クロスサイトスクリプティングの仕組みと攻撃を回避する７つの対策
脆弱性の報告の中で、常に一定の割合を占める脆弱性に「クロスサイトスクリプティング」があります。この脆弱性を悪用されると、利用者のWebブラウザ上でスクリプトを実行され、例えば悪意のあるWebサイトに誘導されてしまいます。その結果、利用者の個人情報などが盗まれてしまう可能性があります。ここでは、クロスサイトスクリプティングとは何なのか、どのような対策をすればいいのかを説明していきます。 1：クロスサイトスクリプティングとは クロスサイトスクリプティング（Cross Site Scripting：CSSはCascading Style Sheets、カスケーディング・スタイル・シートと混同する可能性があるため、XSSと呼ばれる。）は、利用者のWebブラウザ上で、本来は実行されるはずのないスクリプトが実行されてしまう脆弱性です。この脆弱性が悪用されると、利用者のWebブラウザ上で任意のスクリプト
教科書に載らないWebアプリケーションセキュリティ 第1回 ［これはひどい］IEの引用符の解釈 − ＠IT
XSSにCSRFにSQLインジェクションにディレクトリトラバーサル……Webアプリケーションのプログラマが知っておくべき脆弱性はいっぱいあります。そこで本連載では、そのようなメジャーなもの“以外”も掘り下げていきます（編集部） 小さな話題が面白い 皆さん、はじめまして。はせがわようすけと申します。 「教科書に載らないWebアプリケーションセキュリティ」ということで、Webアプリケーションのセキュリティに関連する、普段あまり見掛けないような小さな話題を取り上げていきたいと思います。 セキュアなWebアプリケーションを実現するために、開発者の方だけでなく、Webアプリケーションの脆弱性検査を行う方々にも読んでいただきたいと思っています。重箱の隅を楊枝でほじくるような小さな話題ばかりですが、皆さんよろしくお願いします。 さて第1回は、Internet ExplorerがHTMLを解釈する際の引用
セキュリティホール memo - ウイルス騒動 (Okumura's Blog, 8/24[http://oku.edu.mie-u.ac.jp/~okumura/blog/node/2260])。こういうことですかね。
》 「ストリートビュー」はどこが問題か、MIAUシンポジウムで議論 (Internet Watch, 8/28) 関連: Googleストリートビューの応用例 (悪徳商法？マニアックス ココログ支店, 8/29) 要は、Googleはあらゆる広告の効率を高めたい、すなわち「リアルの広告スペース」もAdwords/Adsenseで管理したいと思っているのだろうから、ストリートビューは単なる副産物だろう。副産物であっても公開しておけば、「自動販売機の設置スペースを自動で探せます」とか良く分からない応用例を実現する人も出てくるのが期待できる。「ストリートビューで、何をやりたいのか分からない」と言う人が多いみたいだけど、もしも「副産物」なのだとしたら分かるはずもない。 まあ、仮想ネットショップを実現しようとしている可能性もある（実際の店の画像をクリックすると、店のウェブサイトに飛ぶ）けど、そんな「
OpenSSH情報 - RedHat Enterprise Linux *用*の opensshパッケージに侵入者が署名した可能性があり.
