自作検査ツール - SQLインジェクション編 - 2009-05-31 - T.Teradaの日記
前回の日記からだいぶ日にちが空いてしまいました。 今日は、自作検査ツールのSQLインジェクション用シグネチャについて書きます。 SQLインジェクションの検査シグネチャとしては、以下の5種類を用意しています。 A. SQLエラー検出+簡易なBlind B. Blind 数値型・カラム名等 C. Blind 文字列型 D. 更新系クエリ E. 文字コード系 SQLインジェクションは、かなりの頻度で脆弱性が発見されること、また一般的に危険度の高い脆弱性であることから、シグネチャの種類を多くしています。 それぞれのシグネチャについて、以下で順番に見ていきます。 A. SQLエラー検出+簡易なBlind 最初に試すのはベーシックなパターンです。 イ:【元の値】'"\'"\ … SQLエラーになる ロ:【元の値】''""\\ … SQLエラーにならない ハ:【元の値】'"\'"\ … SQLエラーにな
hello
hello [ "::ffff:35.191.15.169", "GET", "/wp/?p=262", {}, { "host": "wate.jp", "user-agent": "HatenaBookmark/4.0 (Hatena::Bookmark; Analyzer)", "cache-control": "no-cache", "accept": "*/*", "x-cloud-trace-context": "f2b2c71e04db21b6017682e491266d0c/9480773545164747120", "via": "1.1 google", "x-forwarded-for": "153.120.13.138, 35.227.238.79", "x-forwarded-proto": "http", "connection": "Keep-Alive" }
株式会社IDCフロンティア
IDCフロンティアのクラウドサービスが政府情報システムのためのセキュリティ評価制度（ISMAP... データセンター 2024年01月10日 【接続先追加】「バーチャルブリッジ」に主要IX事業者などの他事業者接続が追加 データセンター 2024年01月10日 令和6年能登半島地震の影響により、被災された地域のお客さまがご利用中のサービスについて支援措置を実施します。 サービス 2024年01月05日 新年のご挨拶 代表取締役社長 鈴木 勝久 その他 2024年01月04日 1月17日～19日に福岡で開催される「JANOG53 in Hakata」にブース出展します その他 2023年12月20日 ZDNET Japan Business＆IT ClassWork supported by ... その他 2023年12月15日 IDCフロンティア、「AIサービスのためのデジタルインフラ」を
脆弱性情報共有フレームワーク - MyJVN バージョンチェッカ
MyJVN にようこそ MyJVN は JVN iPediaの情報を、利用者が効率的に活用して頂けるように、 脆弱性対策情報を効率的に収集したり、利用者のPC上にインストールされたソフトウェア 製品のバージョンを容易にチェックする等の機能を提供する仕組み（フレームワーク）です。
［はまちちゃんのセキュリティ講座］ここがキミの脆弱なところ…！ 記事一覧 | gihyo.jp
運営元のロゴ Copyright © 2007-2024 All Rights Reserved by Gijutsu-Hyoron Co., Ltd. ページ内容の全部あるいは一部を無断で利用することを禁止します。個別にライセンスが設定されている記事等はそのライセンスに従います。
Home - Broadcom Community - Discussion Forums, Technical Docs, Ideas and Blogs
VMware Explore Registration Is Open Map your next move at the industry’s essential cloud event in Las Vegas August 26 – 29. Register Now Welcome VMware Members We are pleased to announce that VMware Communities, Carbon Black Community, Pivotal Community, and the Developer Sample Exchange will go live on Monday, 5/6. Stay tuned for updates. Read More Welcome VMware Members We are pleased to annou
PHP と Web アプリケーションのセキュリティについてのメモ
このページについての説明・注意など PHP は、Apache モジュールや、CGI、コマンドラインとして使用できるスクリプト言語です。このページでは、主に PHP における、Web アプリケーションのセキュリティ問題についてまとめています。 Web アプリケーションのセキュリティ問題としては、以下の問題についてよく取り挙げられていると思いますが、これらのセキュリティ問題について調べたことや、これら以外でも、PHP に関連しているセキュリティ問題について知っていることについてメモしておきます。 クロスサイトスクリプティング SQL インジェクション パス・トラバーサル(ディレクトリ・トラバーサル) セッションハイジャック コマンドインジェクション また、PHP マニュアル : セキュリティや、PHP Security Guide (PHP Security Consortium) には、PH
位置ゲーの位置詐称対策で検討すべき事
OHTSUKA Ko-hei @kokogiko @niryuu 後者の前提で一般的な話をすると、結局ケータイでの位置取得はGET/POSTでの経緯度通知にすぎないので、ユーザが嘘情報を流し込むと詐称されてしまいます。なので、確実に自分達のリンクから来たと検証する手段か、GET/POSTの送付先を知られないための隠蔽手段が必要。 OHTSUKA Ko-hei @kokogiko 前者の場合、Cookieに1回限りの使い捨てセッション埋め込んだり、Refererをチェックしたりで防げます。最近はCookieやRefererに対応したケータイが主流になってきたので、古い（と言っても意外と最近までですが）DoCoMoケータイを無視するならこれが一番簡単かと。
Tripwire運用の勘所
