URLを知られたらアウトな管理画面 | 水無月ばけらのえび日記
更新: 2010年4月3日23時20分頃 メッセサンオー (www.messe-sanoh.co.jp)で個人情報が流出したというお話が。 秋葉原ゲームショップの顧客情報が閲覧可能に - アダルトソフト購入履歴なども流出 (www.security-next.com)ＰＣゲーム通販大手の顧客名簿が流出 (www.yomiuri.co.jp)メッセサンオー、PCゲーム通販の顧客情報がネットで流出 (internet.watch.impress.co.jp)Internet Watch の記事には追記がありますね。 なお、メッセサンオーが通販サイトで導入していたショッピングカートを提供するWEBインベンターは、Googleにインデックスされないように対策した最新の管理プログラムを公開し、利用者に対して適用を呼びかけている。 以上、メッセサンオー、PCゲーム通販の顧客情報がネットで流出 より ほ
CSRF対策は基本? | 水無月ばけらのえび日記
コミュニティーサイト構築に詳しい専門家は、「CSRF対策は基本的なところ。Amebaなうが対策していなかったのは意外だ」と話している。 「CSRF対策は基本的なところ」と言われると、発見も対処も容易であるような印象を受けますが、これは少し違和感がありますね。 半年ほど前の話ですが、弊社 (www.b-architects.com)のクライアントが新規のECサイトを立ち上げるにあたって脆弱性診断をしようという話になり、外部の会社に見積もり依頼をしたことがあります。その際、業界では知らない人がいないような大手会社の診断メニューも見せていただきました。 そこで印象的だったのは、標準とされるプランにCSRFの診断が含まれていなかったことです。標準のコースにはXSSやSQLインジェクションの診断が含まれますが、CSRFは「アドバンスド」プランの方にしか含まれていませんでした。普通のサイトではXSSや
サンシャイン牧場 情報「露出」問題のまとめ | 鳩丸よもやま話
「サンシャイン牧場」において、課金操作を行った人のメールアドレスと電話番号が「露出」していた件のまとめです。 はじめに「サンシャイン牧場」はmixiアプリとして提供されているゲームです。mixiアプリとしては最大の利用者数を誇り、2009年11月23日現在、利用者は300万人を突破しています。運営しているのはRekooという中国の会社です (が、最近、日本法人もできました)。 2009年10月21日、サンシャイン牧場に「Kコイン」の仕組みが導入されました。実際のお金を支払って「Kチャージ」を行うとKコインが増え、Kコインを消費することで、通常では購入できない作物や肥料などを手に入れられる仕組みです。リアルのお金を支払ってアイテムを購入するという、いわゆるアイテム課金の制度になります。支払い方法は、株式会社ゼロの決済代行サービスを利用したクレジットカード払いでした。 ところが、この課金に際し
証明書の内容についての記載は必要なのか? | 水無月ばけらのえび日記
しかし、これだけでは十分ではありません。実際にあった例では、フィッシング詐欺の偽サイトがSSLを利用していました。この場合、一見すると施錠された鍵マークが出ているので正規サイトと見分けがつきません。 (～中略～) ユーザーを大事にしている企業では、トップページなどに「当サイトのSSL証明書には次の様に記載されております」といった形で、内容が掲示されていることもあります。しかし、国内ではこのような対応をしている企業は少ないのが実状です。 いまいち意味が分からないのですが……そのような掲示に、何か意味があるのでしょうか? ここでは、攻撃者が自サイトの証明書を持っているケースを想定しているのですよね。であれば、攻撃者も「当サイトのSSL証明書には次の様に記載されております」として証明書の内容を記載する事が可能です。よって、その掲示自体が本物なのか否かを確認しなければならないはずですが……この掲示
クロスドメインの疑似ダイアログにログインフォーム | 水無月ばけらのえび日記
公開: 2024年3月9日15時30分頃 「新はてなブックマークの登録ブックマークレットは使ってはいけない (takagi-hiromitsu.jp)」。クロスドメインで疑似ダイアログが表示され、その中にログインフォームが現れるというお話。 ※高木さんは「ページ内JavaScriptウィンドウ」と呼ばれていますが、うちの社内では「疑似ダイアログ」(略して「疑似ダイ」) で通っていますね。実装がJavaScriptかどうかという点は本質ではありませんし、ここではとりあえず「疑似ダイアログ」と呼んでおきます。 疑似ダイアログにはアドレスバーも何もありませんし、クロスドメインで表示されているのかどうかを利用者が知る手段はありません。あくまで、ブラウザのアドレスバーのみを信用するようにして利用しないと駄目ということですね。 逆に、疑似ダイアログを使ったインターフェイスを設計する際には、こういう形で
