ノーベル化学賞を受賞した下村脩氏の息子下村努氏は超凄腕ハッカー - 空中の杜
ノーベル物理学賞に続き、下村脩氏がノーベル化学賞を受賞し、株価暴落のニュースを各ニュースサイトのトップから追い出すほどのニュースになっています。さて、この下村脩氏というのはどういう方で、どのような研究をされてきたかというのは、各報道に任せるとします。一応Wikipediaも。 ■下村脩 - Wikipedia 今日はそれに関連することから、ネットの人たちにとって非常に興味深い話題をひとつ。 「下村努」という方をご存じでしょうか*1。この方、先の下村脩氏の息子さんだったりします。しかしネットユーザーには、もしかしたら昨日まではこちらの下村努氏の名前のほうを知っている方のほうが多かったかもしれません（それでも知っている方は、かなりディープな知識の持ち主だと思いますが）。実はこの方、ネットセキュリティ方面では非常に有名な人なのです。 この方の名前を知らなくてもインターネットをやっていれば「ケビン
今更だけどDNSキャッシュポイズニングについて簡単に説明するよ！ - そして、DNSポイズニングがなかなか対応されない理由。 - FreeBSDいちゃらぶ日記
先日IIJの一日インターンに行ってきました。 NDAがあるので、事細かに書くことは出来ないのですが、教育的なプログラムが組まれていて非常に面白かったです。 そこで、色々お話しして、その中でDNSポイズニングがなかなか対応されない理由、当たり前の理由が聞けたので、「DNSポイズニングって何がヤヴァイのか良くわかんね」って人に向けた簡単な解説とあわせて書きたいと思います。 まず、DNSキャッシュポイズニングの何が怖いか? 簡単に言うと、 「googleに繋いだはずが全く別サイトに繋がっちゃう！」 って話です。 本当に繋ぎたいサイトと違うサイトに繋いじゃう事が出来るので、例えば 実在するショッピングサイトそっくりの偽サイト作って、ショッピングさせて。クレジットカードの番号ゲットしちゃったり、住所ゲットしちゃったり。 夢が広がる怖い事が出来ちゃいます。 きちんとしたセキュリティ対策していれば大丈夫
セキュリティホール memo DNSキャッシュポイゾニング
》 犯行予告を自分で通報するサイト「予告.if」登場 (gigazine, 7/31)。うーん、予告.in、そんなことになってたのか。 Satoru.net もなんだか……。 関連: 犯行予告を共有するサイト「予告.in」はもう限界に達している (gigazine, 7/31) 》 “情報化時代”に追いつけるか？ 審議が進む「新常用漢字表（仮）」 第2部 新常用漢字表と文字コード規格 第3回 互換漢字という「例外」 (Internet Watch, 7/28) 第4回 互換漢字をめぐる非漢字圏諸国との「波風」 (Internet Watch, 7/29) 》 北京の大気汚染、劇的改善は困難か 「良」でも注意が必要 (産経 MSN, 7/31)、緊急大気汚染対策、北京五輪開幕に向け発表 (CNN, 7/31)。本当にひどいみたいですね。 》 規律違反の喫煙原因、横須賀配備予定の米原子力空母の
Japan Vulnerability Notes／脆弱性レポート 一覧
2024年 2024/03/15 JVNVU#97802107: Delta Electronics製DIAEnergieにおける複数の脆弱性 2024/03/15 JVN#70640802: Android アプリ「ABEMA（アベマ）」におけるアクセス制限不備の脆弱性 2024/03/14 JVNVU#99690199: 三菱電機製MELSEC-Q/LシリーズCPUユニットにおける複数の脆弱性 2024/03/14 JVNVU#99626420: Apache Tomcatにおける複数のサービス運用妨害（DoS）の脆弱性 2024/03/13 JVNVU#94068825: Schneider Electric製EcoStruxure Power Designにおける信頼できないデータのデシリアライゼーションの脆弱性 2024/03/13 JVNVU#95993502: Intel製品
Amazonのすごいアクセス解析サービス - ぼくはまちちゃん！
