 会員é™å®šã‚µãƒ¼ãƒ“スã§ã™ 月é¡ãƒ—ランãŒ10月末ã¾ã§ç„¡æ–™ ãŠç”³ã—込㿠会員ã®æ–¹ã¯ã“ã¡ã‚‰ ãƒã‚°ã‚¤ãƒ³ 日経クãƒã‚¹ãƒ†ãƒƒã‚¯ TOPページ
ãƒã‚°ã‚¤ãƒ³ã—ã¦ãã ã•ã„：日経クãƒã‚¹ãƒ†ãƒƒã‚¯ï¼ˆxTECH）
 会員é™å®šã‚µãƒ¼ãƒ“スã§ã™ 月é¡ãƒ—ランãŒ10月末ã¾ã§ç„¡æ–™ ãŠç”³ã—込㿠会員ã®æ–¹ã¯ã“ã¡ã‚‰ ãƒã‚°ã‚¤ãƒ³ 日経クãƒã‚¹ãƒ†ãƒƒã‚¯ TOPページ
［気ã«ãªã‚‹ï¼½JSONPã®å®ˆã‚Šæ–¹
XSSã«CSRFã«SQLインジェクションã«ãƒ‡ã‚£ãƒ¬ã‚¯ãƒˆãƒªãƒˆãƒ©ãƒãƒ¼ã‚µãƒ«â€¦â€¦Webアプリケーションã®ãƒ—ãƒã‚°ãƒ©ãƒžãŒçŸ¥ã£ã¦ãŠãã¹ã脆弱性ã¯ã„ã£ã±ã„ã‚ã‚Šã¾ã™ã€‚ãã“ã§æœ¬é€£è¼‰ã§ã¯ã€ãã®ã‚ˆã†ãªãƒ¡ã‚¸ãƒ£ãƒ¼ãªã‚‚ã®â€œä»¥å¤–â€ã‚‚掘り下ã’ã¦ã„ãã¾ã™ （編集部） JSONPã ã£ã¦ã€ã‚»ã‚ュリティを気ã«ã—ã¦ã»ã—ㄠ皆ã•ã‚“ã“ã‚“ã«ã¡ã¯ã€ã¯ã›ãŒã‚よã†ã™ã‘ã§ã™ã€‚今回ã¯ã€JSONPを使用ã™ã‚‹å ´åˆã®ã‚»ã‚ュリティã«ã¤ã„ã¦è§£èª¬ã—ã¾ã—ょã†ã€‚ JSONPã¨ã¯ã€JSON with Paddingã®å称ãŒç¤ºã—ã¦ã„ã‚‹ã¨ãŠã‚Šã€JSONå½¢å¼ã®ãƒ‡ãƒ¼ã‚¿ã«ã‚³ãƒ¼ãƒ«ãƒãƒƒã‚¯é–¢æ•°ã®å‘¼ã³å‡ºã—ã®ãŸã‚ã®ã‚³ãƒ¼ãƒ‰ã‚’ä»˜åŠ ã™ã‚‹ã“ã¨ã§ã€ã‚¯ãƒã‚¹ãƒ‰ãƒ¡ã‚¤ãƒ³ã§ãƒ‡ãƒ¼ã‚¿ã®å—ã‘渡ã—を実ç¾ã™ã‚‹ãŸã‚ã®ãƒ‡ãƒ¼ã‚¿å½¢å¼ã§ã™ã€‚JavaScriptã‹ã‚‰ã‚¯ãƒã‚¹ãƒ‰ãƒ¡ã‚¤ãƒ³ã§ã®ãƒ‡ãƒ¼ã‚¿ãŒç°¡å˜ã«æ‰±ãˆã‚‹ã“ã¨ãªã©ã‚’ç†ç”±ã«ã€å¤šæ•°ã®Webアプリケーションã§APIã®ä¸€éƒ¨ã¨ã—ã¦JSONPå½¢å¼ã§ãƒ‡ãƒ¼ã‚¿ã®æä¾›ãŒè¡Œã‚ã‚Œã¦ã„ã¾ã™ã€‚ 具体的ãªä¾‹ã‚’見
USBメモリ・SDカード・HDDãªã©ã‹ã‚‰å‰Šé™¤ã—ã¦æ¶ˆãˆã¦ã—ã¾ã£ãŸãƒ•ã‚¡ã‚¤ãƒ«ã‚’復元ã§ãるフリーソフト「DiskDiggerã€
