今回の不正ログインについて ・全艦娘を解体or轟沈 ・装備も殆ど廃棄 ・資源やアイテムも使えるだけ使い切る(25万以上⇒ほぼ空に) ・一言コメント欄が「こみけでみえてたぜ」 ・初期家具をセット これだけのことをやる悪質なユーザーがいるようですので要注意です。 #艦これ #拡散希望 2017/8/16 11:15:03 艦これ起動時のパケットキャプチャ。 テキスト平文で トークンが見える 「なんで Windows 2000で 艦これや、Wireshark 2.2.8が動くねん！」ってのはこのブログのお約束なのでスルーで ・ω・ ええ…ここのブログ主は、 2017年もまだ Windows 2000で戦ってるのです (具体的には　WannaCry 対策したり、 Firefox 52 を動かしたり、Flash Player 最新版のインストーラーを作ったり、オラクルのバグで本来適用できない Jav

Dropboxは5つ星！ Amazonは2つ星！ ｢米国政府によるプライバシー侵害に立ち向かう企業｣の成績表が公開2017.07.14 19:006,021 塚本 紺 プライバシー問題、｢政府への対応｣が焦点に。 デジタル時代の人権を守るために1999年から活動を続ける非営利団体Electronic Frontier Foundation（EFF）はここ7年間、毎年ユーザーのプライバシー保護への取り組みという観点で大手テック企業を五つ星で評価をし、その成績を公開しています。 と、ユーザーのプライバシー保護というと｢ああ、データを暗号化しているかとかそういうのね、そりゃしてるでしょ｣と簡単に片付けてしまいそうですが、違うんです。アメリカでのプライバシー保護の最前線は｢政府機関の個人情報取得からどれだけ守ってくれるか｣にシフトしているんです。今回発表されたレポートには次のように書かれています。

脆弱性診断ツール「OWASP ZAP」は、脆弱性だらけのWebアプリケーション「EasyBuggy」の脆弱性をどの程度検出できるでしょうか？ 今回は次の基本的な機能で検証してみました。 簡易スキャン：WebアプリケーションのルートのURLを入力すると、OWASP ZAPがその配下をクロールして脆弱性があるか診断する。 静的スキャン：ブラウザ上でWebアプリケーションの基本的な機能を一通り手作業で動かすと、OWASP ZAPがレスポンスの内容などを検査する。 動的スキャン：静的スキャンで行った操作を、OWASP ZAPがリクエストパラメータを変えるなどして再実行し、診断する。 なお、検証で行った作業内容もこのページ載せていますので、OWASP ZAPを試してみたい方は参考にしてみて下さい。 はじめに OWASP ZAPとは その前にOWASP ZAPについて簡単に説明しておきます。「OWAS

Tweet 注意事項 本コラムに記載されている内容を、自身の管理外もしくはこのような行為を許可されていないコンピューターに送ると攻撃とみなされ、場合によっては犯罪行為となる可能性があります。そのため、記事の内容を試す際には自らの管理下、または許可されたコンピューターに対してのみ実施するようにしてください。 はじめに 日々、さまざまなソフトウェアの脆弱性が発見されています。攻撃者は発見された脆弱性を悪用して攻撃するためのexploitと呼ばれるコードを開発しています。 本コラムでは、脆弱性を悪用する流れや、それを元に攻撃の成功を妨害するための防御機能などについて解説します。今回は下記内容を取り上げて解説します。 【脆弱性】スタックバッファオーバーフロー 【防御機能】ASLR 【攻撃手法】ret2esp 本コラムの目的は、脆弱性を過剰に怖がるのではなく、攻撃を正しく理解して適した対処を考えるた

【2021/10/15 追記】 この記事は更新が停止されています。現在では筆者の思想が変化している面もありますので，過去の記事として参考程度にご覧ください。 CSRFおよびその対策の仕組みに関してはこちら↓ これで完璧！今さら振り返る CSRF 対策と同一オリジンポリシーの基礎 - Qiita この記事は，PHPにおけるワンタイムトークンを用いた実装例を示すものです。執筆日が少々古いものになるのでご了承ください。 コメント欄の議論に関するまとめ 以下，XSS脆弱性が存在しない前提．この脆弱性があるとあらゆるCSRF対策がほとんど意味をなさなくなるので，まずここから潰しておくこと． セッション固定攻撃に対する対策 ログイン後にsession_regenerate_idを必ず実行する． ログアウト後にsession_destroyを必ず実行する． CSRF攻撃に対する対策 セッションIDを抜か

2018/02/13追記：「サンプル用のドメインを使おう」の説明に “.example” と “.test” の使い分けについて追記しました。 Web システム開発時のテストデータを作成する時、また各種ドキュメントを書いている時など、サンプルの URL を使う場面は多いと思いますが、その時に適当なドメイン名を使うのはやめましょう、という話です。 知っている方には当たり前レベルの話ですが、意外と IT 企業のシステム開発現場等でも普通に見かけることがまだまだありますので・・・。 よく見かける例 例えば、こんなドメインの URL で開発中システムのテストデータを作っていたり、仕様書に説明が書かれていたりする場面をよく見かけませんか？ test.com aaa.com abc.com sample.com dummy.com hoge.com でも、これらのドメインって存在していて、また実際に利

