Brakemanã®ã‚ªãƒ—ション(和訳) - QiitaDeleted articles cannot be recovered. Draft of this article would be also deleted. Are you sure you want to delete this article?
フレームワークã«è¦‹ã‚‹ Web ã‚»ã‚ãƒ¥ãƒªãƒ†ã‚£å¯¾ç– - Qiita
Deleted articles cannot be recovered. Draft of this article would be also deleted. Are you sure you want to delete this article? ã‚»ã‚ュã‚ャン 2015 高レイヤートラック(Jxck) 本資料ã¯ã€ã‚»ã‚ュã‚ャン 2015 高レイヤートラックã®è¬›ç¾©è³‡æ–™ã§ã™ã€‚ ã‚»ã‚ュã‚ャンå‚åŠ è€…ã§ã‚ã‚‹ã‚»ã‚ュリティエンジニアã®åµã‚’対象ã«ã€ Web ã®ã‚»ã‚ュリティã®çŸ¥è¦‹ãŒã€å®Ÿéš›ã©ã®ã‚ˆã†ã« Web アプリ開発ã«åæ˜ ã•ã‚Œã¦ã„ã‚‹ã‹ã€ã‚‚ã—ãã¯ã©ã†åæ˜ ã™ã¹ãã‹ã‚’ã€ãƒ•ãƒ¬ãƒ¼ãƒ ワークã®è¦–点ã‹ã‚‰è§£èª¬ã™ã‚‹ã“ã¨ã‚’目的ã¨ã—ã¦ã„ã¾ã™ã€‚ å°†æ¥ã€ Web ã®ã‚»ã‚ュリティã«èˆˆå‘³ã‚’æŒã£ãŸã‚¨ãƒ³ã‚¸ãƒ‹ã‚¢ãŒã€ãã®çŸ¥è¦‹ã‚’多ãã®é–‹ç™ºè€…ã«å•“è’™ã™ã‚‹æ‰‹æ®µã¨ã—ã¦ã€ãƒ•ãƒ¬ãƒ¼ãƒ ワークã«åæ˜ ã™ã‚‹ã¨ã„ã†ã®ã¯éžå¸¸ã«æœ‰åŠ¹ãªæ–¹æ³•ã§ã™ã€‚ ã“ã“ã§ã¯ãã®å®Ÿä¾‹ã¨ã—ã¦
Railsã®Deviseã§æœ€ä½Žé™ä»˜ä¸Žã—ãŸã„ã‚»ã‚ュリティè¨å®š - Qiita
Railsã§ä¼šå“¡æ©Ÿèƒ½ã‚’実装ã™ã‚‹ã®ã«ã‚ˆã使ã†gemã®Deviseã§ã™ãŒã€ 個人的ã«ã‚µãƒ¼ãƒ“ス作るãªã‚‰æœ€ä½Žé™ã“ã‚Œãらã„ã®è¨å®šã¯ã—ã¦ãŠã„ã¦æ¬²ã—ã„ãªãã¨æ€ã†ã€‚ ç°¡å˜ã«è¨å®šã§ãã¦æ‰‹è»½ã«ã‚»ã‚ュリティレベル上ã’れるã®ã§ã€ å¯ç”¨æ€§ãŒä¸‹ãŒã‚‰ãªã„範囲ã§èª¿æ•´ã—ã¦å°Žå…¥ã—ã¦æ¬²ã—ã„ã§ã™ã€‚ ##ãƒãƒƒã‚¯æ¡ä»¶ã®æœ‰åŠ¹åŒ–（時間ã§ã®ã¿è§£é™¤ã®å ´åˆï¼‰ deviseã®ãƒžã‚¤ã‚°ãƒ¬ãƒ¼ã‚·ãƒ§ãƒ³ãƒ•ã‚¡ã‚¤ãƒ«ã®ã‚³ãƒ¡ãƒ³ãƒˆéƒ¨åˆ†ã‚’調整ã—ã¾ã™ã€‚ コメントã«ä½¿ç”¨æ–¹æ³•ãªã©ã‚‚書ã„ã¦ã„ã‚‹ã®ã§ã€ è¦ä»¶ã«åˆã‚ã›ã¦ä½¿ã„分ã‘ã‚‹ã®ãŒè‰¯ã„ã§ã—ょã†ã€‚ 今回ã¯æ™‚é–“ã§ã®ã¿è§£é™¤ã™ã‚‹ã®ã§ä¸‹è¨˜ã®ã‚ˆã†ã«ã—ã¦ãŠãã¾ã™ã€‚ ※メールã§è§£é™¤ç”¨ã®ãƒˆãƒ¼ã‚¯ãƒ³é€ã£ãŸã‚Šã™ã‚‹å ´åˆãƒˆãƒ¼ã‚¯ãƒ³éƒ¨åˆ†ã‚‚ã„ã‚Šã¾ã™ã€‚
Rails ã‚»ã‚ュリティガイド | Rails ガイド