こんにちは！ Amazonほしい物リスト、すごい話題になってますね！ なんでも、メールアドレスで検索すればAmazonに登録してある本名がでてくる (ケースもある) とか…。 で、さっそくぼくも試してみたよ！ ほしい物リストサーチ！ これって、いま話題になっているのは、誰かのメールアドレスを手がかりにして ウィッシュリストや本名、下手すると住所まで知られてしまうってところだよね。 それだけでも面白いんだけど、 あまり注目されていない機能として、こんなものがあったよ。 友だちにほしい物リストについて知らせる これ。 自分のほしい物リストを誰かにメール送信できちゃう機能らしいね！ じゃあ試しにメール送信時のリクエストを確認してみると… http://www.amazon.co.jp/gp/registry/send-nudge.html?ie=UTF8&type=wishlist&__mk_j
RubyのWEBrickにファイルアクセスの脆弱性 | エンタープライズ | マイコミジャーナル
3日、File access vulnerability of WEBrickにてWEBrickにファイルアクセスに関する脆弱性があることが公開された。WEBrickはRubyで実装されたHTTPサーバおよびライブラリ。 脆弱性はWindowsのようにバックスラッシュをパスセパレータとして使うタイプのOSや、WindowsのNTFSやMac OS XのHFSのようにケースインセンシティブなファイルシステムで発生するとされている。たとえばURLエンコードされたバックスラッシュを含むURLを使われた場合にプライベートファイルにアクセスできてしまう。 脆弱性が存在するのは1.8.4、1.8.5-p114、1.8.6-p113、1.9.0-1およびこれらよりも前のバージョン。問題を回避するには1.8.5-p115、1.8.6-p114にアップグレードするか、1.9系であればパッチを適用する。
第1回 まずは「クッキー」を理解すべし
Webアプリケーションのぜい弱性がなかなかなくならない。メディアなどでも盛んに取り上げられているにもかかわらず，である。特に，セッション管理がからむアプリケーションのぜい弱性には，気付かないことが多い。具体的には「クロスサイト・リクエスト・フォージェリ」（CSRF），「セッション・フィクセーション」などである。これらはクロスサイト・スクリプティング，SQLインジェクションといった比較的メジャーなぜい弱性に比べて認知度が低く，対策も進んでいない。 原因の一つは，アプリケーションの開発者が原因を正しく理解していないこと。CSRFやセッション・フィクセーションについて言えば，セッション管理に使うクッキー（cookie）の動作を理解していないと対策が難しい。ところが最近の開発環境では，セッション管理の仕組みが隠ぺいされているため，必ずしもこの知識は要求されない。こうした開発者は容易にはぜい弱性に気
Linuxカーネル2.6系にroot権限を奪われる脆弱性が発見される | スラド Linux
Linuxカーネル2.6.17が公開されたのが、まぁぐぐると一瞬で分かるのですが 昨年……じゃないや一昨年の2006年6月17日ですね。(いまだに2007年脳) 2.6.24.1は今年の2月8日(ってまだ3日前か)にリリースされた最新版。 で、The Linux Kernel Archives [kernel.org]を見ると2.6.25 RC版が出ている模様。 参考:2.6.25 RC版のChangelog [kernel.org] これには本件の修正も含まれているようです。 以下にChangelogから該当部分と思われる部分を、メールアドレス等の行は削除して引用。 >commit 8811930dc74a503415b35c4a79d14fb0b408a361 >Date: Fri Feb 8 08:49:14 2008 -0800 > > splice: missing user p
a threadless kite - 糸の切れた凧
ここは、管理人yamagataが方針未定のまま、何となーく思いついたことを思いついたままにだらだらと書き付ける日記帳です。ふんわりほんわかな感じでお願いします。
[Think IT] 第3回：Railsでセッションハイジャックを実体験 (1/3)
