PHPのイタい入門書を読んでAjaxのXSSについて検討した(1) - ockeghem's blog
このエントリでは、あるPHPの入門書を題材として、Ajaxアプリケーションの脆弱性について検討します。全3回となる予定です。 このエントリを書いたきっかけ twitterからタレコミをちょうだいして、作りながら基礎から学ぶPHPによるWebアプリケーション入門XAMPP/jQuery/HTML5で作るイマドキのWeという本を読みました。所感は以下の通りです。 タレコミ氏の主張のように、本書はセキュリティを一切考慮していない 主な脆弱性は、XSS、SQLインジェクション、任意のサーバーサイド・スクリプト実行（アップロード経由）、メールヘッダインジェクション等 脆弱性以前の問題としてサンプルスクリプトの品質が低い。デバッグしないと動かないスクリプトが多数あった 上記に関連して、流用元のソースやデバッグ用のalertなどがコメントとして残っていて痛々しい 今時この水準はないわーと思いました。以前
ロリポップのサイト改ざん事件に学ぶシンボリックリンク攻撃の脅威と対策
既に報道されているように、ロリポップ！レンタルサーバーに対する改ざん攻撃により、被害を受けたユーザー数は8428件にのぼるということです。ここまで影響が大きくなった原因は、報道によると、(1)「WordPressのプラグインやテーマの脆弱性を利用」し、不正なファイルがアップロードされた、(2)パーミッション設定の不備を悪用されて被害が拡大した、ということのようです。 29日夜の時点では、攻撃者の改ざん手法について「WordPressのプラグインやテーマの脆弱性を利用」し、不正なファイルがアップロードされて「wp-config.phpの」の設定情報が抜き出されたと説明していたが、30日午後7時過ぎの説明で、この脆弱性が侵入経路となって同社のパーミッション設定の不備を悪用されたことが原因だったことを明らかにした。 「ロリポップ」のWordPressサイト改ざん被害、原因はパーミッション設定不備
Lesson4：相手が信頼できることを確かめる「サーバー証明書」とは？
Lesson4では，通信相手のサーバーが信頼できるかどうかを確認するしくみを見てみよう。ここでは，サーバーがクライアントに送信する「サーバー証明書」に注目する。 証明書には「署名」が付いている サーバー証明書は，サーバーの管理者が，「認証局」と呼ばれる組織に申請して発行してもらう（図4-1）。サーバー証明書には，サーバー運営者の組織名，認証局の組織名，証明書の有効期限，サーバーの公開鍵などの情報が書き込まれている。さらに，サーバー証明書には認証局の署名が付いている。署名とは，証明書の内容をハッシュした値を，認証局の秘密鍵で暗号化したデータである。 図4-1●「サーバー証明書」と「署名」とは？ サーバー証明書は，サーバーの各種情報が書き込まれた情報で，サーバーの公開鍵が含まれている。サーバー証明書には，認証局の署名（証明書を認証局の秘密鍵で暗号化したデータ）が付いている。 [画像のクリックで
基礎知識 SSLの仕組み
SSL（Secure Socket Layer）とは、インターネット上でデータを暗号化して送受信する方法のひとつです。 通常、インターネットでは、暗号化されずにデータが送信されています。そのため、通信途中でデータを傍受されると、情報が第三者に漏れてしまう可能性があります。また、相手のなりすましに気付かずに通信すると、データがなりすましの相手に取得されてしまう可能性があります。 現在、クレジットカード番号や個人情報を扱う多くのホームページでは、通信途中での傍受やなりすましによる情報漏洩を防ぐ目的で、SSLを利用しています。 利用者がSSLを利用できるサーバーとデータをやり取りする場合には、Webサーバーと利用者のコンピュータが相互に確認を行いながらデータを送受信するようになるため、インターネットにおける通信内容の暗号化及びなりすましの防止が実現されます。 IE（Internet Ex
SSH の仕組み - WebOS Goodies
きんぐさんがこちらの記事で SSH のホスト認証に関して疑問を投げかけておられました。 実は私も SSH 関係で大ポカをやってしまいまして、先日書き換えた PuTTY の記事に、公開鍵は安全でない経路で転送しても大丈夫、とか書いてしまいました。はい、改竄される可能性があるので、ぜんぜん大丈夫じゃないですね orz そんなわけで、自分の頭の中を整理する意味も含めて、SSH の認証手順をまとめてみました。「SSH の仕組み」なんて大それたタイトルを付けてますが、単なる聞きかじりです。もし間違いなどありましたら、どうかご指摘くださいませ m(_ _)m 公開鍵暗号とは まず最初に、SSH などで使用されている「公開鍵暗号」ってなんなのでしょう？ 普通、私たちが「暗号」という言葉で思い浮かべるのは、ひとつの鍵でデータの暗号化と復号を行うものです。よくある、「アルファベットをある数だけずらして文章を
特に重要なセキュリティ欠陥・ウイルス情報
iOS / iPadOS 17.3 / 16.7.5 / 15.8.1、tvOS 17.3、watchOS 10.3、macOS 14.3 / 13.6.4 / 12.7.3 が公開されました。0-day を含むセキュリティ欠陥が修正されています。 https://support.apple.com/en-us/HT201222 ご利用の方は早急に更新してください。 Java SE のセキュリティ更新版、21.0.2 / 17.0.10 / 11.0.22 / 8u401 が公開されています。 Oracle 版の他、各社から公開されている OpenJDK ベースのディストリビューションも更新されています。例として Liberica JDK と Amazon Corretto の link を示します。 https://bell-sw.com/pages/downloads/ https:/
