［気になる］JSONPの守り方
XSSにCSRFにSQLインジェクションにディレクトリトラバーサル……Webアプリケーションのプログラマが知っておくべき脆弱性はいっぱいあります。そこで本連載では、そのようなメジャーなもの“以外”も掘り下げていきます （編集部） JSONPだって、セキュリティを気にしてほしい 皆さんこんにちは、はせがわようすけです。今回は、JSONPを使用する場合のセキュリティについて解説しましょう。 JSONPとは、JSON with Paddingの名称が示しているとおり、JSON形式のデータにコールバック関数の呼び出しのためのコードを付加することで、クロスドメインでデータの受け渡しを実現するためのデータ形式です。JavaScriptからクロスドメインでのデータが簡単に扱えることなどを理由に、多数のWebアプリケーションでAPIの一部としてJSONP形式でデータの提供が行われています。 具体的な例を見
JSONのエスケープをどこまでやるか問題 - 葉っぱ日記
Ajaxなアプリケーションにおいて、サーバからJSONを返す場合に、JSON自体はvalidであるにも関わらず、(IEの都合で)エスケープが不足していて脆弱性につながってる場合があるので、書いておきます。 発生するかもしれない脆弱性 JSONのエスケープが不足している場合に発生する可能性のある脆弱性は以下の通りです。 JSON内に含まれる機密情報の漏えい XSS それぞれの詳細については後述します。 開発側でやるべきこと 文字列中のUnicode文字は "\uXXXX" な形式にエスケープするとともに、ASCIIな範囲であっても「/」「<」「>」「+」も同様にエスケープすることにより、前述の脆弱性を防ぐことができます。 Perlであれば、以下のような感じになります。JSON->ascii(1) に続けて、JSON文字列を正規表現で置換しているあたりがキモになります。 use utf8; u
第01回まっちゃ４４５勉強会に参加してきました - hnwの日記
題名の通りですが、「まっちゃ４４５勉強会」に参加してきました。場所は京急蒲田そばのPiOです。 これは、「まっちゃ１３９勉強会」というセキュリティの勉強会が大阪で定期開催されているんですが、それが東京に進出してきたものです。最初に参加者の自己紹介タイムがあったんですが、聞いていると「いままで始発で大阪に行ってたのが東京で開催してくれると助かる」みたいな人が何人もいて、熱心な人がたくさんいるなあ、と思いました。 勉強会本体は13:00からだったんですが、朝10:30からLTの枠があって、「XSS脆弱性に対しXHRを用いた攻撃」という題名で僕も15分ほど喋りました。内容としては「XSSに対してXHRを使えば夢が広がりんぐ」ということで、あんまり他の人が主張してるのを見た事が無いので新ネタかもしれないけど、とりあえずセキュリティ界隈の人に斬ってもらおうと思って喋ってみました。 資料: http:
MOONGIFT: 日本向きなWebベースのグループウェア「Aipo4」:オープンソースを毎日紹介
フリーランスになってからはグループウェアと縁がなくなっているが、複数人で活動する場合はやはりグループウェアがあった方が良い。情報の交換もそうだが、まずは必要な情報を集約することに意味がある。 海外のオープンソースのグループウェアは数多いが、前に色々試してみたところでは何となく使い勝手に違和感を感じることが多かった。やはり日本人にあったグループウェアが必要だ。 今回紹介するオープンソース・ソフトウェアはAipo4、日本向けのグループウェアだ。 Aipo4はエイムラックという日本の企業が開発したグループウェアで、Tomcat + PostgreSQLで動作する。配布はGPLだが、有料でのサポート契約もある。Ajaxが多用され、インタフェースも分かりやすい使い勝手の良いグループウェアだ。 カレンダーはGoogleカレンダー風にドラッグで作成できるようになっている。Todo管理はもちろん、アドレス
jQueryを使った、クールな写真ギャラリーを作るためのライブラリ『galleria』 | IDEA*IDEA
ドットインストール代表のライフハックブログ
第1回 Ajaxとクロスサイトスクリプティング | gihyo.jp
初回はWeb2.0の中核技術ともいえるAjaxを見ていきたいと思います。 Ajaxのセキュリティについて考えていきますが、その前にAjaxについて簡単におさらいしてみましょう。 AjaxとはAsynchronous JavaScript XMLの略であり、一言で言えばJavaScriptとXMLを使って非同期に通信するということです（XML以外の形式が使われることも多くなりました）。通信を非同期にすることで、何か処理をする場合にいちいち待たなくても次の処理に移ることができます。その結果、ユーザを待たせずに多くの処理を行えるようになりました。また、画面全体を再読み込みする必要がなくなったことも、使い勝手の向上した理由です。 Ajaxの動作 それでは簡単なサンプルコードでAjaxの動作を見ていきたいと思います（リスト1）。これらはAjaxの入門サイトや書籍で一番最初に出てくるコードです
JavaScript Hijacking - Schneier on Security
Carmelo Lisciotto • April 2, 2007 4:04 PM The System Administrators should be the ones concerned. Carmelo Lisciotto Shawn Lauriat • April 2, 2007 5:13 PM That doesn’t look new, that just looks like a specific usage of the data returned by a XSRF vulnerability, in order to more conveniently capture data the application already exposed in ways it shouldn’t. In other words, it doesn’t really look lik
WSH再入門 / Admintech.jp 勉強会資料
2007年6月9日 Admintech.jp 勉強会 はせがわ <hasegawa@openmya.hacker.jp> * なぜ今さらWSH? - インストール不要 - 他アプリケーションとの連携 - 何でもできる!? * なぜ今さらWSH? - インストール不要 - 他アプリケーションとの連携 - 何でもできる!? * なぜ今さらWSH? >> インストール不要 - 現行の Windows なら追加インストールなしで動作 - 余計なバイナリは入れたくないよね - メモ帳だけで編集可能 * なぜ今さらWSH? - インストール不要 - 他アプリケーションとの連携 - 何でもできる!? * なぜ今さらWSH? - インストール不要 - 他アプリケーションとの連携 - 何でもできる!? * なぜ今さらWSH? >> 他アプリケーションとの連携 -
Top 10 Ajax Security Holes and Driving Factors - Help Net Security
Please turn on your JavaScript for this page to function normally. One of the central ingredients of Web 2.0 applications is Ajax encompassed by JavaScripts. This phase of evolution has transformed the Web into a superplatform. Not surprisingly, this transformation has also given rise to a new breed of worms and viruses such as Yamanner, Samy and Spaceflash. Portals like Google, NetFlix, Yahoo and
AJAX Security page has moved!