【セキュリティ最前線】 セキュリティホールをついて遊ぶ 第3回：Railsでセッションハイジャックを実体験 著者：大垣 靖男 公開日：2008/1/25（金） Railsでセッションハイジャックを実体験 第3回となる本記事では、Web開発プラットフレームワークとして人気が急上昇中の「Ruby on Rails」（以下、RoR）を目標に、サンプルコードを用いたセッションハイジャック攻撃を行う。 RoRはRuby言語で記述されたWebアプリケーションフレームワークで「DRY（Don't Repeat Yourself：自分で繰り返さない）」を信条の基に開発されている。「scaffolding（足場組み、スタブコードの自動生成）」や「ActiveRecord（ORMライブラリ）」など、アジャイル開発に必要な機能を備えている。 Webアプリケーションに欠かせないHTTPセッション管理機構ももちろん
SEO対策を逆手に，ボットがターゲットを自動検出
Web 2.0という言葉とともに一層注目度が高まったWebアプリケーションへの攻撃。実は，これらの攻撃のかなりの部分がボットによることが，最近分かってきた。 先日，筆者はあるボットを確認した。このボットの動きを数日間観察してみたところ，ボットはインターネットの複数の検索サイトを使って，ぜい弱性があると考えられるサーバーを検出し，自動的に攻撃を仕掛けていた。検索サイトを偵察ツールとして使っているのである（表1）。近年多くの企業が取り組むようになった検索エンジン最適化（SEO）によるマーケティング手法を逆手にとった攻撃の手口と言える。 米フォーティファイ・ソフトウエアの報告書によると，Webアプリケーションへの攻撃のうち，ボットによるものが50％，Googleハッキングが20％を占める。Googleハッキングとは，本来公開されるべきでない機密情報や社内システムのさまざまな情報を，検索サービスを
仙石浩明の日記: chroot されたディレクトリから脱出してみる
要約すれば、 「chrootなんて簡単に抜けられるからセキュリティ目的で使っても意味ないよ。」 ってことね。そうだったのか。 そうだったのか orz Note that this call does not change the current working directory, so that `.' can be outside the tree rooted at `/'. In particular, the super-user can escape from a `chroot jail' by doing `mkdir foo; chroot foo; cd ..'. chroot するときは、そのディレクトリへ chdir しておくのが常識と 思っていたので気づいていなかった。 つまり、 故意にカレントディレクトリを chroot 外へもっていけば、 chroot された
ITmedia エンタープライズ：大量の「はまちちゃん」を生み出したCSRFの脆弱性とは？
「mixi」上で、あるURLをクリックすると「ぼくはまちちゃん！」という日記が勝手にアップされてしまうという現象が多発した。その原因はCSRFの脆弱性だ。 4月19日以降、ソーシャル・ネットワーキングサイトの「mixi」で、URLをクリックすると勝手に「ぼくはまちちゃん！」というタイトルで日記がアップされてしまうという現象が多発した。 サービスを提供しているイー・マーキュリーでは、この現象について一応の対処は取った模様だ。ただ、技術的な詳細については「ハッキングでもなく、サーバ攻撃やウイルスでもない。ID盗難などの被害は発生していない」という回答のみで、「それ以上はコメントできない」と述べるにとどまっている。 だがある意味、このコメントは正しい。「はまちちゃん」現象は、ウイルスなどの仕業ではないからだ。 正規ユーザーの操作で「意図しない」結果に URLをクリックすると勝手に日記が書き込まれ
不正コードを世界にまき散らすホスティング会社5社が判明――ウイルスに感染したWebサイトのほとんどをホスティング | OSDN Magazine
悪意のあるダウンロード・ソフトウェアを特定する活動に取り組む「StopBadware.org」は5月4日、コンピュータ・ウイルスに感染した数多くのWebサイトをホスティングするプロバイダー5社を名指しで公表。インターネット・ユーザーが危険にさらされていると警告を発した。 StopBadware.orgは、5万近くのサイトを分析し、悪意のあるコードを配布していることで有名なWebサイトの大半がこれら5つのプロバイダーによってホスティングされていることを突き止めた。 名指しされたのは、アイパワーウェブ（iPowerWeb）、レイヤード・テクノロジーズ（Layered Technologies）、ザプラネット・ドットコム・インターネット・サービセズ（ThePlanet.com Internet Services）、インターナップ・ネットワーク・サービセズ（Internap Network Ser