削除ã—ã¦ã‚´ãƒŸç®±ã‹ã‚‰ã‚‚消ãˆã¦ã—ã¾ã£ãŸãƒ•ã‚¡ã‚¤ãƒ«ã‚’復元ã§ãるフリーソフトãŒã“ã®ã€ŒDiskDiggerã€ã§ã™ã€‚USBメモリやå„種フラッシュメモリ（USBメモリ・コンパクトフラッシュ・メモリースティックãªã©ãªã©ï¼‰ã‚„ãƒãƒ¼ãƒ‰ãƒ‡ã‚£ã‚¹ã‚¯ãªã©ã€Windowsã‹ã‚‰èªè˜ã§ãã‚‹ã‚‚ã®ã§ã‚ã‚Œã°å¤§æŠµã®ã‚‚ã®ã«å¯¾å¿œã—ã¦ãŠã‚Šã€èª¤ã£ã¦ãƒ•ã‚©ãƒ¼ãƒžãƒƒãƒˆã—ã¦ã—ã¾ã£ãŸå ´åˆã‚„フォーマットをミスã—ã¦ãƒ‰ãƒ©ã‚¤ãƒ–åãŒå‰²ã‚Šå½“ã¦ã‚‰ã‚Œãªããªã£ãŸå ´åˆã€ã•ã‚‰ã«ã¯ãƒãƒƒãƒ‰ã‚»ã‚¯ã‚¿ãŒåŽŸå› ã§èªã‚ãªããªã£ãŸå ´åˆã§ã‚‚復元å¯èƒ½ã§ã™ã€‚ 復元ã®ä»•çµ„ã¿ã¨ã—ã¦ã¯ã€Windowsã®ãƒ•ã‚¡ã‚¤ãƒ«ã‚·ã‚¹ãƒ†ãƒ ドライãƒã‚’ãƒã‚¤ãƒ‘スã—ã€ãƒãƒ¼ãƒ‰ãƒ‡ã‚£ã‚¹ã‚¯ã‚’直接スã‚ャンã™ã‚‹ã¨ã„ã†ã‚‚ã®ã€‚対応ã—ã¦ã„るフォーマットã¯FAT12（フãƒãƒƒãƒ”ーディスク）・FAT16（å¤ã„メモリーカードãªã©ï¼‰ãƒ»FAT32（新ã—ã„メモリーカードやå¤ã„HDD）・NTFS（新ã—ã„HDD）・exFATã¨ãªã£ã¦ãŠã‚Šã€ã—ã‹ã‚‚本体å˜ä½“ã§å‹•ä½œã™ã‚‹ãŸã‚イ
教科書ã«è¼‰ã‚‰ãªã„Webアプリケーションセã‚ュリティ 第1回 ï¼»ã“ã‚Œã¯ã²ã©ã„ï¼½IEã®å¼•ç”¨ç¬¦ã®è§£é‡ˆ − ï¼ IT
XSSã«CSRFã«SQLインジェクションã«ãƒ‡ã‚£ãƒ¬ã‚¯ãƒˆãƒªãƒˆãƒ©ãƒãƒ¼ã‚µãƒ«â€¦â€¦Webアプリケーションã®ãƒ—ãƒã‚°ãƒ©ãƒžãŒçŸ¥ã£ã¦ãŠãã¹ã脆弱性ã¯ã„ã£ã±ã„ã‚ã‚Šã¾ã™ã€‚ãã“ã§æœ¬é€£è¼‰ã§ã¯ã€ãã®ã‚ˆã†ãªãƒ¡ã‚¸ãƒ£ãƒ¼ãªã‚‚ã®â€œä»¥å¤–â€ã‚‚掘り下ã’ã¦ã„ãã¾ã™ï¼ˆç·¨é›†éƒ¨ï¼‰ å°ã•ãªè©±é¡ŒãŒé¢ç™½ã„ 皆ã•ã‚“ã€ã¯ã˜ã‚ã¾ã—ã¦ã€‚ã¯ã›ãŒã‚よã†ã™ã‘ã¨ç”³ã—ã¾ã™ã€‚ 