2008/08/23 - [Security][OpenSSH] RedHat Enterprise Linux *用*の opensshパッケージに侵入者が署名した可能性があり. Red Hat Enterprise Linux 4, と Red Hat Enterprise Linux 5, Red Hat Enterprise Linux 4.5 Extended Update Support の openssh のパッケージが何者かにより書換えられ署名されていた模様です. RedHatのいくつかのサーバへの侵入により判明しました. Red Hat Enterprise Linuxの公式なパッケージが書換えられていたわけではなく, Red Hat Enterprise Linuxで利用できるopensshパッケージに脆弱なものがあった模様です. 誤った情報を流してしまい申し訳ありませ
Fedoraプロジェクトがクラックされた原因 – RedHat系ユーザは早急に対応が必要
(Last Updated On: 2018年8月14日)追記：斜め読みで勘違いしていた部分を修正しました。RHのSSHのパッケージが全部更新されていたのでここに脆弱性があったと読んでいました。 8/22リリースされたエラータです。 Last week Red Hat detected an intrusion on certain of its computer systems and took immediate action. While the investigation into the intrusion is on-going, our initial focus was to review and test the distribution channel we use with our customers, Red Hat Network (RHN) and its as
企業ユーザはPHP4からPHP5への移行は慎重にすべき
(Last Updated On: 2018年8月13日)2008年1月3日のPHP4.4.8のリリースを持ってPHP4サポートが終了しました。海外では「PHP5へ移行しよう」キャンペーンも始まりました。 私は従来から「PHP5へ早く移行すべきです」と繰り返し勧めて来ました。現在でも全てのオープンソースアプリケーションの開発者は、今すぐPHP5に移行すべき、と考えています。 しかし、新規開発を除き、企業ユーザには今すぐPHP5へ移行すべきだ、と一概にアドバイスできません。3つのお薦めしない理由があります。 PHP4からPHP5へのマイグレーションはそれほど簡単ではない PHP5に移行するとマイナーバージョンアップに追随しないとならない PHP5.3のリリースが準備されている PHP4からPHP5へのマイグレーションはそれほど簡単ではない PHP4からPHP5への移行でチェックしなければなら
XSS (Cross Site Scripting) Cheat Sheet
XSS (Cross Site Scripting) Cheat Sheet Esp: for filter evasion By RSnake Note from the author: XSS is Cross Site Scripting. If you don't know how XSS (Cross Site Scripting) works, this page probably won't help you. This page is for people who already understand the basics of XSS attacks but want a deep understanding of the nuances regarding filter evasion. This page will also not show you how to
JPCERT/CCとの「脆弱性情報ハンドリング」の記録 : DSAS開発者の部屋
■ はじめに 「△△製のソフトウェア××に脆弱性が発見された」というニュースが連日のようにネットの上を行き交っています。 このブログの読者にはプログラム開発者の方も多いと思いますが、 自分の携わるソフトウェアの脆弱性を第三者から指摘された経験のある方はどのくらいおられるでしょう？ 先日、筆者は「HttpLogger」というフリーソフトウェアのセキュリティホールを修正しました。 そのきっかけとなったのはJPCERT/CC（有限責任中間法人 JPCERT コーディネーションセンター）様から届いた 一通のメールでした。 それから私は同センターと連携し、10日余りの準備期間を経て修正ずみのモジュールの公開と 旧バージョンにおける脆弱性情報の開示を行いました。 この「脆弱性情報ハンドリング」と呼ばれるプロセスに関わったことは、一般的な知名度とは裏腹に 普段あまり身近な存在ではない「JPCERT/CC
pageant.exe の仕組みと危険性 - てっく煮ブログ
PuTTY で SSH2 接続するとき、毎回パスフレーズを入力するのがめんどくさいという理由で pageant を常時起動してる人も多いのでは。そんな pageant の仕組みと、使っていく上でのリスクが気になったので、ちょっくらソースを読んでみた。プロセス間通信の仕組みPuTTY や WinSCP3 など、pageant を利用するアプリケーションは、何らかの方法で pageant と通信しているはずだ。この通信処理を実装しているのが winpgntc.c であり、PuTTY も WinSCP3 もソースコードに winpgntc.c を含んでいる。リクエスト側細かくなるけど、PuTTY や WinSCP3 がリクエストするときの手順は次のようになっている。pageant の（非表示になっている）ウインドウを FindWindow 関数で探し出す。CreateFileMapping 関数