SendGridエバンジェリストの @nakansukeです。 ここ数日メール周りではMailsploitが注目を浴びてますね。海外出張中だったため若干出遅れてしまいました。。 ‘MAILSPLOIT’ LETS HACKERS FORGE PERFECT EMAIL SPOOFS (by WIRED) メール送信者を偽装できる脆弱性「Mailsploit」が発見される、多くのメールクライアントに影響 (INTERNET Watch) メールソフト多数で「Mailsploit」の脆弱性発覚--スパム対策も回避 送信元を偽装できる脆弱性Mailsploit、30以上のメールソフトに影響 (ITpro) 「送信元を偽装できる」のはメールのもともとの仕様でありどうも脆弱性ということで不用意に騒ぎすぎているように思います。なので、Mailsploitのどこにどういう脅威があるのか整理したいと思いま

200,000 Req/sec をさばく広告入札システムを支えるパフォーマンスチューニング術 #jjug_ccc #ccc_g6

セキュリティや情報流出を防ぐためにソフトやサービスの利用が制限されています。インターネットへの接続は外注ソフトでいつの間にか防がれていて、ログも取られているようです。情報システム部の人たちがニヤニヤしながら誰がどこにつなごうとしてブロックされてたと話していました。 ソフトもインストールできません。管理者権限は情報システム部の人たちが持っているので、ポータブル版のソフトを入れたとしてもバレます。 私はいわゆる社内SEという立場で社内用のWebサイトを作っているのですが、エディタがインストール出来ないのでWordで作っています。メモ帳ですとLFが認識できずに一行になってしまうので。PHPのコードもWordで書きます。PHPの実行環境（コンソール）は使えません。なので、社内サイトの本番ディレクトリ配下にPHPのコードを直接おいて、それをブラウザで読み込みリロードしながら作っていきます。 社内に外

ミスティーノは、仮想通貨でも遊べるオンラインカジノです。仮想通貨での入金には、Bitcoin、Ethereum、Litecoin、Bitcoin Cashなどが使用できます。また、出金も仮想通貨で行うことができます。 また、ミスティーノでは、スロットやテーブルゲーム、ライブカジノ、ポーカー、ビデオポーカー、バカラ、サイコロなど、様々なオンラインカジノゲームが楽しめます。さらに、スマートフォンやタブレットでのプレイも可能ですので、いつでもどこでもカジノゲームを楽しむことができます。 実際にミスティーノで遊んでみた感想 ミスティーノでは、新規登録や入金などに応じて、さまざまなボーナスが提供されています。 新規登録ボーナスとしては、入金不要で手に入る「フリースピン」があります。また、入金ボーナスとしては、入金額に応じた「マッチボーナス」が提供されることがあります。さらに、プレイヤーのレベルが上が

"SECCON Beginners盛岡"登録開始しました→追加登録受付中！2017年6月19日 15:57 2週連続SECCON Beginnersの1週目は6月24日（土）の盛岡で開催です。今年度は仙台でも開催を予定しているので、東北の皆さんはぜひ参加してください。 盛岡では盛岡情報ビジネス専門学校様のご協力のもと、SECCON Beginnersのワークショップを開催いたします。 盛岡では簡単な交流会と昨年度の決勝大会で販売したSECCONグッズも数量限定ですが販売します。 Tシャツ：2,000円、パーカー：5,000円、ステッカー：100円（キラキラモデル） 参加費は無料ですのでどなたでもご参加いただけますが、応募者多数の場合は抽選とさせていただきます。 全文表示 2週連続SECCON Beginnersの2週目は7月1日（土）の名古屋で開催です。 名古屋での開催は多くの方から期待さ

apache や nginx の設定をしたことがあれば以下の様な行を見たことがある人も多いのではないでしょうか。(※ 下記は nginx の設定。apache の場合は SSLCipherSuite です。) ssl_ciphers AES128-SHA:AES256-SHA:RC4-SHA:DES-CBC3-SHA:RC4-MD5; これが暗号スイートを指定している箇所です。そしてこの部分、わけのわからない文字列の羅列なのですごく取っつきにくくて何を指定したらいいかわからないので、コピペしてしまう人も多いんじゃないでしょうか。かくいう私も数年前に趣味で TLS 対応の Web サービスを作った時はコピペで済ませていました。この暗号スイートは、以下のような OpenSSL のコマンドを使って対応している一覧を見ることができます。 $ openssl ciphers -v AES128-SH

0. 短いまとめ 昨晩apache2.4でHTTP/2利用時にTLSクライアント認証をバイパスする脆弱性(CVE-2016-4979)が公表され、対策版がリリースされました。 実際に試すと Firefoxで認証バイパスができることが確認できました。 HTTP/2でTLSのクライアント認証を利用するには仕様上大きな制限があり、SPDY時代から長年の課題となっています。 この課題を解決するため、Secondary Certificate Authentication in HTTP/2という拡張仕様が現在IETFで議論中です。 1. はじめに ちょうど昨晩、apache2.4のhttpdサーバの脆弱性(CVE-2016-4979)が公開され、セキュリティリリースが行われました。 CVE-2016-4979: X509 Client certificate based authenticatio

Deleted articles cannot be recovered. Draft of this article would be also deleted. Are you sure you want to delete this article?