「教科書ã«è¼‰ã‚‰ãªã„Webアプリケーションセã‚ュリティã€ã¨ã„ã†ã“ã¨ã§ã€Webアプリケーションã®ã‚»ã‚ュリティã«é–¢é€£ã™ã‚‹ã€æ™®æ®µã‚ã¾ã‚Šè¦‹æŽ›ã‘ãªã„よã†ãªå°ã•ãªè©±é¡Œã‚’å–り上ã’ã¦ã„ããŸã„ã¨æ€ã„ã¾ã™ã€‚ ã‚»ã‚ュアãªWebアプリケーションを実ç¾ã™ã‚‹ãŸã‚ã«ã€é–‹ç™ºè€…ã®æ–¹ã ã‘ã§ãªãã€Webアプリケーションã®è„†å¼±æ€§æ¤œæŸ»ã‚’è¡Œã†æ–¹ã€…ã«ã‚‚èªã‚“ã§ã„ãŸã ããŸã„ã¨æ€ã£ã¦ã„ã¾ã™ã€‚é‡ç®±ã®éš…を楊æžã§ã»ã˜ãるよã†ãªå°ã•ãªè©±é¡Œã°ã‹ã‚Šã§ã™ãŒã€çš†ã•ã‚“よã‚ã—ããŠé¡˜ã„ã—ã¾ã™ã€‚ ã•ã¦ç¬¬1回ã¯ã€Internet ExplorerãŒHTMLを解釈ã™ã‚‹éš›ã®å¼•ç”¨
第23回　ã¾ã ã¾ã 残ã£ã¦ã„ã‚‹CSRF攻撃 ：ãªãœPHPアプリã«ã‚»ã‚ュリティホールãŒå¤šã„ã®ã‹?｜gihyo.jp … 技術評論社
CSRF（Cross Site Request Forgeries）ã¯æ•°å¹´å‰ã«ãã®å±é™ºæ€§ãŒåºƒãèªçŸ¥ã•ã‚ŒãŸæ”»æ’ƒæ‰‹æ³•ã§ã™ã€‚Webページを見ãŸã ã‘ã§ã€æ™®æ®µè‡ªåˆ†ãŒåˆ©ç”¨ã—ã¦ã„ã‚‹ãƒã‚°ã‚¤ãƒ³ãŒå¿…è¦ãªã‚µã‚¤ãƒˆã«æ„図ã—ãªã„リクエストãŒé€ä¿¡ã•ã‚ŒãŸã‚Šã™ã‚‹å•é¡Œã§ã™ã€‚ CSRFã®å‹•ä½œåŽŸç† CSRFã¯æ”»æ’ƒç”¨ã®æƒ…å ±ã‚’å«ã‚“ã WebページやEメールを利用ã—ã¦æ”»æ’ƒã—ã¾ã™ã€‚被害者ãŒæ”»æ’ƒç”¨ã®ãƒšãƒ¼ã‚¸ã‚’表示ã—ãŸã‚Šã€URLをクリックã™ã‚‹ã¨ã€æ”»æ’ƒå¯¾è±¡ã®Webサイトã«åˆ©ç”¨è€…ãŒæ„図ã—ã¦ã„ãªã„リクエストをé€ä¿¡ã—ã¾ã™ã€‚ 図1　CSRF攻撃 CSRFã«ã‚ˆã‚‹ä¸æ£ãªãƒªã‚¯ã‚¨ã‚¹ãƒˆã¯è¢«å®³è€…ã‹ã‚‰ãƒªã‚¯ã‚¨ã‚¹ãƒˆãªã®ã§ã€ãƒã‚°ã‚¤ãƒ³ãŒå¿…è¦ãªã‚µã‚¤ãƒˆã§ã‚ã£ã¦ã‚‚æ—¢ã«ãƒ¦ãƒ¼ã‚¶ãŒãƒã‚°ã‚¤ãƒ³æ¸ˆã¿ã®å ´åˆã€æ£è¦ã®ãƒ¦ãƒ¼ã‚¶ã‹ã‚‰ã®ãƒªã‚¯ã‚¨ã‚¹ãƒˆã¨ã—ã¦æ”»æ’ƒå¯¾è±¡ã®Webサーãƒã¯ãƒªã‚¯ã‚¨ã‚¹ãƒˆã‚’å—ã‘付ã‘ã¦ã—ã¾ã„ã¾ã™ã€‚ ãƒã‚°ã‚¤ãƒ³ãŒå¿…è¦ãªã„公開サイトã§ã‚ã£ã¦ã‚‚ã€å•ã„åˆã‚ã›ãƒ•ã‚©ãƒ¼ãƒ ã‹ã‚‰å¤§é‡ã®ä¸æ£ãªæƒ…å ±ãŒç™»éŒ²ã•ã‚Œã‚‹ã€ãªã©
ï¼»ã¯ã¾ã¡ã¡ã‚ƒã‚“ã®ã‚»ã‚ュリティ講座］ã“ã“ãŒã‚ミã®è„†å¼±ãªã¨ã“ã‚…ï¼ï¼šç¬¬1回　HTTPã®ã—ãã¿ã‚’復習ã—よã†ï½œgihyo.jp … 技術評論社
ã“ã‚“ã«ã¡ã¯ã“ã‚“ã«ã¡ã¯ ! ! ã¯ã¾ã¡ã‚„2ã§ã™ï¼ 今日ã‹ã‚‰ã¼ãã¨ä¸€ç·’ã«Webプãƒã‚°ãƒ©ãƒŸãƒ³ã‚°ã®ã‚»ã‚ュリティã«ã¤ã„ã¦ã€ã¡ã‚‡ã£ã´ã‚Šå‹‰å¼·ã—ã¦ã¿ã¾ã›ã‚“ã‹ï¼ä»Šå›žã¯HTTPãŒã©ã‚“ãªã‚„ã‚Šã¨ã‚Šã‚’ã—ã¦ã„ã‚‹ã®ã‹ã€ç°¡å˜ã«ãŠã•ã‚‰ã„ã—ã¦ã¿ã¾ã—ょã†ï¼
PHP/脆弱性リスト/メモ - yohgaki's wiki
ãªã‚“ã ã‹ã‚„ã‘ã«é•·ã„説明ã°ã‹ã‚Šæ¤œç´¢ã«å¼•ã£ã‹ã‹ã£ãŸã®ã§æ›¸ãã¾ã—ãŸã€‚ Linuxã®ãƒãƒ¼ã‚«ãƒ«ç’°å¢ƒã§Dockerコンテナ内ã®Xアプリ（GUIアプリ）を利用ã™ã‚‹ã«ã¯ $ xhost localhost + を実行ã—ãŸå¾Œã« $ docker run --rm --net host -e "DISPLAY" container_image_name x_app_binary_path ã¨ã™ã‚Œã°è‰¯ã„ã§ã™ã€‚ ã‚‚ã£ã¨èªã‚€ SSHãªã©ã‚ˆã知られãŸã‚µãƒ¼ãƒ“スãƒãƒ¼ãƒˆã§ä½•ã‚‚対ç–ã›ãšã«ã„ã‚‹ã¨æ•°ãˆãらãªã„ãらã„ã®æ”»æ’ƒãƒªã‚¯ã‚¨ã‚¹ãƒˆãŒæ¥ã¾ã™ã€‚ä¸å¿…è¦ãªãƒã‚°ã‚’増やã—ã¦ãƒªã‚½ãƒ¼ã‚¹ã‚’無駄ã«ã—ã€ã‚‚ã—ä¸ç”¨æ„ãªãƒ¦ãƒ¼ã‚¶ãƒ¼ã‚„システムãŒã‚ã‚‹ã¨æ”»æ’ƒã«æˆåŠŸã™ã‚‹å ´åˆã‚‚ã‚ã‚Šã¾ã™ã€‚ Sshguardã¯C作られã¦ãŠã‚Šã€flex/bisonã®ãƒ‘ーサールールを足ã›ã°æ‹¡å¼µã§ãã¾ã™ãŒã‚«ã‚¹ã‚¿ãƒ 版をメンテナンスã™ã‚‹ã®ã‚‚é¢å€’ã§ã™ã€‚å¿…è¦ãªãƒ«ãƒ¼ãƒ«ã‚’足ã—ã¦ãƒ—ルリクエストをé€ã£ã¦ã‚‚マー
