第11回ガジェットâ â ã€ã‚¦ã‚£ã‚¸ã‚§ãƒƒãƒˆã®ã‚»ã‚ュリティ ç¦æ£®å¤§å–œ 2007-11-14
ã“ã“ãŒå±ãªã„ï¼Web2.0ã®ã‚»ã‚ュリティ 記事一覧 | gihyo.jp
第11回ガジェットâ â ã€ã‚¦ã‚£ã‚¸ã‚§ãƒƒãƒˆã®ã‚»ã‚ュリティ ç¦æ£®å¤§å–œ 2007-11-14
twitterã«å¦ã¶ãªã‚Šã™ã¾ã—投稿対ç–
先日もtwitter上ã®çŠ¯è¡Œäºˆå‘Šã«ã‚ˆã‚Š20æ³ã®é’å¹´ãŒé€®æ•ã•ã‚ŒãŸã‚ˆã†ã§ã™ãŒã€ãªã‚Šã™ã¾ã—ã«ã‚ˆã‚‹èª¤èªé€®æ•ã§ã¯ãªã‹ã£ãŸã®ã‹æ°—ã«ãªã‚‹ã¨ã“ã‚ã§ã™ã€‚ãã“ã§ã€twitterãŒã€ãªã‚Šã™ã¾ã—投稿をã©ã®ç¨‹åº¦å¯¾ç–ã—ã¦ã„ã‚‹ã‹ã‚’調ã¹ã¦ã¿ã‚‹ã“ã¨ã«ã—ã¾ã—ãŸã€‚twitterã®å®‰å…¨æ€§ã‚’確èªã™ã‚‹ã“ã¨ãŒç›®çš„ã¨ã„ã†ã‚ˆã‚Šã‚‚ã€twitterãŒå®Ÿæ–½ã—ã¦ã„る対ç–を知るã“ã¨ã«ã‚ˆã‚Šã€çš†æ§˜ã®Webサイトを安全ã«ã™ã‚‹å‚考ã«ã—ã¦ã„ãŸã ã‘ã‚Œã°ã¨æ€ã„ã¾ã™ã€‚ 今回調ã¹ãŸã€Œãªã‚Šã™ã¾ã—投稿ã€ã®æ‰‹æ³•ã¯ä¸‹è¨˜ã®é€šã‚Šã§ã™ã€‚ クãƒã‚¹ã‚µã‚¤ãƒˆãƒ»ãƒªã‚¯ã‚¨ã‚¹ãƒˆãƒ»ãƒ•ã‚©ãƒ¼ã‚¸ã‚§ãƒª(CSRF) クãƒã‚¹ã‚µã‚¤ãƒˆã‚¹ã‚¯ãƒªãƒ—ティング（XSS） HTTPヘッダーインジェクション クリックジャッã‚ング DNSリãƒã‚¤ãƒ³ãƒ‡ã‚£ãƒ³ã‚° クッã‚ーモンスターãƒã‚° ã“ã®ã†ã¡ã€ä¸Šã®5ã¤ã®è§£èª¬ã¯æ‹™ç¨¿ã€Œâ€œèª¤èªé€®æ•â€ã‚’防ãWebã‚»ã‚ュリティ強化術ã€ã€æœ€å¾Œã®ã‚¯ãƒƒã‚ーモンスターãƒã‚°ã«ã¤ã„ã¦ã¯ã€éŽåŽ»ã®ã‚¨ãƒ³ãƒˆãƒªã€Œã‚¯ãƒƒã‚ーモンスター
悪ã„サニタイズã€è‰¯ã„(?)サニタイズã€ãã—ã¦ä¾‹å¤–処ç†
先日ã®ã‚¨ãƒ³ãƒˆãƒªã€Œå‡¦ç†é–‹å§‹å¾Œã®ä¾‹å¤–処ç†ã§ã¯ã€Œã‚µãƒ‹ã‚¿ã‚¤ã‚ºã€ãŒæœ‰åŠ¹ãªå ´åˆã‚‚ã‚ã‚‹ã€ã¯ã€ç´ æã®æ¶ˆåŒ–ä¸è¶³ã€ç§ã®è¡¨ç¾ã®æœªç†Ÿç‰ã‹ã‚‰ã€ä¸€éƒ¨ã§èª¤è§£ã‚’æ‹›ã„ã¦ã—ã¾ã£ãŸã‚ˆã†ã§ç”³ã—訳ã‚ã‚Šã¾ã›ã‚“。