2010年09月22日21:30 カテゴリLightweight Languages 構造化テキストの間違ったエスケープ手法について 昨晩のtwitter XSS祭りは、ふだんもtwitter.comは使わない私には遠くの祭り囃子だったのですが、せっかくの自戒の機会なので。 Kazuho@Cybozu Labs: (Twitter の XSS 脆弱性に関連して) 構造化テキストの正しいエスケープ手法について 正しいアプローチは、全てのルールを同時に適用することです。 これは残念ながら(おそらく)必要条件であっても十分条件ではありません。 こういう(かなりええかげんな)正規表現でtweetをparseしていたとします。 re_http = '(?:https?://[\\x21-\\x7e]+)'; re_user = '(?:[@][0-9A-Za-z_]{1,15})'; re_hash

最近購入したPHP×携帯サイト 実践アプリケーション集を読んでいて妙な感じがしたので、この感覚はなんだろうと思っていたら、その理由に気づいた。本書に出てくるアプリケーションは、PHPのセッション管理機構を使っていないのだ。そんな馬鹿なと思ったが、目次にも索引にも「セッション」や「session」という語は出てこない。サンプルプログラムのCD-ROM上で session を検索しても出てこないので、セッションはどこでも使っていないのだろう。 そうは言っても、本書にはブログやSNSなど認証が必要なアプリケーションも登場する。本書で採用している認証方式はこうだ。 携帯電話の個体識別番号を用いた、いわゆる「かんたんログイン」のみを使う 認証状態をセッション管理機構で維持しない。全てのページで毎回認証する そのため、「iモードID」など、ユーザに確認せずに自動的に送信されるIDを用いる つまり、全て

こんにちはこんにちは ! ! はまちや2です！ 今日からぼくと一緒にWebプログラミングのセキュリティについて、ちょっぴり勉強してみませんか！今回はHTTPがどんなやりとりをしているのか、簡単におさらいしてみましょう！

パーセントエンコードについていろいろ勉強したばかりのクウは、ユウヤに対して、HTTPでのパーセントエンコードについて熱弁を振るっていた。すると、その話に興味を持ったナツさんが話し掛けてきた。 ナツ　「なになに？ なんか面白そうじゃん？」 ユウヤ　「興味ないっていってるんですけどね……。ナツさん、こいつ引き取ってやってくださいよー」 クウ　「最近HTTPとか勉強してるんすよ。いま、パーセントエンコードについて語ってるとこっす！」 ナツ　「おー。なるほどなるほど」 クウ　「やっぱ基礎は大事すね！ 勉強してると実は意外といろいろ知らなかったなーって思って」 ナツ　「うんうん。そういうとこ把握しとくのは大事だよね。感心、感心♪」 ナツさんは、開発チームのリーダーで、分からないことがあると丁寧に教えてくれる、クウの尊敬する人の1人である。 クウ　「まだ基本でつまずいているようじゃ、まだまだナツさんの

Webサイトを作る側にとって，インターネットとiモードで決定的な違いがあるのをご存知だろうか。実は，iモード（NTTドコモ）ではCookieが使えない。このため，iモード向けのWebアプリは，インターネットでは当然の，Cookieによるセッション管理ができないのだ。 iモードは「危険」とされるURLでセッションを管理 Cookieによるセッション管理を簡単に説明しておこう。もともとWebアクセスに使うアプリケーション・プロトコルには「セッション」という概念がない。このため，インターネット向けのWebアプリは，WebサイトからWebブラウザにセッション情報を渡し，次回以降のアクセスではWebブラウザからWebサイトへセッション情報を送ってもらう。こうして，一連のWebアクセスを関連付ける。そのために今どきのWebアプリが使うのが，Cookieという名の短いテキスト・データだ。WebサイトはW