本ガイドã§ã¯ã€Webアプリケーション全般ã«ãŠã‘ã‚‹ã‚»ã‚ュリティã®å•é¡Œã¨ã€Railsã§ãれらã®å•é¡Œã‚’回é¿ã™ã‚‹æ–¹æ³•ã«ã¤ã„ã¦èª¬æ˜Žã—ã¾ã™ã€‚ ã“ã®ã‚¬ã‚¤ãƒ‰ã®å†…容: Rails組ã¿è¾¼ã¿ã®èªè¨¼æ©Ÿèƒ½ã‚¸ã‚§ãƒãƒ¬ãƒ¼ã‚¿ã®åˆ©ç”¨æ³• 本ガイドã§å–り上ã’られã¦ã„ã‚‹å•é¡Œã«å¯¾ã™ã‚‹ã‚ã‚‰ã‚†ã‚‹å¯¾ç– Railsã«ãŠã‘るセッションã®æ¦‚念ã€ã‚»ãƒƒã‚·ãƒ§ãƒ³ã«å«ã‚ã‚‹ã¹ãé …ç›®ã€æœ‰åãªã‚»ãƒƒã‚·ãƒ§ãƒ³æ”»æ’ƒ Webサイトを開ãã ã‘ã§ï¼ˆCSRFã«ã‚ˆã‚‹ï¼‰ã‚»ã‚ュリティå•é¡ŒãŒç™ºç”Ÿã™ã‚‹ã—ã㿠ファイルã®å–扱ã„上ã®æ³¨æ„ã€ç®¡ç†ã‚¤ãƒ³ã‚¿ãƒ¼ãƒ•ã‚§ã‚¤ã‚¹ã‚’æä¾›ã™ã‚‹éš›ã®æ³¨æ„äº‹é … ユーザーをæ£ã—ã管ç†ã™ã‚‹ï¼ˆãƒã‚°ã‚¤ãƒ³ãƒ»ãƒã‚°ã‚¢ã‚¦ãƒˆã®ã—ãã¿ã€ã‚らゆるレイヤã«ãŠã‘る攻撃方法） 最も有åãªã‚¤ãƒ³ã‚¸ã‚§ã‚¯ã‚·ãƒ§ãƒ³æ”»æ’ƒæ–¹æ³•ã®è§£èª¬ 1 ã¯ã˜ã‚ã« Webアプリケーションフレームワークã¯ã€Webアプリケーションã®é–‹ç™ºã‚’支æ´ã™ã‚‹ãŸã‚ã«ä½œã‚‰ã‚Œã¾ã—ãŸã€‚フレームワークã®ä¸ã«ã¯ã‚»ã‚ュリティを比較的高ã‚ã‚„ã™ã„ã‚‚ã®ã‚‚ã‚ã‚Šã¾ã™ã€‚実
Rails SQL Injection Examples
Overview The Ruby on Rails web framework provides a library called ActiveRecord which provides an abstraction for accessing databases. This page lists many query methods and options in ActiveRecord which do not sanitize raw SQL arguments and are not intended to be called with unsafe user input. Careless use of these methods can open up code to SQL Injection exploits. The examples here do not inclu
Railsã®CSRF対ç–ã®ä»•çµ„ã¿ã«ã¤ã„㦠- （2015å¹´ã¾ã§ã®ï¼‰odaillyjp blog
先日ã€Rails ã§é–‹ç™ºã—ã¦ã„ã‚‹ã¨ãã«æ„図ã—ãªã„ InvalidAuthenticityToken エラーãŒç™ºç”Ÿã—ã¦ã€ã™ã”ããƒãƒžã£ã¦ã—ã¾ã„ã¾ã—ãŸã€‚ãã®ã¨ãã« Rails ã®CSRF対ç–ã®ä»•çµ„ã¿ã«ã¤ã„ã¦èª¿ã¹ã¦ã¿ã¾ã—ãŸã®ã§ã€ãƒ–ãƒã‚°ã«æ®‹ã—ã¦ãŠãã¾ã™ã€‚ Rails ã®CSRFå¯¾ç– Rails ãŒç”Ÿæˆã—㟠ApplicationController ã«ã¯ä»¥ä¸‹ã®è¨˜è¿°ãŒã‚ã‚Šã¾ã™ã€‚ class ApplicationController < ActionController::Base # Prevent CSRF attacks by raising an exception. # For APIs, you may want to use :null_session instead. protect_from_forgery with: :exception end protect_from_forg