ITproのセキュリティ検定がヤバイ | 水無月ばけらのえび日記
更新: 2008年11月7日1時55分頃 こんなのがあったのですね。「ITpro EXPO検定---全11分野で，あなたのIT理解度はいかに？ (itpro.nikkeibp.co.jp)」。 セキュリティ検定の解説もあったので見てみましたが、超難問が3問ほどあったので、独自に解説してみます。 Webブラウザを狙うクロスサイト・スクリプティングは，どのような問題点によって起こるでしょうか。 A） クライアントOSの弱点（ぜい弱性） B） Webブラウザを使うユーザーの油断 C） Webブラウザの弱点（ぜい弱性） D） Webサーバーの弱点（ぜい弱性） 以上、セキュリティ検定の解説【問題2】 より 「WebサーバやWebブラウザにもクロスサイトスクリプティング脆弱性がある」という知識を問う問題ですね。XSSというと普通はWebアプリケーションの問題ですが、WebブラウザやWebサーバに問題が
高木さんの日記がいつも503になっている件 | 水無月ばけらのえび日記
お知らせ： Firefoxに先読み機能の拡張機能を導入している方はご遠慮ください。一瞬にして十数件ものアクセスが集中して503エラー状態（Service Temporarily Unavailable）となり、他の方が読めない原因の1つとなっています。 Fasterfox (addons.mozilla.org)のようなものをご遠慮くださいということで。 Fasterfoxに関しては、「Fasterfoxが酷すぎる件 (la.ma.la)」なんて話もあるようですね。「Fasterfox の先読みをブロックする方法 (www.lucky-bag.com)」によると、robots.txt でブロックできるようですが……。 「高木さんの日記がいつも503になっている件」へのコメント (2件)関連する話題: Firefox
楽天メールマガジン情報漏洩の話・楽天の見解 | 水無月ばけらのえび日記
「楽天市場からのお知らせ (www.rakuten.co.jp)」に「【お知らせ】メルマガ登録情報画面からの個人情報の表示について (www.rakuten.co.jp)」というものが出ていますね。 調査した結果、弊社から『【楽天市場からのお知らせ】メルマガ登録情報の確認・変更・配信停止について』というメールにて個別にご案内したメルマガ登録情報画面のURLをお客様ご自身がQ&Aサイトやブログに貼り付けたり、ソーシャルブックマーク等に登録してURLを公開した場合、当該ＵＲＬが検索サイトのクロールの対象となり、検索サイトに登録されたことが原因であることが判明致しました。 今回の件は、当該ＵＲＬの想定を超えた使途によるものでしたが、弊社と致しましても、早速、当該情報が検索サイトのクロールの対象とならないための対策等を実施するとともに、すでにクロールの対象となった情報についてはインターネット検索サ
楽天メールマガジンの変更画面から情報漏洩 | 水無月ばけらのえび日記
更新: 2008年10月1日 セキュリティホールmemoより: site:emagazine.rakuten.co.jp で検索すると個人情報っぽいものが見えるとか見えないとか。 (www.st.ryukoku.ac.jp) メールマガジンの設定変更の画面が第三者に見えてしまう、という話のようで。まとめると、 設定変更画面のURLは、ユーザごとにユニークなIDを含むものになっているユニークIDは複雑で、他人の変更画面のURLは簡単には推測できない (……と思うのですが未確認)が、そのURLさえ分かってしまえば、GETリクエスト一発で認証もなしに変更画面にアクセスできてしまうアクセスすると、現在の設定情報 (氏名、メールアドレスなど) が見えてしまうそして何故か、そのURLをGoogleやWindows Live Searchがクロールしており、検索でヒットして残念なことに…………ということ
第01回まっちゃ445勉強会: ライトニングトーク | 水無月ばけらのえび日記