Note: Report is not encrypted. Tripwire(R) 2.3.0 Integrity Check Report Report generated by: root Report created on: Tue Apr 9 12:37:12 2002 Database last updated on: Mon Apr 8 20:26:07 2002 ====================================================================== Report Summary: ====================================================================== Host name:
Tripwireによるホスト型IDSの構築
ファイルの改ざんに早く気付くことは極めて重要だ。Webコンテンツの改ざんはもちろん、コマンドを置き換えられてバックドアを仕掛けられることも考えられる。Tripwireは、こうした事態への即応体制を整えるための有用なツールだ。 前回紹介したように、Tripwireはファイルの監査を行うホスト型IDSです。監査対象となるディレクトリやファイル属性のHASH値をデータベースに保存しておき、データベースと現在の属性を比較することで監査を行います。Tripwireでは、この監査を「整合性チェック」と呼びます。違反があった場合は、管理者に対してメールで通知する機能などもあります。 Tripwireの導入には、大きく分けて以下のような作業が発生します。
エンタープライズ：第1回：Tripwireを導入する (1/4)
第1回：Tripwireを導入する (1/4) Linux上のファイルやディレクトリを監視し、変化があれば管理者に知らせてくれるツールとしてTripwireがある。もし意図しないファイルの改ざんやアクセス権の変更などが発見されれば、早期に対策を困じることが可能になるわけだ。まずは、Tripwireの導入方法から解説しよう 「Tripwire」は、チェックを行いたいファイルやディレクトリの状態をデータベースとして保存し、システムの現在の状態をデータベースと照らし合わせ、変化がないかを比較するツールだ。もし、不正アクセスなどによりファイルの改ざんや削除、パーミッションの変更などがあれば、それをエラーとして管理者に報告してくれるわけだ。ただし、すでに改ざんされているシステムにTripwireを入れても、それを発見することはできない。システムを構築した時点でTripwireをインストールし、データ
iPhoneで撮影した写真の危険性と対策のまとめ | MY IPHONE . JP
こんにちは、kimsonです。 なにげなく撮影した写真から個人情報が流出してしまう可能性があるということをご存じですか？ iPhoneで撮影した写真にはジオタグというものが自動で付加かれてます。（位置情報サービスをオンにしている場合。） ジオタグには撮影場所の緯度経度が記録されていて、写真をそのままブログなどに上げてしまうと簡単に位置がばれてしまいます。 解析するツールは結構あってまずJpegAnalyzer Plusこのツール このツールでiPhoneで撮影したおいしそうなステーキの写真を読み込むと・・・ jpeganalyzer 赤線で囲まれた部分に緯度経度の情報が書かれています。（画像をクリックすると大きい画像が見れて見やすいです。） 次のツールはfirefoxのExif Viewerというアドオンです。 このアドオンは機能が充実していて読み込んだ写真のジオタグから地図を
プレイ・ザ・ゲーム！ CTFが問いかけるハックの意味
プレイ・ザ・ゲーム！ CTFが問いかけるハックの意味：セキュリティ・ダークナイト（1）（1/3 ページ） ダークナイトが帰ってきた！ 「セキュリティ対策の『ある視点』」を執筆したペネトレーションテスターによる新連載は、気になるセキュリティトピックを、時には攻撃者として、時には防御者として取り上げます（編集部） 守る者と攻める者の存在――だからこの世は面白い まずは、本連載のタイトルで「セキュリティ・ダークナイト」と銘打った理由を簡単に説明させていただこう。 ひねりのないタイトルなので気付かれた方も多いと思うが、これは有名な映画のタイトルから拝借している。その映画の登場人物である悪の象徴ともいえるジョーカーは、ゲームを楽しむためには自らの命をかけることも惜しまず、相手を翻弄（ほんろう）する。 それに対し、正義の象徴バットマンは、何があっても殺人は犯さないという大前提のもと自身の正義を貫こうと
アスキーアートや単語当てゲーム、それが「問題」だ － ＠IT
いざラスベガス、いざDEFCON CTF決勝へ（後編） アスキーアートや単語当てゲーム、 それが「問題」だ 福森大喜／ラウリ・コルツパルン 株式会社サイバーディフェンス研究所 上級分析官 2009/10/6 「もしDEFCONに行くなら手伝ってくれないか」……そして、いざ決勝の地へ！ 予選の混乱をお伝えした前編に続き、後編では決勝の模様をレポートします。（編集部） 決勝の地に到着、そこは底冷えするホテルの一室 会場はラスベガスにあるリヴィエラというホテルで行われます。会場に着くと、韓国チームは開場30分前に全員そろっていてすでに腹ごしらえをしています。それに対して、われわれのチームは開場から1時間ほどたってからそろい始めるという具合。韓国チーム、気合いが入っています。 われわれのチームは、韓国、アメリカ、エストニア、日本の混合チームです。学生が多く、若いチームでした。会場はテーブルが用意さ
予選はクイズ感覚の「超高度な知恵くらべ」 － ＠IT
福森大喜／ラウリ・コルツパルン 株式会社サイバーディフェンス研究所 上級分析官 2009/9/14 ハッカーのためのイベント、DEFCON17で開催されたCTF決勝に日本人が参加！ 参戦レポートの前編では、そこに至るまでの道のりを紹介します（編集部） 今年も開催、ハッカーの祭典「DEFCON」 毎年8月上旬になると、世界中のハッカーがラスベガスを訪れます。これは、「DEFCON」というセキュリティカンファレンスに参加するためです。 このDEFCONには、毎年8000人を超える参加者があるそうです。新しい脆弱性や攻撃手法が公開され、話題になることも多いため、官民学のセキュリティ関係者も注目しています。また、単なるカンファレンスではなく、イベントも多く開催されます。例えばウイルスをアンチウイルスソフトに検知されないようにする方法を競うコンテストから、ビールをいかに早く冷やすかを競うコンテストま
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
Google Code Archive - Long-term storage for Google Code Project Hosting.