JR東日本は11月9日、盗難やスキミングしたクレジットカードの情報を悪用し、モバイルSuicaを不正に利用した被害が約1000万円あったことを明らかにした。 不正利用されたカードの枚数は合計65枚。最初の被害があったのは2006年12月で、2007年10月半ばまで続いた。不正利用分については、JR東日本が全額補償する。 なぜ不正利用が起きた？ モバイルSuicaは、交通乗車券・電子マネーの「Suica」をおサイフケータイで利用できるサービス。モバイルSuica用アプリをおサイフケータイにダウンロードして登録（会員登録）することで利用できるようになる（別記事参照）。 モバイルSuica用アプリに、クレジットカード情報や、オンラインバンクの口座を登録しておくと、そこからチャージ（入金）ができる仕組み。サービス開始当初、モバイルSuicaへの入金は、JR東日本が発行するクレジットカード「VIEW

Webアプリケーションが攻撃者に付け込まれる脆弱性の多くは、設計者や開発者のレベルで排除することができます。実装に忙しい方も、最近よく狙われる脆弱性のトップ10を知ることで手っ取り早く概要を知り、開発の際にその存在を意識してセキュアなWebアプリケーションにしていただければ幸いです。 Webの世界を脅かす脆弱性を順位付け OWASP（Open Web Application Security Project）は、主にWebアプリケーションのセキュリティ向上を目的としたコミュニティで、そこでの調査や開発の成果物を誰でも利用できるように公開しています。 その中の「OWASP Top Ten Project」というプロジェクトでは、年に1回Webアプリケーションの脆弱性トップ10を掲載しています。2004年版は日本語を含む各国語版が提供されていますが、2007年版は現在のところ英語版のみが提供さ

Webアプリケーションのぜい弱性を示す用語として，クロスサイト・スクリプティング，SQLインジェクションといった言葉の認知度はかなり高まった。ブログ・サイトなどでも活発に議論されている。しかし，Webサイトの実態はどうだろうか。 筆者の所属する京セラコミュニケーションシステムでは昨年（2006年），ぜい弱性診断を実施したWebサイトの統計情報「2007年版 Webアプリケーションぜい弱性傾向」を発表した。これによると，パソコン向けWebサイトの48%に致命的なぜい弱性が見つかった。このうちワースト1位はクロスサイト・スクリプティングで56％，2位はSQLインジェクションで11%と，どちらもインジェクション（注入）系のぜい弱性。これらのぜい弱性を持った危険なサイトは依然として存在するのが実情である。 これらWebアプリケーションのぜい弱性があまりなくならない理由はいくつかあるが，以前は「ぜい

ケータイWebアプリの脆弱性問題は、私の専門分野であるので、もう少し突っ込んでみたいと思う。 高木浩光氏の高木浩光＠自宅の日記 - 携帯電話向けWebアプリの脆弱性事情はどうなっているのか 携帯電話Webアプリのセキュリティが怪しいという話はいろいろな人から耳にするが、携帯の世界では秘密保持契約による縛りがあって、皆それらを話せない状態になっているようだ。その結果として、脆弱性の実態が明らかにならないばかりか、正しい実装方法の普及が進まない。 この問いかけに対して、技術論ではなく、脆弱性検査を実施した結果の統計情報で回答する。 というには、私の勤務先では、まさにケータイ向けWeb脆弱性診断をやっていて、昨年一年間の脆弱性傾向の統計を発表しているからだ。 https://www.kccs.co.jp/contact/paper_websecurity/index.html このホワイトペーパ

巡回サイトの一つである高木浩光＠自宅の日記で以下のようなエントリーがあった。 高木浩光＠自宅の日記 - 携帯電話向けWebアプリの脆弱性事情はどうなっているのか ここではいつもの高木氏の口調で、「携帯向けWEBアプリ開発では未だにGETパラメータでセッションIDを渡しており、それはこれまでも何度もいかんことだと言っている。」というような内容が語られている。 確かにWEB+DBの記事に対して高木氏が注釈で言っているように「IPアドレスによる制限に関して書いていない」という点に関してはWEB+DB側の落ち度だと思う。実際これを行わない限り端末IDやユーザID*1による認証が意味をなさなくなってしまうからだ。*2 但し、キャリア毎にIPアドレス制限をする限りにおいては端末IDやユーザIDは偽装不可能*3なので、むしろ他人でも入力可能なパスワード認証よりも強力な認証かもしれません。逆にいえばその認