安全なWebアプリケーションの作り方改訂のお知らせ
徳丸本こと、「体系的に学ぶ 安全なWebアプリケーションの作り方」は、2011年3月の発売以降大変多くの方に読んでいただきました。ありがとうございます。 ただ、発売から既に7年が経過し、内容が古くなってきた感は否めません。たとえば、クリックジャッキングの説明はほとんどないですし、OWASP Top 10 2017で選入された安全でないデシリアライゼーションやXXEの説明もありません。なにより、Web APIやJavaScriptのセキュリティ等がほとんど書かれていないことが課題となっていました。 そこで、版元のSBクリエイティブと相談して、この度改訂することにいたしました。3月末脱稿、6月頃発売の見込みです。 改訂にあたり、以下を考えています。 Web APIとJavaScriptに関する説明を4章に追加 XHR2対応に向けてCORSの説明を3章に追加 携帯電話の章は丸ごと削除して、別の内
自分のメールアドレスが流出していないか確かめる方法 [ウィルス対策・セキュリティソフト] All About
注意点として、このサービスではすべてのパスワード流出事件を網羅しているわけではありません。「Have I Been Pwned?」運営側で入手できた、公に情報が流出したことのあるサイト情報に限られますので、もしセーフの判定でも油断だけは禁物です。 また、ここで検索することで「このサイトから自分のメールアドレスが流出するのでは？」と不審に思う人もいるかもしれませんが、パスワードやユーザー名と一緒に入力が必要なわけではないため、何かのログイン情報がもれる心配は不要です。 パスワードの使い回しはダメ、絶対！ 知らないところで流出したパスワードがリスト化され、不正アクセスに悪用されています。そしてとても残念なことに金銭被害も起きています。ユーザーはどのような対策ができるのでしょうか。 まず、パスワードを使い回すのは危険ですのでWebサービスごとに別々のパスワードを設ける必要があります。それと推測可
![自分のメールアドレスが流出していないか確かめる方法 [ウィルス対策・セキュリティソフト] All About](https://cdn-ak-scissors.b.st-hatena.com/image/square/46236e9b5edfcc4859a113eab2e15fc7769015ee/height=288;version=1;width=512/https%3A%2F%2Fimgcp.aacdn.jp%2Fimg-a%2F1200%2F900%2Faa%2Fgm%2Farticle%2F4%2F6%2F4%2F8%2F1%2F0%2F201803121541%2Ftopimg_original.jpg)
パスワードを平文で送ってくるっぽいサイトまとめ
パスワードを平文で送ってくるっぽいサイトまとめ パスワードを平文で送ってくるっぽいサイトをまとめています。サイトと関連ツイートを参照できます。
このアクセスって誰？ IPアドレスやホスト名からユーザー情報を調べる5つのサービス
このアクセスって誰？ IPアドレスやホスト名からユーザー情報を調べる5つのサービス：3分LifeHacking 自分のWebサイトにアクセスしてきたユーザーの接続元や、メールの送信元を調べるために、IPアドレスを手掛かりに検索する機会は少なからずある。最近だと、Facebookで不明な機器からログインがあった場合にそのIPアドレスがユーザーに通知されるので、Webサイトを所有していない場合でも、IPアドレスを意識する機会は増えている。また「bizmakoto.jp」といったドメインからサーバの所在地などを調べたいケースもあるはずだ。 今回は、IPアドレスから、Webサイトにアクセスしてきたユーザーの接続元などの情報を割り出すためのサービスを5つ紹介する。いずれも操作方法はよく似ており、接続元がGoogleマップで表示されるのも共通だが、出力される情報の種類は少しずつ異なる。また独自の機能を
最も危険な検索エンジン？ 「Ｓｈｏｄａｎ」が浮き彫りにする無防備なネット環境
ニューヨーク（ＣＮＮＭｏｎｅｙ） 「グーグル検索で見つからないものは誰にも見つけられないと思われがちだが、それは真実ではない」――。インターネットの「闇グーグル」とも呼べる検索エンジン「Ｓｈｏｄａｎ」を開発したジョン・マザリー氏はそう話す。 ウェブサイトを巡回して情報を収集するグーグルに対し、Ｓｈｏｄａｎはサーバー、ウェブカメラ、プリンター、ルーターなど、インターネットに接続された機器５億台あまりを巡回して情報を収集する。 ごく単純な検索でも、Ｓｈｏｄａｎに表示される結果には息をのむ。インターネットに接続された無数の信号機、防犯カメラ、ホームオートメーション機器などが簡単に見つかるほか、親水公園やガソリンスタンド、ホテルのワインクーラー、火葬場などの制御システムも検索できる。サイバーセキュリティーの専門家は、原子力発電所や粒子加速器の制御システムまで探し当てたという。 何よりも恐ろしいこと