This link has changed. Please change your bookmarks! Redirecting! If you are not redirected please click here.
T.Teradaの日記 - SessionSafe: Implementing XSS Immune Session Handling
SessionSafeは、ハンブルグ大学のMartin Johnsさんが書いたWeb APの方式案です。 もしWeb APにXSS脆弱性があって、これが攻撃されたとしても、 セッションIDが盗まれない 当該ページ以外の情報が窃取・改竄されない ことを目指しています。 面白いなーと思ったので、内容について少し書きます。 なお、元記事を高速斜め読みしたので、この日記の内容には間違いが含まれているかもしれません。興味のある方は原本を見てください。 セッションIDが盗まれない 以下の二つのドメインがあるとします。 www.example.com secure.example.com セッションIDのCookieは、secureサブドメインに発行します。 Webページを表示する際はwww.example.comのURLにアクセスします。そこで返すHTMLに色々と仕掛けを施します。 HTMLの仕掛け
機密情報にJSONPでアクセスするな
2007年6月7日 はてなブックマークのコメントをうけて、「常にJSONP、JSON、JavaScriptに機密事項を含めないように」という主張を改め、「クロスドメインアクセスの対策をとっていない状態ではJSONP、JSON、JavaScriptに機密事項を含めないように」という主張に関して記述しました。 こんにちは、SEの進地です。 今回から週単位でWebアプリケーションのセキュリティに関するエントリーを書いていこうと思います。 僕自身、日々勉強して精進というところですので、もし何らかの誤りがあれば是非ご指摘ください。 つっこみ大歓迎です。 今回取り上げるのはWeb 2.0なアプリケーションでセキュリティ面で気をつけるべきことの一つ、機密情報にJSONPでアクセスするなです。 JSON(JavaScript Object Notation)はJavaScript(ECMAScript)の
JavaScript ガイド - JavaScript | MDN
JavaScript チュートリアル 初級編 JavaScript の基礎 JavaScript の第一歩 JavaScript の構成要素 JavaScript オブジェクト入門 JavaScript ガイド 入門編 文法とデータ型 制御フローとエラー処理 ループとイテレーター 関数 式と演算子 数と日付 テキスト処理 正規表現 インデックス付きコレクション キー付きコレクション オブジェクトを利用する Using classes プロミスの使用 JavaScript 型付き配列 イテレーターとジェネレーター メタプログラミング JavaScript モジュール 中級編 クライアントサイド JavaScript フレームワーク クライアントサイド Web API Language overview JavaScript のデータ構造 等値比較と同一性 プロパティの列挙可能性と所有権 クロ
JavaをJavaScriptに変換するグーグルのツールを使ってみよう ― ＠IT
米グーグルが発表したGoogle Web Toolkit。Java言語で作成したクライアントアプリケーションを、JavaScript＋HTMLアプリケーションに変換するという、まったく異なるアプローチを持つAJAXアプリ開発ツールだ。簡単なサンプルを動かしてみよう（編集部） 2006年5月17日、米国Googleが、Google Web Toolkitをリリースしました。早速Webサイトを見ると、『Google Web Toolkit - Build AJAX apps in the Java language』（＝Java言語でAJAXアプリを造る）という、Java開発者にとって非常に刺激的なキャッチで始まっています。 これまでも、BACKBASE Java Edition、ICESOFT ICEFACES、Nexaweb などAJAX＋Javaでの開発に対応するフレームワーク製品または
マウスジェスチャーAjax
Try it! This app uses javascript and XMLHttpRequest. Your browser must have these enabled to try this out. I didn't put in code that would check for incompability, sorry. See limitations section below for other shortcomings. Known to work with FireFox 1.5beta and IE 6.0. Recording Move the mouse into the record area. To start recording, press and keep a mouse button clicked. While keeping the mous
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
趣味プロダクトで楽しいコードライフワークを送る
The Definitive TypeScript Guide - Blog | SitePen
Category:OWASP AJAX Security Project - OWASP
Bugtraq
Cybersecurity and Compliance Services