知らなかったらNGなWEBアプリケーション脆弱性一覧 : mwSoft blog
先日、AmebaなうがCSRFという非常にポピュラーな脆弱性を披露したかと思ったら、ここ数日はセブンネットショッピングでXSSの脆弱性と、ID推測による他ユーザの個人情報閲覧の問題が発生しているという噂が流れています。 ユーザの情報を預かっておきながら、基本的なセキュリティの対策もできていないというのは、銀行に例えるなら、お金を預けようとした時に「お金は預かります。ちゃんと保管します。でも警備はあまりしないので盗まれたらスイマセン」と言われるようなものだと思う。 警備に穴があったというのではなく、まともに警備してませんでした、というのはさすがにありえないことです。 そこで、野良WEBプログラマである私が知っている脆弱性を列挙してみた。 私はプログラマであってセキュリティの専門家ではないです。しかも今年の春辺りからずっと外向けのWEBプログラムは組んでません。 その人間が知っているものを並べ
iPhoneのパスワード強化方法 – 数字４桁のパスワードは危険 - EC studio 社長ブログ
iPhoneはとても便利で今や手放せないデバイスですよね。 ただ、依存度が上がれば上がるほど、セキュリティリスクが高くなります。 iPhoneの大きな問題の一つに、ログイン認証のパスワードが 数字４桁であることです。人に見えないように隠しながら打てばいいのですが 無防備にパスワードを打ってる方を良く見かけます。 もしその４桁の数字が銀行のキャッシュカードのパスワードと同じだったりすれば それはお金を引き出せる情報を一般公開しているのと同じです。 EC studioではiPhoneを全員に支給していますので、このパスワード問題は 情報漏洩リスクにもつながります。 そこでEC studioでは全スタッフのiPhoneパスワードは英字を含めた ５桁以上のパスワードへ強化するように対策しています。 ——————————————————————— Appleの製品は実はこんな機能があったんだというこ
ＩＰＡ式ウェブアプリケーション脆弱性チェックリスト
先日書いた業務用アプリに関連するんですけど、うちの会社ではサービスをリリースする前に脆弱性監査を通す必要があります。会社の仕組みとしてそのような監査チームがあることが凄く助かっています。 さて、会社の脆弱性監査の内容は守秘義務等で書くことが一切できないのですが、ＩＰＡ（独立行政法人 情報処理推進機構）にて脆弱性対策についてのまとめ資料が公開されています。 情報処理推進機構：情報セキュリティ：脆弱性対策：安全なウェブサイトの作り方 ココで公開されている 「安全なウェブサイトの作り方 改訂第3版」 は全７６ページからなる脆弱性対策マニュアルになっていて、どのような脆弱性に対してどうのように対処すべきかが記載されています。この第３版は行ってみれば、脆弱対策2009年度版みたいなもん。新しい攻撃手法がどんどんでてくるのでその都度対策が必要なのですが、このマニュアル本に記載されている内容で、現在の対
悪意あるコードの侵入を阻止するツール、HTML Purifier | OSDN Magazine
HTML Purifierは、HTMLの正当性を確保しクロスサイト・スクリプティングなどの悪意あるコードの侵入を阻止するツールだ。同プロジェクトのページPluginsには、現在、CodeIgniter、Drupal、MODx、Phorum、Joomla!、WordPress用のプラグイン類が用意されている。これを導入しておけば、利用者が、閲覧したブラウザーで実行される悪意あるコードをHTMLコンテンツに挿入することができなくなる。実際の動作をデモ・ページで確かめることもできる。 HTML Purifierは、既知の悪意あるHTMLコードを探すブラックリスト方式ではなく、ホワイトリスト方式を採用している。したがって、正当なHTML文書を構成するすべてのパーツを明示的に指定する必要がある。どのようなコンテキストで何が許されるかは、Smoketestページで確認することができる。正当なHTMLと
PHP/脆弱性リスト/メモ - yohgaki's wiki
なんだかやけに長い説明ばかり検索に引っかかったので書きました。 Linuxのローカル環境でDockerコンテナ内のXアプリ（GUIアプリ）を利用するには $ xhost localhost + を実行した後に $ docker run --rm --net host -e "DISPLAY" container_image_name x_app_binary_path とすれば良いです。 もっと読む SSHなどよく知られたサービスポートで何も対策せずにいると数えきらないくらいの攻撃リクエストが来ます。不必要なログを増やしてリソースを無駄にし、もし不用意なユーザーやシステムがあると攻撃に成功する場合もあります。 SshguardはC作られており、flex/bisonのパーサールールを足せば拡張できますがカスタム版をメンテナンスするのも面倒です。必要なルールを足してプルリクエストを送ってもマー
MOONGIFT: » [重要なお知らせ] MOONGIFTがクラッキングされました:オープンソースを毎日紹介
先日にも同様のお知らせをしておきながら、大変申し訳ありません。 本日、MOONGIFTがハッキングされました。内容としては、GreeTz: XP HACKER〜という文字列と画像が表示されるものです（ウィルスアラートは出ず、ユーザへの実害はない模様です）。 原因としては、WordPressのプラグインにバグがある模様です。現在、そのプラグインは削除しております。 ログに記載されていた内容は以下の通りです。 41.232.212.222 - - [25/Apr/2008:01:45:49 -0400] "GET /wp-content/plugins/UltimateTagWarrior/ultimate-tag-warrior-ajax-js.php?ajaxurl=http://www.moongift.jp/wp-content/plugins/UltimateTagWarrior/u