FB良品サイトリニューアルでXSS祭りまとめ
武雄市長とその周辺の人が作ったFacebookと無印良品を合わせたようなFB良品（http://fb-ryohin.jp/）という名前のネット通販サイトがリニューアルしたところ、あまりにすごいサイトで祭りになっていました。
TechCrunch | Startup and Technology News
When Alex Ewing was a kid growing up in Purcell, Oklahoma, he knew how close he was to home based on which billboards he could see out the car window.…
「アメーバ」に不正アクセス 5万人、退会状態に - 日本経済新聞
ネット広告大手のサイバーエージェントは25日、コミュニティーサイト「アメーバ」が第三者からの不正アクセスを受け、一部会員が退会状態になって利用できなくなるトラブルが起きたと発表した。個人情報の漏洩や不正利用はないという。同社によると、約2千万人いる会員のうち、サービスが利用できなくなったのは約5万人。26日午
reCAPTCHAの無茶振りとその理由 - しろもじメモランダム
CAPTCHA（いわゆる画像認証）の実装の一つにGoogleのreCAPTCHAというものがあるが、今日の昼にこんなものに引っかかった。 ウムラウト付きのcaptchaとか微妙に難易度高いなこれｗ URL 2011-09-30 11:53:27 via Janetter2 @mashabow 私はbiſhopを出されたことがありますｗ bishopで通りましたが 2011-09-30 11:56:53 via Tween to @mashabow どうやらreCAPTCHAは、a–zの26文字以外のアルファベットも出してくるらしい。面白そうだったので、更新ボタン（矢印が巴形になっているボタン）を押しまくって変なものが出てこないか探してみた。 reCAPTCHAの無茶振り・初級篇 thouſand。上のツイートにも出てきた ſ はいわゆる長いsで、現代風に表記すれば thousand。古い本
mixi足あと廃止に寄せて - 最速転職研究会 | コメント mixiって今ほとんどがモバイルでアクセスされてたはずだけど、スマホ以外のガラケーでもこの問題が起きるの？
mixiが6年以上に渡って放置してきた足あと機能を使って訪問者の個人特定が可能な脆弱性を修正した。簡単に説明するとmixi以外のサイトからでもユーザーに気付かれずに、その人のmixiアカウントを特定するということが出来たが、出来なくなった。(正確にはユーザーが気付いたとしても特定された後) アダルトサイトが訪問者のmixiアカウント収集したり、ワンクリック詐欺サイトがmixiアカウント特定して追い込みかけたり、知らない人からメッセージ送られてきてURL開いたらmixiアカウント特定されてたり、そういうことが今まで出来ていたのが出来なくなった。 過去にもいろんな人が言及してるし、すでに終わった議論だと思ってる人もいるだろう。世間一般にどれぐらい認知されていたのかはよく分からないが、少なくとも技術者やセキュリティ研究者の間ではよく知られている問題だった。 http://internet.kil
Twitterの脆弱性3連発 - ma<s>atokinugawa's blog
最近僕が発見し、修正されたTwitterの脆弱性を3つ紹介します。 1.旧Twitterの文字列処理に絡んだXSS 去年の夏くらいに、Twitter Web上で € 〜 ÿ の文字参照が含まれるツイートをXMLHttpRequestで読み込んだ際に表示が乱れるという問題に気付き*1、その時はこれは脆弱性には繋がらないだろうという判断をしたのだけど、今年の4月になって改めて調べたところ貫通しました。 表示が乱れるというのは、€ 〜 ÿ の文字参照が含まれるツイートがあると、一部の文字が\XXXXの形式に化けたり、ツイート周辺の「"」が「\"」になったりするものだったのですが、今回は「"」が「\"」になる点が脆弱性を発生させていました。 この条件でXSSさせようと思ったら、ツイートを細工してURLや@や#などオートリンクが作成される部分にうまいことイベン
Webアプリケーション作った後のチェック表
愛宕山太郎坊 アニメーション制作進行支援ソフト 愛宕山太郎坊 ログイン 会社id ユーザー名 パスワード ユーザー名またはパスワードが正しくありません。 閉じる ログイン
Evernote の XSS 脆弱性に関して mala 氏のつぶやき