Rails SQL Injection Examplesã®ç´¹ä»‹
6. 脆弱性ã®ã‚るアプリケーション Copyright © 2010-2014 HASH Consulting Corp. 6 @books = Book.where( "publish = '#{params[:publish]}' AND price >= #{params[:price]}") 山田 祥寛 (è‘—) Ruby on Rails 4 アプリケーションプãƒã‚°ãƒ©ãƒŸãƒ³ã‚° 技術評論社 (2014/4/11) ã«è„†å¼±æ€§ã‚’åŠ ãˆã¾ã—ãŸw ※元本ã«è„†å¼±æ€§ãŒã‚ã‚‹ã‚ã‘ã§ã¯ã‚ã‚Šã¾ã›ã‚“ 7. UNION SELECTã«ã‚ˆã‚Šå€‹äººæƒ…å ±ã‚’çªƒå– Copyright © 2010-2014 HASH Consulting Corp. 7 priceã«ä»¥ä¸‹ã‚’入れる 1) UNION SELECT id,userid,passwd,null,mail,null,false,created_at,updated
ActiveRecordã®SQLインジェクションパターン
(Last Updated On: 2018å¹´10月7æ—¥)Railsã§å¤šç”¨ã•ã‚Œã¦ã„ã‚‹ActiveRecordã®ã‚¤ãƒ³ã‚¸ã‚§ã‚¯ã‚·ãƒ§ãƒ³ãƒ‘ターンを簡å˜ã«ç´¹ä»‹ã—ã¾ã™ã€‚出典ã¯rails-sqli.orgãªã®ã§ã‚ˆã‚Šè©³ã—ã„解説ã¯ã“ã¡ã‚‰ã§ç¢ºèªã—ã¦ãã ã•ã„。特ã«æ°—ã‚’ã¤ã‘ã‚‹å¿…è¦ãŒã‚ã‚‹ã¨æ€ã‚れる物ã®ã¿ã‚’ピックアップã—ã¾ã—ãŸã€‚ Exists?メソッド User.exists? params[:user] params[:user]ãªã©ã®ä½¿ã„æ–¹ã¯å±é™ºã§ã™ã€‚Railsã¯PHPãªã©ã¨åŒæ§˜ã«user[]ã¨ã„ã†ãƒ‘ラメーターã§é…列化ã—ã¾ã™ã€‚ ?user[]=1 ãŒå…¥åŠ›ã®å ´åˆã€ SELECT 1 AS one FROM "users" WHERE (1) LIMIT 1 ã¨ãªã‚Šä¸æ£ãªã‚¯ã‚¨ãƒªãŒå®Ÿè¡Œã•ã‚Œã¾ã™ã€‚ Calculateメソッド Calculateメソッドã¯SQLã®é›†ç´„関数を実行ã™ã‚‹ãƒ¡ã‚½ãƒƒãƒ‰ã§ã™ã€‚averageã€calcula
Rails Sessionã«CookieStore使ã£ãŸæ™‚ã®å•é¡Œç‚¹ - OAuth.jp
今日 @mad_p ã•ã‚“ã‹ã‚‰RTæ¥ã¦ãŸã“ã®ãƒ„イートã«é–¢ã—ã¦ã€ã¡ã‚‡ã£ã¨èª¿ã¹ãŸã®ã§ã¾ã¨ã‚ã¨ãã¾ã™ã€‚ Security Issue in Ruby on Rails Could Expose Cookies http://t.co/JlsXVEn4rZ — Ruby on Rails News (@RubyonRailsNews) September 25, 2013 å‰ææ¡ä»¶ Railsã§ã¯ãƒ‡ãƒ•ã‚©ãƒ«ãƒˆã§sessionã‚’cookieã«ã®ã¿ä¿å˜ã—ã¦ã€DBãªã‚Šmemcacheãªã‚Šã®server-side storageã«ã¯ä½•ã‚‚ä¿å˜ã—ã¾ã›ã‚“。 ã“ã‚ŒãŒCookieStoreã¨ã‹å‘¼ã°ã‚Œã¦ã‚‹ã‚„ã¤ã§ã™ã€‚ ã“ã®å ´åˆã®session cookieã¯ã€Railsã®session object (Hash object) ã‚’Marshal.dumpã—ã¦ãã‚Œã«ç½²åを付ã‘ãŸtokenã§ã™ã€‚ rails 4ã§ã¯ç½²å付ã‘る代