アプãƒãƒ¼ãƒã‚’変ãˆã¦ã€ã‚µãƒ‹ã‚¿ã‚¤ã‚ºã«ã¤ã„ã¦ã‚‚ã†ä¸€åº¦è€ƒãˆã¦ã¿ãŸã„ã¨æ€ã„ã¾ã™ã€‚çµè«–ã‹ã‚‰è¨€ãˆã°ã€æ‚ªã„サニタイズã¯ã‚ã£ã¦ã‚‚ã€ã€Œè‰¯ã„サニタイズã€ã¯ãªã„ã¨è€ƒãˆã¾ã™ã€‚ã—ã‹ã—ãªãŒã‚‰ã€çŠ¶æ³ã«ã‚ˆã£ã¦ã¯å¦¥å”ã®ç”£ç‰©ã¨ã—ã¦ã‚µãƒ‹ã‚¿ã‚¤ã‚ºã‚’使ã†ã“ã¨ã¯ã€ã‚ã‚Šå¾—ã‚‹ã¨è€ƒãˆã¾ã™ã€‚ 本稿ã§ç”¨ã„る「サニタイズã€ã®å®šç¾© サニタイズã¨ã„ã†ç”¨èªžã¯ã€æ´å²çš„ã«éƒ½åˆã®è‰¯ã„よã†ã«ä½¿ã‚ã‚Œã¦ããŸæ´å²ãŒã‚ã‚Šã€ã‚らãŸã‚ã¦ãƒãƒƒãƒˆæ¤œç´¢ã—ã¦è¦‹ã‚‹ã¨ã€æœ¬å½“ã«å¤šæ§˜ãªä½¿ã‚れ方をã—ã¦ã„ã‚‹ã¨æ„Ÿã˜ã¾ã—ãŸã€‚ãã®æ§˜åã¯ã€é«˜æœ¨æµ©å…‰æ°ã®ãƒ–ãƒã‚°è¨˜äº‹ã€Žã€Œã‚µãƒ‹ã‚¿ã‚¤ã‚ºã€ã¨ã„ã†è¨€è‘‰ã¯ã‚‚ã†æ»ã‚“ã§ã„ã‚‹ã€ã‹ã‚‰ã‚‚伺ãˆã¾ã™ã€‚ ã“ã“ã§ã¯ã€è°è«–ã®éƒ½åˆä¸Šã€ä»¥ä¸‹ã‚’サニタイズã®å®šç¾©ã¨ã—ã¦ç”¨ã„ã‚‹ã“ã¨ã«ã—ã¾ã™ã€‚ サニタイズã¨ã¯ã€ 主ã«ã‚»ã‚ュリティ上ã®ç›®çš„ã§
SE・プãƒã‚°ãƒ©ãƒžãŒçŸ¥ã£ã¦ã‚‹ã¨ä¾¿åˆ©ãªè„†å¼±æ€§ãƒã‚§ãƒƒã‚¯ãƒ„ール 5 㤠| ãƒã‚·ãƒ£ãƒã‚°ã€‚
æ±äº¬ãƒ©ãƒ¼ãƒ¡ãƒ³ã‚·ãƒ§ãƒ¼2011 ã„ãã¦ãƒ¼ãƒ¼ãƒ¼ï¼ã¿ãªã•ã‚“ã“ã‚“ã«ã¡ã¯ã€nakamura ã§ã™ã€‚ 今日ã¯ãƒ—ãƒã‚°ãƒ©ãƒžã ã£ãŸã‚Šã‚µãƒ¼ãƒç®¡ç†è€…ã ã£ãŸã‚Šï¼ˆã‚‚ã—ãã¯ãã®ä¸¡æ–¹ã ã£ãŸã‚Šï¼‰ã™ã‚‹æ–¹ã«ãŠå‹§ã‚ã—ãŸã„サイトã¨ãƒ„ールをã„ãã¤ã‹ã”紹介ã—ã¾ã™ã€‚ç´°ã‹ã„脆弱性ã®ãƒã‚§ãƒƒã‚¯ç‰ã©ã†ã—ã¦ã‚‚手間ãŒæŽ›ã‹ã‚‹ã‚‚ã®ãŒå¤šã„ã§ã™ãŒã€ä»Šå›žã”紹介ã™ã‚‹ãƒ„ールをã†ã¾ã使ã†ã¨ãã®è¾ºã‚Šã ã„ã¶åŠ¹çŽ‡ã‚ˆãã§ãã‚‹ã¨æ€ã„ã¾ã™ã‚ˆï¼ WEB アプリケーション関連 XSS Me XSS Me :: Add-ons for Firefox XSS ã®ãƒ†ã‚¹ãƒˆã‚’ã‚る程度自動化ã—ã¦ãれる Firefox ã®ã‚¢ãƒ‰ã‚ªãƒ³ã§ã™ã€‚残念ãªãŒã‚‰ Firefox3.0.* ç³»ã®é ƒã«é–‹ç™ºãŒæ¢ã¾ã£ã¦ã—ã¾ã£ã¦ã„るよã†ã§ã™ãŒã€åƒ•ã®ç’°å¢ƒã§ã¯ install.rdf ã®æ›¸ãæ›ãˆã§å•é¡Œãªã動作ã—ã¦ã„ã¾ã™ã€‚（Windows7 64bit + Firefox7.0.1） SQL Inject Me SQL I
1
リリースã€éšœå®³æƒ…å ±ãªã©ã®ã‚µãƒ¼ãƒ“スã®ãŠçŸ¥ã‚‰ã›
最新ã®äººæ°—エントリーã®é…ä¿¡
j次ã®ãƒ–ックマーク
kå‰ã®ãƒ–ックマーク
lã‚ã¨ã§èªã‚€
eコメント一覧を開ã
oページを開ã
{{#tags}}- {{label}}
{{/tags}}