問題を取り上げたいと考えています。 最近、パスワードの定期的変更問題に関する優れたコラムを読みました。 多くの組織がユーザーにパスワードの変更を強制しています。長い間、それがセキュリティーの「ベストプラクティス」だと考えられてきたからです。しかし、実際には賛否両論のテーマなのです。以下にパスワードの変更が「有効であるケース」と「有効でないケース」について解説します。 実際、パスワードはどれくらいの頻度で
WordPress使いならこれだけはやっておきたい本当のセキュリティ対策10項目
どうも、ブルーです。秋ですね。 季節がめぐるごとに「WordPressがクラックされたので、セキュリティ対策について調べてみました」的なブログ記事がソーシャル上で出まわり、そのたびにWordPressを扱うデベロッパー層が「また無意味な対策がはてブされてる…」と嘆くのが恒例行事のようになっております。例えば… 「WordPressのバージョンを隠す」 「データベースのプレフィクスを変更する」 「サブディレクトリーにインストールする」 うん、気休め程度かな… 「2年以上放置されている怪しげなセキュリティ対策プラグインを入れる」 そっちのほうがこええよ！ 「サーバーのディレクトリー一覧の非表示」 それ見えちゃってるサーバー管理者では、何しても不安だよ！ とはいえ、そう思いつつも「これが決定版だ！」的な記事を書くのは勇気がいるものです。特にセキュリティ業界は怖いお兄さんが多…うわ何をするやめr
なぜオンライントラッキング拒否機能は重要なのか？ | ライフハッカー・ジャパン
ユーザのウェブ行動の履歴を利用し、そのユーザが関心を持つであろう広告を配信する「行動ターゲティング広告（BT広告）」の功罪については、いろいろと議論されていますが、実際これはどんなもので、どのような仕組みで実行されており、何が問題なのでしょうか？ こちらでは、このテーマについて採り上げてみたいと思います。 ■行動ターゲティング広告とは何か？ 普段は何気なく利用しているウェブサイトかもしれませんが、ウェブサーフィンしながら、ウェブページの隅をちょっとよく見てみましょう。たとえば、グーグルの広告ネットワークでは、こんなことが起こりました。 先日、自分のコーヒーで「Keurig K-Cup」を作ろうとしたのですが、コーヒーを何杯入れればいいのか思い出せなかったので、Googleで検索しました。仕事に戻ってしばらく経ち、この記事のために、Googleリーダーで米誌「Wired」の記事をリサーチして
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
Webクローリング＆スクレイピングの最前線 公開用
国家によるネット遮断が正当化される――ITR改正、日本など55カ国が署名拒否