第1回　ã¾ãšã¯ã€Œã‚¯ãƒƒã‚ーã€ã‚’ç†è§£ã™ã¹ã—
Webアプリケーションã®ãœã„弱性ãŒãªã‹ãªã‹ãªããªã‚‰ãªã„。メディアãªã©ã§ã‚‚盛んã«å–り上ã’られã¦ã„ã‚‹ã«ã‚‚ã‹ã‹ã‚らãšï¼Œã§ã‚る。特ã«ï¼Œã‚»ãƒƒã‚·ãƒ§ãƒ³ç®¡ç†ãŒã‹ã‚‰ã‚€ã‚¢ãƒ—リケーションã®ãœã„弱性ã«ã¯ï¼Œæ°—付ã‹ãªã„ã“ã¨ãŒå¤šã„。具体的ã«ã¯ã€Œã‚¯ãƒã‚¹ã‚µã‚¤ãƒˆãƒ»ãƒªã‚¯ã‚¨ã‚¹ãƒˆãƒ»ãƒ•ã‚©ãƒ¼ã‚¸ã‚§ãƒªã€ï¼ˆCSRF），「セッション・フィクセーションã€ãªã©ã§ã‚る。ã“れらã¯ã‚¯ãƒã‚¹ã‚µã‚¤ãƒˆãƒ»ã‚¹ã‚¯ãƒªãƒ—ティング，SQLインジェクションã¨ã„ã£ãŸæ¯”較的メジャーãªãœã„弱性ã«æ¯”ã¹ã¦èªçŸ¥åº¦ãŒä½Žã，対ç–も進んã§ã„ãªã„。 åŽŸå› ã®ä¸€ã¤ã¯ï¼Œã‚¢ãƒ—リケーションã®é–‹ç™ºè€…ãŒåŽŸå› ã‚’æ£ã—ãç†è§£ã—ã¦ã„ãªã„ã“ã¨ã€‚CSRFやセッション・フィクセーションã«ã¤ã„ã¦è¨€ãˆã°ï¼Œã‚»ãƒƒã‚·ãƒ§ãƒ³ç®¡ç†ã«ä½¿ã†ã‚¯ãƒƒã‚ー（cookie）ã®å‹•ä½œã‚’ç†è§£ã—ã¦ã„ãªã„ã¨å¯¾ç–ãŒé›£ã—ã„。ã¨ã“ã‚ãŒæœ€è¿‘ã®é–‹ç™ºç’°å¢ƒã§ã¯ï¼Œã‚»ãƒƒã‚·ãƒ§ãƒ³ç®¡ç†ã®ä»•çµ„ã¿ãŒéš ãºã„ã•ã‚Œã¦ã„ã‚‹ãŸã‚，必ãšã—ã‚‚ã“ã®çŸ¥è˜ã¯è¦æ±‚ã•ã‚Œãªã„。ã“ã†ã—ãŸé–‹ç™ºè€…ã¯å®¹æ˜“ã«ã¯ãœã„弱性ã«æ°—
1
ランã‚ング
ランã‚ング
ランã‚ング
リリースã€éšœå®³æƒ…å ±ãªã©ã®ã‚µãƒ¼ãƒ“スã®ãŠçŸ¥ã‚‰ã›
最新ã®äººæ°—エントリーã®é…ä¿¡
j次ã®ãƒ–ックマーク
kå‰ã®ãƒ–ックマーク
lã‚ã¨ã§èªã‚€
eコメント一覧を開ã
oページを開ã
IBM Developer
PHPã§ã®ã‚»ã‚ュリティ対ç–ã«ã¤ã„ã¦ã®ãƒ¡ãƒ¢ - Liner Note
{{#tags}}- {{label}}
{{/tags}}