OpenID や OAuth の役割と、既存のシングル・サインオンとの違い：Goodpic
This shop will be powered by Are you the store owner? Log in here
MTA のアクセス制御
MTA の各種のアクセス制御手法について思いつくままにメモしたもの。ほとんどは spam 対策だが、こうすれば spam を撃退できる、というガイドではない。絶大な効果があるものから、ほとんど効果がないどころか多大な副作用をもたらすものまで、さまざまな手法をとにかく列挙する。筆者は spam 対策については「やりすぎるぐらいならば何もしない方がマシ」という立場を取っているので、メリットよりもデメリットを重視する。なお、分量はわずかだが DoS 対策や内部ユーザによる abuse を防止する手法についても触れる（この文書は spam 対策技術のメモではなく MTA のアクセス制御手法のメモである）。 ローカル配送された後にユーザごとで選別する方法についてはほとんど取り上げない。携帯電話向け spam についても触れない。特定の MTA や対策ツールにかたよった記述はほとんどしないし、特に必要
OpenSSH 情報 - [misc][暗号]「原理から学ぶネットワーク・セキュリティ 第5回 電子証明書と認証局」の問題点
2008/01/02 - [misc][暗号]「原理から学ぶネットワーク・セキュリティ 第5回 電子証明書と認証局」の問題点 原理から学ぶネットワーク・セキュリティ 第5回 電子証明書と認証局：ITproの問題点を挙げていきます. 一通り作成しました. 導入部 公開鍵暗号では，「秘密鍵」と「公開鍵」の2つの鍵をペアにして使います。この2つの鍵は，次の2つの性質を持っています。 性質1）秘密鍵から公開鍵は容易に生成できるが，その逆は非常に困難（図1）。 性質1は間違いです. 秘密鍵から公開鍵は容易に生成できることは公開鍵暗号の必要条件ではありません. 公開鍵から容易に秘密鍵が生成できては公開鍵暗号として成り立たないので, この点は問題ありません. 性質2）秘密鍵で暗号化した情報は，そのペアである公開鍵でなければ復号化できない。また公開鍵で暗号化された情報は，そのペアである秘密鍵でなければ復号
OpenSSH 情報 - [misc][暗号]「原理から学ぶネットワーク・セキュリティ 第4回 ハッシュ関数」の問題点
原理から学ぶネットワーク・セキュリティ 第4回 ハッシュ関数：ITproの問題点を挙げていきます. 一通り書きました. 作成中の段階では間違っていた部分があったのを確認していますが, 修正したつもりです. 私も暗号屋ではありませんので, 文章の内容の保証は致しません. 修正の御指摘は歓迎します. 導入部 データ構造としてのハッシュ/ハッシュ・テーブルと暗号技術のハッシュ関数を混同して説明するのは, 誤解を生むおそれがあります. 仮に暗号技術のハッシュ関数の説明の中でデータ構造としてのハッシュに触れる場合でも, 異なるものと説明したほうがよいでしょう. ハッシュ関数の説明として, 一方向性だけが挙げられていますが衝突耐性についても触れておくべきです. 後のコラムで衝突耐性について触れられていますが, 内容は不正確です. ハッシュ関数の実験 この部分の内容に問題はありません. ただし, 先に衝
iPhone/iPod touch の jailbreak (TIFF exploit) 解説 - アメリカでがんばりましょう
ちょっと前、iPhone/iPod touch のTIFF脆弱性を突くための画像を生成するソースコードが公開された。 どんなもんだろうとちょっと見てみたら意外にシンプルでびっくり。 http://www.toc2rta.com/?q=node/30 http://www.toc2rta.com/files/itiff_exploit.cpp 興味が湧いたので周辺の情報も含め少し調べてみたら、ハッカーたちの苦労も知ることができてとっても面白かった。 せっかくだったのでまとめてみたいと思う。 かなり長くて、技術的な話になってしまった。 退屈かもしれないけどよかったらお付き合いください。 iPhone/iPod touch の jailbreak とは まず最初に iPhone/iPod touch の jailbreak の一般的な話。 iPhone/iPod touch はあの小さなデバイス
PS3とMD5ハッシュ値衝突の脆弱性との"危険な"関係 - SHA-2を代替関数に | エンタープライズ | マイコミジャーナル
米SymantecのSecurity Response Blogによると、最近、full-disclosureメーリングリストに興味深い投稿があったという。これはMarc Stevens氏、Arjen K. Lenstra氏、Benne de Weger氏らによって共同で発表された"Predicting the winner of the 2008 US Presidential Elections using a Sony PlayStation 3"であり、そのタイトルが意味するがごとく、ソニーのPS3を計算に使用した2008年米国大統領選挙の結果予測であるかに見えた。しかしながら、その実情は異なり、特定のファイルにMD5アルゴリズムを使用してハッシュ値を算出し、それを使用した一意性の保証はもはや意味がないことを示すことにあったという。すなわち、もはやMD5アルゴリズムを使用したハッシ
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
http://d.ma-aya.to/?date=20080823
http://www.machu.jp/posts/20080708/p01/
暗号化と署名は対称じゃないよという話 - まちゅダイアリー (2008-03-02)
安全なテンプレートシステムはあるのか | 水無月ばけらのえび日記
知っていますか？脆弱性 (ぜいじゃくせい) - 情報処理推進機構(IPA)