Webアプリケーションを作る前に知るべき10の脆弱性 ― ＠IT
Webアプリケーションが攻撃者に付け込まれる脆弱性の多くは、設計者や開発者のレベルで排除することができます。実装に忙しい方も、最近よく狙われる脆弱性のトップ10を知ることで手っ取り早く概要を知り、開発の際にその存在を意識してセキュアなWebアプリケーションにしていただければ幸いです。 Webの世界を脅かす脆弱性を順位付け OWASP（Open Web Application Security Project）は、主にWebアプリケーションのセキュリティ向上を目的としたコミュニティで、そこでの調査や開発の成果物を誰でも利用できるように公開しています。 その中の「OWASP Top Ten Project」というプロジェクトでは、年に1回Webアプリケーションの脆弱性トップ10を掲載しています。2004年版は日本語を含む各国語版が提供されていますが、2007年版は現在のところ英語版のみが提供さ
Apacheに対するサービス拒否攻撃を回避する方法
筆者は最近，Apache HTTPサーバーに対するサービス拒否攻撃を防御するWebベースのセキュリティ・ツール「mod_evasive」を使い始めた。mod_evasiveは特定の挙動を探してそれをブロックするモジュールである。 mod_evasiveは，筆者が昨年の12月に紹介した「Suhosin」に似ている（関連記事：PHPの「守護神」Suhosin）。SuhosinはPHPスクリプティング・エンジンの安全性を大幅に高めるパッチである。Suhosinは，害を及ぼす危険性を持つありとあらゆるWebベースのコンテンツを検出し，それらがPHPエンジンを越えてシステムやネットワークに到達するのを防ぐ上で役に立つ。 mod_evasiveが機能する仕組みを説明しよう。mod_evasiveはまずURLリクエストをApacheサーバーに送信するIPアドレスの記録を取る。その後，あらかじめ設定した許
ssh 攻撃を仕掛ける Bot プログラムを入手した a++ My RSS 管理人ブログ
最近やたらと ssh 攻撃の Bot と化してるマシンが多いのですが、先日ふとしたことから ssh 攻撃を仕掛ける Bot サーバー（に仕立てられたマシン）を入手しました。せっかくなのでどんなことになるのかご紹介したいと思います。 ※もちろん私の管理サーバーではありません ^^; ＃というか、公開していいのか・・・ま、注意喚起ということで。。。 ■1. サーバーへの侵入 まずはサーバーに侵入してくるわけですが、ssh のパスワードを総当りしてきたようです。 #last ... ****** pts/2 pilkington-boome Tue *** ** 05:20 - 05:25 (00:05) こんな感じ。侵入に成功すると短時間で卵を産み付けて帰っていきます。 ■2. 産み付けられた Bot プログラム こんな感じに産み付けられます。(伏字はIPアドレスの一部など) ... /var
6-2. バッファオーバーラン その２「危険な関数たち」
C言語/C++のライブラリ関数にはバッファオーバーランを引き起こしかねない関数が多数存在する。ここでは，こうした関数を使わない方法，あるいはオーバーランの問題を防止しつつ使用する手法について解説する。 本稿は，C 言語およびC++ で起こりがちなバッファオーバーラン問題への対策を説明するものである。バッファオーバーランを悪用したセキュリティ攻撃のメカニズムについては関連記事『6-1. バッファオーバーランその１「こうして起こる」』で紹介している。バッファオーバーラン対策を実施するに際して攻撃がどのような仕組みで行われるかの知識は必ずしも必要とならないが，この問題の十分な把握のために上記関連記事についてもぜひお読みいただきたい。
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
自分監視用ツール - $ dropdb 人生
Japan.internet.com デベロッパー - Rubyを使ってWebアプリケーションの脆弱性を早期に検出する