iモードブラウザ2.0のJavaScript機能とかんたん認証を利用した不正アクセスの方法について Tweet 2009/11/26 木曜日 matsui Posted in ニュース, 記事紹介・リンク | No Comments » フォーラムに複数の方からタレコミをいただきました。 （情報提供ありがとうございます） ドコモのiモードブラウザ2.0に搭載されているJavaScript機能と、かんたん認証を組み合わせた不正アクセスの方法について話題になっているようなので、ご紹介させていただきます。 まず時系列的にはこちらのエントリーが発端となっているようです。 →　mpw.jp管理人のBlog　iモード専用サイトのhtmlソースの閲覧方法 [mpw.jp] JavaScriptとDNSの書き換えを使って、IPアドレス制限がかけられたサイトからhtmlソースを抜き出す方法がまとめられていま

_既にあたり前になりつつある文字エンコーディングバリデーション 大垣靖男さんの日記「何故かあたり前にならない文字エンコーディングバリデーション」に端を発して、入力データなどの文字エンコーディングの妥当性チェックをどう行うかが議論になっています。チェック自体が必要であることは皆さん同意のようですが、 チェック担当はアプリケーションか、基盤ソフト（言語、フレームワークなど）か 入力・処理・出力のどこでチェックするのか という点で、さまざまな意見が寄せられています。大垣さん自身は、アプリケーションが入力時点でチェックすべきと主張されています。これに対して、いや基盤ソフトでチェックすべきだとか、文字列を「使うとき」にチェックすべきだという意見が出ています。 たとえば、id:ikepyonの日記「[セキュリティ]何故かあたり前にならない文字エンコーディングバリデーション」では、このチェックは基盤ソフ

2009/08/06 Webブラウザ上で、ネットワークからダウンロードしたx86バイナリを安全に実行する――。2008年暮れにグーグルがオープンソースプロジェクトとして公開した「NaCl」（Native Client）は、本当に安全なものに仕上げることができるのか。先日グーグルが主催したセキュリティ・コンテスト、「Native Client Security Contest」でNaClの脆弱性を2つ発見して、日本人で唯一入賞したサイバーディフェンス研究所 上級分析官の福森大喜氏に話を聞いた。 静的解析で安全にx86コードを実行 福森氏は、Webブラウザ上にx86バイナリを実行するサンドボックスを載せるというアイデアを評価する。「基本的には、いい考え。コードに悪意がある場合でも、WebブラウザやOSが被害を受けないようにできている。ソースコードを見た印象ではOSのカーネルに似ている」（福森氏

ソフトバンクの携帯用GatewayをPCで通る方法があるようです Tweet 2009/8/4 火曜日 matsui Posted in タレコミ, 記事紹介・リンク | 4 Comments » mogyaさんからのタレコミです。 （情報提供ありがとうございます） ソフトバンクの携帯用ゲートウェイを、PC経由で通る方法があるとのことです。 扱う情報にもよりますが、ケータイサイトではIPアドレス帯域を制限して、ケータイからのアクセスのみを許可するのが一般的です。 これが可能なのであれば色々と問題がありますね。 →　Perlとかmemoとか日記とか。　SoftBank Mobileの携帯用GatewayをPCで通る方法のメモ [d.hatena.ne.jp] ソフトバンクのゲートウェイをPCから通過する方法としては次の2つが挙げられています。 SIMUnlock済みのiPhoneを使う方法

SQLインジェクション対策はおすみですか? 開発開始時点からのコンサルティングから、公開済みWebサイトの脆弱性検査、 脆弱性発見後の適切な対策まで ●携帯JavaScriptとXSSの組み合わせによる「かんたんログイン」なりすましの可能性 このエントリでは、携帯電話のブラウザに搭載されたJavaScriptと、WebサイトのXSSの組み合わせにより、いわゆる「かんたんログイン」に対する不正ログインの可能性について検討する。 5月28にはてなダイアリーに書いた日記「i-mode2.0は前途多難」にて、今年のNTTドコモの夏モデルP-07AにてJavaScript機能が利用停止されたことを指摘した。同日付のNTTドコモ社のリリースによると、「ソフトウェア更新に伴い、高度化した機能の一部をご利用いただけなくなっていますが、再びご利用いただけるよう速やかに対処いたします」とあったが、それ以

PuTTY 独自の形式の .ppk ファイルで鍵ペアを渡されて困ったときのためにメモ。 PuTTY に付属している puttygen コマンドで普通の公開鍵・秘密鍵に分離できる。 Debian 系なら putty-tools パッケージをインストールするだけでいいらしい(未確認) OSX だと ports 使うか自分でビルドする。 ぼくは自分でビルドした。 wget http://the.earth.li/~sgtatham/putty/latest/putty-0.60.tar.gz tar zxvf putty-0.60.tar.gz cd putty-0.60/macosx make puttygen で puttygen だけビルドできる。っていうか全体 make はぼくの環境では失敗した。まぁこれさえビルドできればOK。 秘密鍵を取り出す。 ./puttygen unko.ppk

Recent Entries セキュアなサーバを作るために最低限やっておくこと Yahooキーワード抽出APIライブラリ テスト駆動開発 （test driven development: TDD） のすすめ GoogleAnalyticsAPI on EC-CUBE 土日で作るコンパイラ OPEN ERPに挑戦３ OPEN ERPに挑戦２ OPEN ERPに挑戦 ERPはたくさんあれど・・・ OpenGLで3D、やってみよう Recent Comments No Responses. Recent Trackbacks テスト駆動開発 （test driven development: TDD） のすすめ 06/11 » Yahooキーワード抽出... みなさんはサーバを管理するときに、何を一番気にしますか？ 人によって程度の差はあるのでしょうが、誰もが気になるのが「セキュリティ」でしょ

[セキュリティ] scponlyはscpのみを許可するシェルです。configure時に--enable-chrooted-binaryオプションをつければ、ユーザをホームディレクトリ内に閉じ込めることが可能です。以下設定方法。 [root@www src]# wget http://www.sublimation.org/scponly/scponly-4.1.tgz [root@www src]# tar xvzf ./scponly-4.1.tgz [root@www src]# cd scponly-4.1 [root@www src]# ./configure --enable-chrooted-binary --enable-rsync-compat [root@www scponly-4.1]# cp /setup_chroot.sh /usr/local/bin/ [roo

アイアクト、Webサイトのセキュリティ要件仕様書を無償公開 株式会社アイアクトが、Web サイトのセキュリティ用件仕様書を PDF で無償公開したとのこと。 発注者向けの資料ではありますが、簡潔な内容なので開発者の参考にもなるのではないでしょうか。 ダウンロードは以下よりどうぞ。 発注者のためのWebシステム／Webアプリケーション セキュリティ要件書｜脆弱性診断.jp 余談ですが、アドレスが日本語ドメイン名（脆弱性診断.jp）になってますね。