ついカッとなって第01回まっちゃ445勉強会 (sites.google.com)に参加してみました。 まずは午前中のライトニングトークについて、ぱらぱらとメモ。ただし、ディスカッションの内容は非公開ということになっていますので、質疑応答の内容は記載していません。 あまり知られていないXSS攻撃のバリエーション ～XSS脆弱性に対しXHRを用いた攻撃hnwさん (d.hatena.ne.jp)によるお話。 XSSの脅威として、よく「ターゲットのドメイン上で任意のスクリプトが実行できる」ということが言われます。その「任意のスクリプト」の一例として、ターゲットのサイト上で XMLHttpRequest を実行するというパターンのご紹介。 JavaScriptでダミーのページ遷移を実装し、XMLHttpRequest でターゲットの本物サイトから本物のページを読み込んで、アンカーとログインフォー
Firefoxではembedのsrcに書かれたスクリプトが動作する | 水無月ばけらのえび日記
更新: 2008年9月20日 Yahoo!ブログ (blogs.yahoo.co.jp)に演劇ライフのブログパーツ (engekilife.com)が貼れそうかどうか調べていたのですが、その過程でどうでも良いことを発見。 以下のように、img要素のsrc属性に javascript: で始まる値が吐かれてしまうというXSSの例がよくあります。
ベリサインのセキュアドシールは役に立つのか | 水無月ばけらのえび日記
セキュリティホールmemo (www.st.ryukoku.ac.jp)より、「Adobe Flash Player バージョン9.0.124.0導入環境においてベリサインセキュアドシール(Flash形式)の検証ページが表示出来ない事象について (www.verisign.co.jp)」。 Flash版のセキュアドシールが表示できないそうで。 ……しかしこれ、誰が困るのですかね。いつも思うのですが、そもそもこの「セキュアドシール」って何の意味があるのでしょうか。 ベリサインのサイトを見ると「毎日世界で約1.5億回表示」なんて書いてあるようです。シールを表示する際のログはきっちり記録されていて、それがベリサインのマーケティングに役立っているのでしょう。というわけでベリサイン側にはメリットがあるのでしょうが、これを貼る側にどういうメリットがあるのか分かりません。 ベリサインのサイトには以下のよ
「WASForum Conference 2008: サウンドハウス「Web攻撃の脅威に立ち向かうには」」@水無月ばけらのえび日記
1日目、カカクコムのお話の次に来たのがサウンドハウス (www.soundhouse.co.jp)のお話。 今年の4月にクレジットカード情報の流出が発覚し、大胆なプレスリリースが話題になったサウンドハウスですが、中島社長自らがお話しされるということで、かなり期待していました。実際にお話を聞いてみると、これがもうメチャクチャ面白かったです。ただ、あの話し方、身振り、スライド、どれ一つが欠けてもこの面白さは出ないと思いますので、生で見ていない人に面白さを伝えるのは難しいと思います。 ※ちなみにスライドの一部は使い回しのようです。「「被害を隠すな」サウンドハウス社長が不正アクセス体験語る (internet.watch.impress.co.jp)」に掲載されているものはおおむね使い回されていました。 ともあれ、話された内容をメモしておきます。ほぼ手元のメモのままなので、長いですが……。 導入部
WASForum Conference 2008: カカクコム「不正アクセス事件から学んだ事」 | 水無月ばけらのえび日記
WASForum Conference 2008 (wasforum.jp)に行ってきました。印象に残った話を中心に、とりとめなくメモしておきます。 まずは1日目、「不正アクセス事件から学んだ事」について。2005年に不正アクセスでサイト閉鎖となったカカクコム (kakaku.com)の、安田さんのお話です。 事件の経緯まず事件の経緯の話などが出ますが、まあそれはさんざん出ているので割愛します。細かい部分で興味深い話が2点ほど。 改竄を把握したのは水曜。改竄部分を戻したら問題なかったようなので運営を継続したが、その後も断続的に改竄と修正を繰り返した。土曜の夕方に一旦サーバを停止。その後再開するも、土曜の夜になって改竄の頻度が非常に高くなり、改修での対応は無理だと判断して閉鎖に至った。「どのくらいで復旧できるのか?」と社長に詰め寄られ、「一週間くらい」と返答 (実際には10日間の閉鎖)。 サ
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
