今夜つける HTTPレスポンスヘッダー （セキュリティ編） - うさぎ文学日記
Webサーバーがレスポンスを発行する際に、HTTPレスポンスヘッダーに付けるとセキュリティレベルの向上につながるヘッダーフィールドを紹介します。 囲み内は推奨する設定の一例です。ブラウザによっては対応していないヘッダーフィールドやオプションなどもありますので、クライアントの環境によっては機能しないこともあります。 X-Frame-Options ブラウザが frame または iframe で指定したフレーム内にページを表示することを制御するためのヘッダーフィールドです。主にクリックジャッキングという攻撃を防ぐために用いられます。 X-Frame-Options: SAMEORIGIN DENY フレーム内にページを表示することを禁止（同じサイト内であっても禁止です） SAMEORIGIN 自分自身と生成元が同じフレームの場合にページを表示することを許可（他のサイトに禁止したい場合は主にこ
クレジットカードのセキュリティコードの保存は禁止 - うさぎ文学日記
私も海外でよく使っていたイモトのWi-Fi「GLOBALDATA」のWebサーバーに不正アクセスがあり、調査の結果最大146,701件のクレジットカード情報を含む情報漏えいがあったことが判明しています。 不正アクセスによるお客様情報流出に関するお知らせとお詫び | エクスコムグローバル株式会社｜XCom Global, Inc. (Japan) リリースによると漏えいした情報は下記の通りと、この情報が揃えば大半のサイトのオンライン決済で利用できるでしょう。 カード名義人名 カード番号 カード有効期限 セキュリティコード お申込者住所 この中の「セキュリティコード」ですが、これはVISAやMasterでは「CVV」や「CV2」などと呼ばれている不正使用防止のための番号で、カードの裏面などに記載されているものです。 この「セキュリティコード」はカードに記載された番号を確認することで、カードの実
Webに関わる人のための『HTTPの教科書』を発売 - うさぎ文学日記
ひさびさの単著となる『HTTPの教科書』が2013年5月24日に発売になります。 内容はタイトルの通り、Webに関わる全ての人に捧げるHTTPを学ぶための教科書です。基礎を学びたい初心者の方から、机の上に置いてリファレンス的に使いたい方までを対象としています。 HTTPの教科書発売元: 翔泳社価格: ￥ 2,730発売日: 2013/05/25posted with Socialtunes at 2013/05/21 HTTP関連の書籍は『今夜わかるHTTP (Network)』というタイトルの本を2004年に出しています。その頃からHTTP/1.1が主流であるというのは、今でも変わりませんがそれを取り巻く環境というのは変わりつつあります。 HTTPを学ぶ上での要点がわかりやすく、そして読みやすくなっております。前作のリニューアルっぽく感じるかと思いますが、9割以上は書き直しや追記しており
お名前.comのレンタルサーバーが平文でパスワードを保存している - うさぎ文学日記
お名前.comで取ってるドメインがあったので、とりあえずレンタルサーバーも使ってみようと申し込んでみました。 月額1575円の共用サーバー SD｜ドメイン取得なら お名前.com 設定を始めたところ、設定用のWebインタフェースのコントロールパネルに、メールアカウントや管理者アカウント、FTPアカウントなどのパスワードが表示されるという状況でした。 ※パスワードの箇所は暗号化されていないパスワード文字列 さらに、パスワード変更の際には旧パスワードの入力もいらないという仕様。 そして、コントロールパネルの横のお知らせには「セキュリティ対策は万全ですか？」とか出ててシュール。 サポートセンターに「パスワードを平文で保存しているのか？」ということや「なぜWebにパスワードをわざわざ表示するのか？」について問い合わせてみたところ、下記の回答がきました。 弊社サーバーNavi、および、コントロールパ
Googleがパスワードジェネレーターを開発中 - うさぎ文学日記
古くからあり、未だに絶えることのないパスワード攻撃ですが、それでもユーザーが強いパスワードを作って、それを使ってくれることは期待できません。 Googleは長期的にはOpenIDを広めたいようですが、それが叶うのはまだ先の話だということで、Chromeブラウザーの新機能として開発中なのが、パスワードジェネレーターです。passwordフォームに小さなUIを追加して、クリックするとパスワード候補を提案してくれるというものです。 強いパスワードが使われる一手になるといいですね。とは思いますが、提案されたパスワードが難しすぎたら、ユーザーは簡単なパスワードを付けそうだけど…。 Password Generation - The Chromium Projects
パスワード認証を回避してWindowsにログインする方法 - うさぎ文学日記
目の前にPCがあるのに、パスワードがわからずログインできないという状況ありますよね。合法的な状況なのであれば、パスワードなしでログインする方法を試してみてはいかがでしょうか。 今日現在、最新状態のWindows7で実行可能です。当たり前ですが、自分に権限のないPCなどで試さないようにして下さいね。 方法は以下の通り簡単です。 Ubuntuなどでブートして、Windowsドライブをマウント C:\Windows\System32以下の「Utilman.exe」を「Utilman.old」にリネーム C:\Windows\System32以下の「cmd.exe」を「Utilman.exe」にコピー 再起動して、Windowsの起動画面で「Windowsキー + U」でコマンドプロンプトが起動 あとは、「explorer.exe」などを実行することもできます。 実験 Ubuntu(ここではBac
グラボ(GPU)の力でMD5を解読 - うさぎ文学日記
CPUではなく、グラフィックボードに搭載されているGPUの力を使って、MD5やSHA-1などのハッシュ値を解読するというのを試してみました。 きっかけはPCの刷新。ゲームなどはしないので、DUAL DVI-Iが付いていれば何でもいいやと思って「VAPOR-X HD 5770 1G GDDR5 PCI-E DUAL DVI-I/HDMI/DP OC Version」というカードを13,980円で購入。 このATI HD5770が、GPUを使ってハッシュ値をブルートフォースで解読する「IGHASHGPU」に対応していたので、以前から試してみたかったので使ってみました。 IGHASHGPUのダウンロードはこの辺りから Ivan Golubev's blog - Cryptography, code optimizations, GPUs & CPUs and other http://www.g
Facebookパスワードリカバリーツール - うさぎ文学日記
Facebookのパスワードリカバリーに特化したアプリがあるとは知らなかった。何種類かあるようです。 Download Facebook Password Recovery Software ブラウザにパスワードを記憶させて至る場合に、キャッシュから戻すみたいですね。試してませんが、怪しいツールとかないのかな。どこかにパスワードをこっそり送ったりしないのかしら。 Facebook Password Extractor - Get passwords stored in Web browsers ~ THN : The Hackers News
あなたのサイトのWordPressデータベースのダンプがGoogle検索で見えてしまう - うさぎ文学日記
WordPressはかなりよく使われているブログ／CMSのプラットフォームですが、Google検索するだけでWordPressデータベースのダンプが見えてしまうようです。 といっても、DB→XMLに変換したものだけですので、全WordPressユーザーではなく、一部ユーザーだけの様子。 見える情報としては、ブログなどの内容以外には、コメントを記載した人のIPアドレスやメールアドレスなどだそうです。 Google検索キーワードと私がさっき検索して見つけた件数は以下の通り。 inurl:uploads ".xml_.txt" wordpress 約 3,790 件 inurl:uploads ".sql.txt" wordpress 約 38 件 検索結果の中には法律事務所とかの名前が見えてますが、コメント内容は大丈夫なものかな？（未確認） 自分のサイトがないか確認しておきましょう。確認する場
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
ソニーミュージック（日本）にSQLインジェクション脆弱性。DB構造も晒され。 - うさぎ文学日記
ハッキングの達人 - うさぎ文学日記