Webアプリケーションを作る前に知るべき10の脆弱性 ― ＠IT
Webアプリケーションが攻撃者に付け込まれる脆弱性の多くは、設計者や開発者のレベルで排除することができます。実装に忙しい方も、最近よく狙われる脆弱性のトップ10を知ることで手っ取り早く概要を知り、開発の際にその存在を意識してセキュアなWebアプリケーションにしていただければ幸いです。 Webの世界を脅かす脆弱性を順位付け OWASP（Open Web Application Security Project）は、主にWebアプリケーションのセキュリティ向上を目的としたコミュニティで、そこでの調査や開発の成果物を誰でも利用できるように公開しています。 その中の「OWASP Top Ten Project」というプロジェクトでは、年に1回Webアプリケーションの脆弱性トップ10を掲載しています。2004年版は日本語を含む各国語版が提供されていますが、2007年版は現在のところ英語版のみが提供さ
ウノウラボ Unoh Labs: 「サーバサイドCSS」という選択
miyakeです。突然ですが、CSSって書くの面倒ですよね。何らかのプログラミング言語を知っている人間から見ると、CSSというのは言語としてはかなり貧弱です。 もちろんCSSはプログラミング言語では無いので、それを貧弱だと言われてもCSSもいい迷惑かも知れません。でも、 div#content { ～ } div#content div.entry { ～ } div#content div.entry p { ～ } div#content div.entry ul { ～ } こういう大したことをしていないのに、コードがどんどん長くなっていくのを見ると、もう少し何とかならないものかと思ってしまいます。 コピペするにしても、 コピー元にカーソルを移動 範囲選択してコピー コピー先にカーソルを移動 ペースト という操作が必要になります。数が増えてくるとコピペのミスも発生しかねませんし、id
第11回 スクリプトインジェクションを防ぐ10のTips | gihyo.jp
前回はスクリプトインジェクションがなくならない理由を紹介しました。それをふまえて今回はスクリプトインジェクションを防ぐ10のTipsを紹介します。 デフォルト文字エンコーディングを指定 php.iniには、PHPが生成した出力の文字エンコーディングをHTTPヘッダで指定するdefault_charsetオプションがあります。文字エンコーディングは必ずHTTPヘッダレベルで指定しなければなりません。しかし、デフォルト設定ではdefault_charsetが空の状態で、アプリケーションで設定しなければ、HTTPヘッダでは文字エンコーディングが指定されない状態になります。 HTTPヘッダで文字エンコーディングを指定しない場合、スクリプトインジェクションに脆弱になる場合あるので、default_charsetには“UTF-8”を指定することをお勧めします。サイトによってはSJIS、EUC-JP
PHPで画像のサムネイルを超簡単に作る方法「phpThumbnailer」:phpspot開発日誌
Index of /projects/phpThumbnailer PHPで画像のサムネイルを超簡単に作る方法「phpThumbnailer」 PHP+GDな画像のサムネイル作成って結構面倒だったりしますが、配布されているThumbnail クラスを使えば超簡単にサムネイルが作れます。 配布パッケージ内に、class.Thumbnail.phpが含まれていて、次のようなサンプルプログラムで簡単に画像のサムネイルを生成できます。 <?php include("class.Thumbnail.php"); $tn_image = new Thumbnail("sample.jpg", 300, 300, 0); $tn_image->show(); ?> プログラムでは、sample.jpg のサムネイルを 最大幅 300px, 最大高さ 300px のサイズで作成し、画面に出力します。 Th
ウノウラボ Unoh Labs: PHPで暗号化・復号化あれこれ
shimookaです。 皆さんはPHPでデータの暗号化・復号をする必要に迫られた場合、どのようにしているでしょうか？今回は、PHPで利用可能なモジュールやパッケージとそれらのサンプルを3つほど挙げてみました。 mcrypt拡張モジュールを使った暗号化 libmcryptを利用したPHP拡張モジュールです。DES、3DES、Blowfish、RIJNDAEL（ラインダール：AES暗号とも呼ばれる）、Blowfishなどのブロック暗号をサポートしています。利用可能な暗号モードはCBC、OFB、CFB、ECBです。 PHPで利用するには、libmcryptをインストールし、configureオプションに「--with-mcrypt」を付ける必要があります。また、PHP5以降、libmcrypt 2.5.6以降が必要です。 以下は、SSHやファイル暗号化ソフトウェアなどに広く利用されているBlow
自分の経験の枠組みは自分で変えられるか？ - アンカテ