![MOONGIFT: » [重要なお知らせ] MOONGIFTがクラッキングされました:オープンソースを毎日紹介](https://cdn-ak-scissors.b.st-hatena.com/image/square/5b77db804c69b51b3167dd1e1ade43bf4e33b573/height=288;version=1;width=512/https%3A%2F%2Fmoongift-assets.s3.amazonaws.com%2Fassets%2Fnone-c3f80f5acd8206a735bb12db1e77cb6d.png)
Amazonのすごいアクセス解析サービス - ぼくはまちちゃん！
こんにちは！ Amazonほしい物リスト、すごい話題になってますね！ なんでも、メールアドレスで検索すればAmazonに登録してある本名がでてくる (ケースもある) とか…。 で、さっそくぼくも試してみたよ！ ほしい物リストサーチ！ これって、いま話題になっているのは、誰かのメールアドレスを手がかりにして ウィッシュリストや本名、下手すると住所まで知られてしまうってところだよね。 それだけでも面白いんだけど、 あまり注目されていない機能として、こんなものがあったよ。 友だちにほしい物リストについて知らせる これ。 自分のほしい物リストを誰かにメール送信できちゃう機能らしいね！ じゃあ試しにメール送信時のリクエストを確認してみると… http://www.amazon.co.jp/gp/registry/send-nudge.html?ie=UTF8&type=wishlist&__mk_j
アスタリスクで隠されたパスワードを確認する方法 [K'conf]
ログインが必要なサイトの多くは、IDとパスワードを入力するフォームが設置されています。 通常、このようなフォーム内のパスワード部分に入力した文字は盗み見防止のため、「********」のようなアスタリスクになって文字が隠されるようになっていますが、しばしば、この入力したパスワードを確認したい状況になる場合も少なくありません。 このようなケースに役立つハックの紹介。 以下のJavaScriptをアドレスバーに入力すると、次のようなダイアログ内にパスワードが表示されます。 javascript:(function(){var s,F,j,f,i; s = ""; F = document.forms; for(j=0; j<F.length; ++j) { f = F[j]; for (i=0; i<f.length; ++i) { if (f[i].type.toLowerCase() ==
![アスタリスクで隠されたパスワードを確認する方法 [K'conf]](https://cdn-ak-scissors.b.st-hatena.com/image/square/1a87d5887c466cccb0b849babb90931bdfa1b8c8/height=288;version=1;width=512/http%3A%2F%2Fkenz0.s201.xrea.com%2Fimage%2Fweblog%2F071121%2F2.gif)
Open Tech Press | SSHのセキュリティを高めるためのハウツー
SSHサーバの設定ファイルは/etc/ssh/sshd_configとなっている。このファイルを変更した後は、変更を反映させるためにその都度SSHサービスを起動し直す必要がある。 SSHが接続を待ち受けるポートの変更 SSHはデフォルトでは22番ポートで接続を待っている。攻撃者はポートスキャナを使ってホストがSSHサービスを実行しているかどうかを把握するが、（nmapを含め）大抵のポートスキャナではデフォルトでは1024以上のポート番号のスキャンは行なわれないため、SSH用のポートを1024以上の番号に変更しておくのが賢明だ。 具体的には、/etc/ssh/sshd_configファイルを開き、以下のような行を見つけて変更する。 Port 22 この行でポート番号を変更したら、以下のようにしてSSHサービスを起動し直そう。 /etc/init.d/ssh restart SSHプロトコル2
sudo
ref:ウノウラボ Unoh Labs: 専用サーバを構築するときにまず行う４つの設定 む。 /etc/sudoers の編集には visudo を使いましょう。文法チェックもしてくれる /etc/shadow の編集には sudo vipw -s としましょう。まぁインストール直後だと問題ないだろうけど su を禁止するのはいいけど、この設定だと sudo -u user -s とか、sudo sh -c su とやってしまえば通過できてしまう。まぁ、su を禁止することで類似する行為をするな、というメッセージにはなるので、まったくの無意味だとは言わないが。sudo で実行したコマンドはログに残るし つうか、半端に一部のユーザに su 出来るようにするのは変でないかい？postgres の権限で実行したいなら % sudo -u postgress commandsで十分。root と
OpenID.ne.jp - OpenIDを使って10000サイト以上にたった１つのIDで入れます。あなたもOpenIDを作成しませんか？
最も安い引越し業者を探す方法は簡単です！ それは、引越し業者に１社ずつ見積もりを取ってもらい、比較すること。 しかし、 １社１社、見積もりを依頼するのは非効率で、 時間も労力もかかってしまいます。 そこで、おすすめなのが、 引越し業者一括見積もりサービス ご自身の荷物量と住所や引越し時期など、 概要を一度入力するだけで、 複数の引越し業者に対して見積もりを依頼することができます！ 一回の手間で見積り依頼が可能なので、 労力がかからない、時短！お役立ちサイトを使って、 賢く引越し業者を比較しましょう。 さらに、引越し業者一括見積もりサービスだと、 料金を比較される、ということを引っ越し業者も分かっているので、 通常の見積もりよりも安く提示してくれることが多いです。 安く引っ越したいなら、引越し業者一括見積もりサービスをフル活用しましょう。 引越し業者一括見積もりサービスおすすめ５社 サイトに
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
PHPでのセキュリティ対策についてのメモ - Liner Note
Router Passwords Community Database - The Wireless Router Experts