要するに、解決されるまではログアウトしとけということだそうデス。 【2011/04/20 12:20 追記】ひゃっはー的なおまけを追加しました。 【2011/04/20 00:30 追記】多分これで最後。以降は Evernote の正式発表を待った上で、それを信用して利用するかどうかは各個人の判断にお任せします。 【2011/04/19 17:05 追記】午後の部追記。なお、エントリを起こされている方がおりましたのでご紹介。＞『bulkneets氏によって報告されたEvernoteのXSS脆弱性とは 危険と対策』( http://d.hatena.ne.jp/pichikupachiku/20110419/1303158373 ) 続きを読む
ヤフーにおけるインプットバリデーション「何も信じるな」 (Yahoo! JAPAN Tech Blog)
ヤフー株式会社は、2023年10月1日にLINEヤフー株式会社になりました。LINEヤフー株式会社の新しいブログはこちらです。LINEヤフー Tech Blog こんにちは、R＆D統括本部 開発推進室 セキュリティプラットフォーム技術 セキュリティスペシャリストの戸田 薫です。 今回は、私たちが普段からヤフーのシステムに対する入力にどのような注意を払っているのか、そのいくつかをご紹介致します。 入力とは? Webサイトを運営している場合、どのような入力があるでしょうか？ たとえば、Webサービスには、以下の入力があります。 Cookie URL GET/POSTのデータ ファイルのアップロード その他リクエストヘッダ そのほかにもいくつもあります。 環境変数 設定ファイル クローラが取得したデータ パートナー企業のAPIから取得したデータ（XMLやJSONなど） パートナー企業の入稿用 F
のっとったー
のっとったーは，新時代の乗っ取りサービスです． のっとったーを利用して，友達のTwitterアカウントを乗っ取ったり，知らない人にアカウントを乗っ取られたりしましょう． 使い方 OAuth認証します 乗っ取りたいユーザーを一覧から選択します 5分間そのユーザーになりすましてタイムラインの閲覧やツイートができます よくある質問 どういう仕組みで乗っ取っているんですか? OAuth認証の仕組みを使って安全にアカウントを乗っ取れます 誰が誰を乗っ取ることができるの? のっとったーを利用しているユーザー同士が，お互いのアカウントを乗っ取ることができます．誰が誰をのっとったか分かるようになっていますので，匿名でなにか書かれる，といった心配はありません．以下のリンクから，過去ののっとりをご覧になれます． 過去ののっとり 非公開(プロテクト)ユーザーをフォローしているけど大丈夫? 非公開ユーザーのツイー
パスワードの意味がない！！！パスワードリマインダの危険性 Part1 » とりあえず9JP
このパスワードリマインダ、新規登録時に「秘密の質問」を複数の選択肢の中から選択し、その質問に対する回答をユーザが入力するといった形態を取る事が多い。 で、ユーザがパスワードを紛失してしまった場合は、その秘密の質問を表示し、新規登録時にユーザが回答した内容と同一であれば、パスワードの再設定画面に進める、といった仕組みなのだけど・・・ この予め用意されている質問というのがお粗末すぎる。 例を紹介すると ・電話番号の下四桁は？ ・好きなアーティストは？ ・貴方の母親の旧姓は？ ・貴方の星座は？ ・ペットの名前は？ といった感じ。 恐ろしい事に、いわゆる大手のWEBサービスでも、これらの秘密の質問に対する回答と、生年月日などが一致した場合、パスワードの再設定画面に進んでしまう。 パスワードを知らずとも、悪意を持った第三者が、簡単な「秘密の質問」に回答する事でパスワードを変更できてしまうのであれば、
べね×ソニー銀行
いくつの金融機関にいくら預けているか、 すぐに思い出せますか？ ひとことで「全体のバランス」を考えたい、とは言っても、自分のお金ってあちこちに散らばっていて、なかなか把握しづらいのが実際のところ。例えば、自分がいくつの金融機関に、どれだけの資金を預けているか覚えていらっしゃいますか？ 近年では、Web上で口座情報にアクセスできるサービスも普及していますが、クレジットカードの利用状況や預金残高を確認するには、その都度、サイトごとに設定されたパスワードやIDを入力する必要がありました。 でもこの入力作業って、サイトにアクセスするだけでも、それなりの時間がかかってしまいますよね。実際お客様の中にも、「面倒くさい」とか「わずらわしい」とかいった声が多く、わざわざアクセスして「お金」の状況を管理されている方は、思ったより少ないように思います。 面倒なIDやパスワード管理から解放―― ソニー銀行
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
Google、自分の情報がウェブに公開されたことを通知する「Me on the Web」 
自分でできるWebアプリケーション脆弱性診断 - デブサミ2010
「ShieldsUP!」でファイヤーウォールの防御力を計測 | ライフハッカー・ジャパン