例によってメタな方向に話を広げようと思うんだけど、Ruby VS PHP論争の背後には「自分の経験の枠組みは自分で変えられる」という発想の有無という問題があるのではないだろうか。 そう思ったきっかけはこれ。 影響力のある人 - L'eclat des jours(2008-01-31) artonさんは、Matzにっき(2008-01-29)のコメント欄にあった、「影響力の大きい人が発言してるので怒ってます」という一言レスに着目して、興味深い考察をしている。 影響力のある人ってのは、つまり権威ってことなんだし、自分で吟味しない人は常に一定の割合でいて（そうでなければ、世の中に権威という存在はありえないわけだが、実際、存在している）その人たちに影響を与える。 ってことは、権威がある人は、だめなものはだめ（良いものは良い）、と言うべきですね。 私も全くその通りだと思ったけど、冒頭のように考えて
IPA ISEC セキュア・プログラミング講座：Webアプリケーション編 第1章 総論：より良いWebアプリケーション設計のヒント
ここで述べるのは、脆弱性が生まれにくいWebアプリケーションを構築するために設計段階、あるいはそれ以前の段階で考慮しておくとよい事項の例である。 (1) 開発環境の選択 1) プログラマが脆弱性をつくり易い環境を避ける 今日のWEBアプリケーション開発環境は、プログラミング言語の処理系に加えて、開発フレームワークやコンテンツ管理システム（CMS）、さらに外部のテンプレート言語までを加えた総合的な環境となってきている。 短時日で素早くサイトを立ち上げることを目的として、「軽量言語」と呼ばれる各種スクリプト言語が標準で備えているWEBアプリケーションを手軽に開発するための機能やライブラリをそのまま利用することは悪くない。しかし、その手軽さ故に、セキュリティの観点からは多くの脆弱性を生んできた経緯がある。 例えば、下記の事例が挙げられる。 PHPの4.1以前のバージョンの環境は、「registe
FrOSCon "PHP best practices"資料 (SOLVALOU.NET)
ワールドカップで盛り上がるドイツで行われたPHPのワールドカップ(嘘)「FrOSCon」での”PHP best practices”と題されたスピーチの資料が公開されました。 PHP best practices - The dos and don'ts http://talks.php.net/show/php-best-practices/ ※カーソルの左右でページ移動できます（→ 進む / ← 戻る） おおまかな内容はこんな感じ。 一般 typeセーフなコーディングをする opentagには"<?php ?>"を使う エラーレベルはE_STRICTにする Exceptionはメモリリークを起こすことがあるので注意 デバッガを使う(Xdebugがオススメ) コーディング規約に従う ドキュメントを書く(phpDocumentor) セキュリティ ユーザからの入力を信
Yahoo!がPHPを採用した理由:phpspot開発日誌
PHP at Yahoo(注: PDF) 月間４億ユニークＰＶ、約２億のアクティブユーザであるという（資料参照）Yahoo!。 それほどの我々が見当も付かないようなトラフィックを捌くための開発言語にＰＨＰをなぜ採用したか？について述べられたPDF資料。 PHP言語はYahoo!において2002年に採用されましたが、選定にあたって次のような要求基準があったそうです。 -ハイパフォーマンスであること -C/C++ extentionsの利用 -FreeBSDで動作する -インタプリタ、あるいは動的コンパイル言語 -国際化(i18n)サポート -安価なトレーニングコスト その上で、次のような特徴を考え、採用に至ったようです。 -web用にデザインされた言語 -ハイパフォーマンス -大規模なオープンソースコミュニティの存在 -HTMLの中にコードが記述可能 -ライブラリ、拡張性 -ツールの存在(I
PHPやJavaのJSPやRubyのeRBのクールじゃないところ - 矢野勉のはてな日記
Java, PHP, Ruby, Wicket この話題はPHP限定でもないので上の記事とは切り離しました。PHPのいいところを褒めてるところに書くと、褒めたい意図が壊れてしまうので。 symfonyの10分デモを見てて考えたことがきっかけではあるんだけど、実はRuby on Railsの勉強で本を読んでた時にも思ったこと。彼らはHTMLファイルにコードを書くことをなんとも思ってないんだね。もちろん、プログラマからすればその方が早いのかもしれないけどね、私には「HTMLはプログラマのものなの？」という思いがあります。 PHP（Ruby on RailsもeRB使ってる関係でそういう気があるんだけど）はなんでもかんでもHTMLページに書いちゃう傾向があるのだけども、仕事でデザイナの主張を聞くこともある身としては、HTMLにコードを書くことはちょっとこれからのウェブ開発フレームワークとしては受
Ywcafe.net
Ywcafe.net This Page Is Under Construction - Coming Soon! Why am I seeing this 'Under Construction' page? Related Searches: Cheap Air Tickets Top Smart Phones fashion trends Healthy Weight Loss Health Insurance Trademark Free Notice Review our Privacy Policy Service Agreement Legal Notice Privacy Policy
