以下は、WEBプログラマー用のWEB脆弱性の基礎知識の一覧です。 WEBプログラマーの人はこれを読めばWEB脆弱性の基礎をマスターしてWEBプログラムを書くことができるようになっているかもです。 また、WEB脆弱性の簡易リファレンスとしても少し利用できるかもしれません。 WEBアプリケーションを開発するには、開発要件書やプログラム仕様書通りに開発すれば良いというわけにはいきません。 そう、WEB脆弱性を狙う悪意のユーザにも対処しないといけないのです。 今回、WEBアプリケーションを開発にあたってのWEB脆弱性を、以下の一覧にまとめてみました。 このまとめがWEBアプリケーション開発の参考になれば幸いです。 インジェクション クロスサイト・スクリプティング セッション・ハイジャック アクセス制御や認可制御の欠落 ディレクトリ・トラバーサル(Directory Traversal) CSRF（

This tool will allow the user to specify a list of hosts to be blocked from the history tab, the recently closed tabs list, and the download manager (ctrl+j).

ドットインストール代表のライフハックブログ

随時追加 ターミナルを立ち上げたまま席を離れるとマシンにイタズラされることがよくある．とはいえシャレにならないイタズラはしても笑えないので，基本的には教育的に効果があって被害の出ないものしか実際にはしない． じゃあ，たとえ root じゃなくてもどこまでえげつないことができるのか*1，今回はちょっと考えてみたユーザ権限でできる酷いイタズラを紹介する．対象はリモートログインする UNIX 系 OS を利用しているサーバ，主に Ubuntu である． ls が sl 方法 alias ls=sl sl を期待したという意見が多かったので掲載．掲載しなかったのは sl がインストールされていない環境が多く，インストールには root 権限が必要になるから．後述のバイナリを持ち込んでパスを通す方法を使えばできないことはないかも． エディターが全部 ed 方法 alias nano=ed alias

WordPressのセキュリティをアップする11のポイントをPro Blog Designのエントリーから紹介します。 11 Best Ways to Improve WordPress Security セキュアなデータベースを構築する。 他のアプリケーションと共有しないWordPressのためだけのデータベースを使用する。 データベースへのアクセスは限定する。 データベースのパスワードは強固なものにする。 「wp-config.php」の設定。 セキュリティキーを設定する。 セキュリティキーツール 1.1でランダムなキーが生成されます。 テーブル名の接頭辞（$table_prefix）を「wp_」以外のものに変更する。 管理画面のユーザー名にデフォルトの「admin」を使用しない。 ユーザー名はphpMyAdminなどで変更できます。 管理画面のパスワードは複雑なものにする。 英数記号

特殊文字を HTML エンティティに変換してくれるhtmlspecialchars関数。 PHPでは基本中の基本である関数でありながら、名前の長さやオプションの設定などが面倒で困ったものです。「htmlspecialchars」は覚えられても、オプションの「ENT_QUOTES」まで覚えるのはなかなか大変だったりします。でも、ここで手を抜くと簡単に脆弱なアプリケーションができあがってしまう危険性があります。特にユーザーからの入力には、手軽にがっちり入力保険をかけておくべきです。 そんなわけで、htmlspecialcharsを簡単に扱えるようにする方法を考えてみました。 お知らせ：PHP5.4にて、htmlspecialchars()関数に互換性の問題が出てきましたので、当ページでも第三引数に文字コードを指定するコードに変更しました。以下、第三引数の"UTF-8"の部分は、利用中の文字コー

SQLインジェクションについて ネタ元：$_GETを安易に受け入れちゃダメ！ 前に書いたエントリー(re:キケンなSQLインジェクション)が誤解を与えてしまったようですので、もう少し補足しておきます。 まず、結論から書くと、 mysql_queryの場合はチェックが要らないって言ってるわけではないです。 そして、 mysql_real_escape_stringを過信してはいけません 様々なSQLインジェクション 複合クエリ $sql="select * from geekDB where id = " . $_GET['id']; $result = pg_query($sql); これは$_GET['id']の値が以下のような場合問題が発生します。 '';DELETE FROM geekDB; テーブルを丸ごと消すことが可能です。 前回のエントリー(re:キケンなSQLインジェクション

MSセキュリティ担当者が紹介 マルチクラウド環境の保護を追求する Microsoft Defender for Cloud 本当のデータ活用できていますか？ データドリブンがあたりまえと言われる今あらためて考えたいデータ活用のありかた Kubernetes活用の最適解とは？ 今、注目のコンテナを活用した柔軟なIT基盤 運用、管理の課題を解決しメリットを最大化 DNSを守り、DNSで守る 高度・巧妙化し危険度を増すサイバーリスク いま考えるべきモダンセキュリティのあり方 50年の経験を持つアイネットが提供 ユーザー企業の使いやすさを第一に考えた ワンストップで使えるマネージドクラウド AWSとAzureを更に使いこなそう イマドキのマルチクラウドセキュリティを MS担当者が徹底解説 大事なのは”仕事の段取り” 幅広い業務を任されているからこそできる ひとり情シス流の業務改善術 いま求められる

こんにちは！ Amazonほしい物リスト、すごい話題になってますね！ なんでも、メールアドレスで検索すればAmazonに登録してある本名がでてくる (ケースもある) とか…。 で、さっそくぼくも試してみたよ！ ほしい物リストサーチ！ これって、いま話題になっているのは、誰かのメールアドレスを手がかりにして ウィッシュリストや本名、下手すると住所まで知られてしまうってところだよね。 それだけでも面白いんだけど、 あまり注目されていない機能として、こんなものがあったよ。 友だちにほしい物リストについて知らせる これ。 自分のほしい物リストを誰かにメール送信できちゃう機能らしいね！ じゃあ試しにメール送信時のリクエストを確認してみると… http://www.amazon.co.jp/gp/registry/send-nudge.html?ie=UTF8&type=wishlist&__mk_j