文字コードに起因する脆弱性を防ぐ「やや安全な」php.ini設定
補足 この記事は旧徳丸浩の日記からの転載です（元URL、アーカイブ、はてなブックマーク1、はてなブックマーク2）。 備忘のため転載いたしますが、この記事は2010年9月27日に公開されたもので、当時の徳丸の考えを示すものを、基本的に内容を変更せずにそのまま転載するものです。 補足終わり PHPカンファレンス2010にて「文字コードに起因する脆弱性とその対策」というタイトルで喋らせていただきました。プレゼンテーション資料をPDF形式とslideshare.netで公開しています。 文字コードのセキュリティというと、ややこしいイメージが強くて、スピーカーの前夜祭でも「聴衆の半分は置いてきぼりになるかもね」みたいな話をしていたのですが、意外にも「分かりやすかった」等の好意的な反応をtwitter等でいただき、驚くと共に喜んでいます。土曜にPHPカンファレンスに来られるような方は意識が高いというの
Macユーザーに贈る、そろそろ入れておくといいアンチウィルス・マルウェアソフト6選 | ライフハッカー・ジャパン
Macユーザーの大多数が、システムに感染するマルウェアやウィルスを防ぐのは絶対に無理だと思っているようですが、次々と生まれる脅威からMacを守るツールもあります。 Appleも、OS Xが攻撃を受けるだろうという事実を率直に認め、以下のような説明をしています。 怪しいファイルやアプリを見つけたり、Macが不審な動きをしているのに気付いたら、アンチウィルスプログラムを実行してください。 Apple Supportより OS Xが、ウィルスなどの良からぬものから十分に身を守れ、安全だというのは、実は何の根拠もありません。完ぺきではないのです。 Snow Leopardには、ビルトインのマルウェア検出サービスがありますが、Sophosのようなセキュリティ会社からウィルス情報のデータベースが提供されるのは、大抵数ヶ月後です。OS Xは、システムはUNIXなので、ファイルやユーザーアカウントのパーミ
PHP と Web アプリケーションのセキュリティについてのメモ
このページについての説明・注意など PHP は、Apache モジュールや、CGI、コマンドラインとして使用できるスクリプト言語です。このページでは、主に PHP における、Web アプリケーションのセキュリティ問題についてまとめています。 Web アプリケーションのセキュリティ問題としては、以下の問題についてよく取り挙げられていると思いますが、これらのセキュリティ問題について調べたことや、これら以外でも、PHP に関連しているセキュリティ問題について知っていることについてメモしておきます。 クロスサイトスクリプティング SQL インジェクション パス・トラバーサル(ディレクトリ・トラバーサル) セッションハイジャック コマンドインジェクション また、PHP マニュアル : セキュリティや、PHP Security Guide (PHP Security Consortium) には、PH
XSS (Cross Site Scripting) Cheat Sheet
XSS (Cross Site Scripting) Cheat Sheet Esp: for filter evasion By RSnake Note from the author: XSS is Cross Site Scripting. If you don't know how XSS (Cross Site Scripting) works, this page probably won't help you. This page is for people who already understand the basics of XSS attacks but want a deep understanding of the nuances regarding filter evasion. This page will also not show you how to
グーグル、Webアプリケーション脆弱性スキャナ「Skipfish」を公開 － ＠IT
2010/03/23 米グーグルは3月19日、Webアプリケーションの脆弱性を検査するスキャナ「Skipfish」を公開した。Apache License 2.0の下、オープンソースソフトウェアとして無償で公開されている。 Skipfishは、Webアプリケーションの脆弱性を自動的に検出するツールだ。Nessusなど、ポートスキャンやバッファオーバーフローの有無などを検査するツールとは異なり、Webアプリケーションに特有のセキュリティホールを検査するもので、Webアプリケーションの開発者やサービス提供者向けに公開されている。 具体的には、SQLインジェクションやコマンドインジェクションといった、外部からの不正侵入の原因となりうるWebアプリケーションの脆弱性を検査し、レポートする。また、同じくグーグルがオープンソースで公開している、プロキシサーバ型の脆弱性検査ツール「Ratproxy」のロ
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
【ネットの落とし穴】FacebookやTwitterのIDがWi-Fi経由で筒抜け、Firefox用アドオンの恐怖
とくまるひろしのSession Fixation攻撃入門 - ockeghem's blog
http://pentestit.com/2010/03/20/skipfish-active-web-application-security-reconnaissance-tool/