Matzにっき(2008-02-04) - 初心者向けの言語|ソフトウェア開発における初心者
<< 2008/02/ 1 1. [言語] 「ハッカーと画家」の著者が新しいLisp系言語「Arc」を公開 | エンタープライズ | マイコミジャーナル 2. 「セキュリティ、なめんなよ!」 なめねこも一緒に情報セキュリティ強化宣言 | ネット | マイコミジャーナル 3. 「サイオステクノロジーはグルージェントの未来技術に期待し子会社化」：ITpro 2 1. [Ruby] Nimble Method: Garbage Collection is Why Ruby on Rails is Slow: Patches to Improve Performance 5x; Memory Profiling 2. [言語] LuaJIT roadmap 2008 3. [Ruby] What will Matz do? 4. [Ruby] EURUKO 2008 − European Ruby
なぜ apache module を更新すると Segmentation fault するのか : DSAS開発者の部屋
今回は、apache module について気になることがあったので紹介します。 先日 バージョンアップするために apache module を更新した直後 apache が Segmentation fault してしまうという問題に気が付きました。 Segmentation fault した後に apache を再起動すれば、新しいモジュールが反映されて正常に動作するものの何故この様なことが起こるのか不思議に思い原因を調査してみました。 % curl http://localhost/ curl: (52) Empty reply from server レスポンスが空です。apache のログには [Thr Mar 29 17:52:01 2007] [notice] child pid 20001 exit signal Segmentation fault (11) この様なエ
guesswork classic
薄っぺらなフレームワーク guesswork classicは、「ややこしいフレームワークは使いたくない」けど「なんでもありになりがちなPHPスクリプトをスッキリさせる指針が欲しい」と考えている人のための軽量なPHP4用フレームワークです。 これまでのPHP用フレームワークはJava用フレームワークの設計を踏襲したものが多く、決まり事や憶えるべきことが多すぎてPHPの小回りの良さを活かしきれていないものがほとんどでした。そこで、guesswork classicは覚えなければいけないことを最小限に抑え、また既に稼働しているサーバでも簡単に導入できるよう以下の二点をポリシーに設計されました。 設定ファイルなんて邪魔 ディレクトリ構成、ファイル名くらい自由に決めたい guesswork classicについてもっと詳しいことを知りたければAboutを参照してください。また、コーディング例はDo
PHPソースからフローチャートを生成するツール:phpspot開発日誌
PHPソースからフローチャートを生成する | Shin x blog PHPのソースからフローチャートを生成するツールです。対応している言語はPHPの他にC/C 、Java、VBといった主要な言語はもちろんのこと、さらにPerlやPythonといったLL系の言語も網羅されています。（Rubyはまだのようです）PHPソースからフローチャートを生成するツール。 PHPやC, Java, VBのソースを次のようにフローチャートにしてくれるようです。 作ったプログラムや、配布されているプログラムをフローチャートにすれば解析に役立ちそうですね。 プリントアウトするには有償版を購入する必要があるようです。 → Visustin - Flow chart generator sofware
勉強会資料-IT戦記
勉強会の趣旨 nitoyon さんから amachang への一通のメールから始まりました。 5/16-18にお仕事で東京にいく予定です。 (中略) 19, 20 も予定がないので、なんか面白いネタ（勉強会？）が あれば参加してみたいものです。 というわけで、じゃあ、 nitoyon さんの興味のありそうな分野の人を集めようということで、今回の勉強会が決定しました。 発表と各資料のリンク 随時リンクしていきます。資料を公開したかたはトラックバックやコメントをくれるとうれしいです！ tocy – haXe remoting でチャチャッとチャット ll_koba_ll – ActionScriptでサーバーとごにょごにょ(資料) nitoyon – RIAと呼ばれるものまとめ(資料) ZIGOROu – Canvas Mario Bros. cho44 – Ruby, RubyCocoa,
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
生年月日から年齢を計算する簡単な計算式 - sanonosa システム管理コラム集
AJAX＆PHPでクールなイメージギャラリーを実装できる「PhotoFolder」:phpspot開発日誌
Always-PG プログラマ支援サイト
Efficient data transfer through zero copy