ã‚»ã‚ュアãªRuby on Rails環境を実ç¾ã™ã‚‹ã‚»ã‚ュリティãƒã‚§ãƒƒã‚«ãƒ¼Â·Hakiri MOONGIFT
Hakiriã¯Ruby製ã€MIT Licenseã®ã‚ªãƒ¼ãƒ—ンソース・ソフトウェアã§ã™ã€‚ Webサーãƒã®ã‚»ã‚ュリティã¯ä¸‡å…¨ã§ã—ょã†ã‹ã€‚ã§ãã‚‹ã ã‘ã®ã“ã¨ã¯ã—ã¤ã¤ã‚‚ã€ãã‚Œã§ã‚‚ãƒãƒ¼ã‚¸ãƒ§ãƒ³ã‚¢ãƒƒãƒ—ãŒé©åˆ‡ã«è¡Œã‚ã‚Œã¦ã„ãªã„å ´åˆã‚‚ã‚ã‚Šã¾ã™ã€‚特ã«å¤–部ã«å…¬é–‹ã•ã‚Œã‚‹Webサーãƒã‚„ã€ãã“ã‹ã‚‰æŽ¥ç¶šã•ã‚Œã‚‹ãƒ‡ãƒ¼ã‚¿ãƒ™ãƒ¼ã‚¹ã‚µãƒ¼ãƒã«ã¤ã„ã¦ã¯é‡ç‚¹çš„ã«ãƒã‚§ãƒƒã‚¯ãŒå¿…è¦ã§ã™ã€‚ãã“ã§ä½¿ã£ã¦ã¿ãŸã„ã®ãŒHakiriã§ã™ã€‚ 最åˆã«ãƒžãƒ‹ãƒ•ã‚§ã‚¹ãƒˆã‚’作æˆã—ã¾ã™ã€‚å¿…è¦ãªç®‡æ‰€ã‚’ä¿®æ£ã—ã¾ã™ã€‚ 後ã¯system:scanã§è‡ªå‹•çš„ã«ã‚·ã‚¹ãƒ†ãƒ ã®ãƒãƒ¼ã‚¸ãƒ§ãƒ³ãƒã‚§ãƒƒã‚¯ãŒå®Ÿè¡Œã•ã‚Œã¾ã™ã€‚ãƒãƒ¼ã‚«ãƒ«ã¨ã„ã†ã“ã¨ã‚‚ã‚ã£ã¦ãƒãƒ¼ã‚¸ãƒ§ãƒ³ã‚¢ãƒƒãƒ—を放置ã—éŽãŽã¦ã„ã¾ã™ã…。 ã‚»ã‚ãƒ¥ãƒªãƒ†ã‚£æƒ…å ±ã‚’ãƒªã‚¹ãƒˆã‚¢ãƒƒãƒ—ã§ãã¾ã™ã€‚ãŠã¨ãªã—ããƒãƒ¼ã‚¸ãƒ§ãƒ³ã‚¢ãƒƒãƒ—ã™ã‚‹ã®ãŒè‰¯ã„ã§ã™ã€‚ Hakiriã¯Webサービスã¨ã—ã¦å…¬é–‹ã•ã‚Œã¦ã„ã‚‹Hakiri Platformã®CUIクライアントã¨ã„ã†ä½ç½®ã¥ã‘ã§ã™ã€‚主ã«Ruby/R
Cookieã«ãƒã‚°ã‚¤ãƒ³IDã‚’ä¿å˜ã—ã¦ã¯ã„ã‘ãªã„
phpproã®Q&A掲示æ¿ã§ä¸‹è¨˜ã®è³ªå•ã‚’èªã¿ã¾ã—ãŸã€‚ ãƒã‚°ã‚¤ãƒ³ã®éš›ã«ã€ã‚¯ãƒƒã‚ーã«ãƒã‚°ã‚¤ãƒ³æƒ…å ±ã‚’ä¿å˜ã—ã€ãƒã‚°ã‚¢ã‚¦ãƒˆã®éš›ã«ã¯ã€ãƒ•ã‚©ãƒ¼ãƒ ã‚¿ã‚°ã®ä¸ã§POSTã§ãƒã‚°ã‚¢ã‚¦ãƒˆã®ç‚ºã®å€¤ã‚’飛ã°ã—ã€å€¤ã‚’å—ã‘å–ã£ãŸã‚‰ã‚¯ãƒƒã‚ーã®æœ‰åŠ¹æœŸé™ã‚’マイナスã«ã—ã¦ã‚¯ãƒƒã‚ãƒ¼æƒ…å ±ã‚’æ¶ˆã™ã¨ã„ã†ãƒã‚°ã‚¢ã‚¦ãƒˆå‡¦ç†ã‚’作ã£ã¦ã„ã¾ã™ã€‚ åŒä¸€ãƒšãƒ¼ã‚¸ã§ã®Cookieã§ã®ãƒã‚°ã‚¢ã‚¦ãƒˆå‡¦ç†ã‚ˆã‚Šå¼•ç”¨ クッã‚ーã«ãã®ã¾ã¾ãƒã‚°ã‚¤ãƒ³æƒ…å ±ã‚’ä¿æŒã™ã‚‹ã®ã¯ã‚ˆãã‚ã‚Šã¾ã›ã‚“ã。質å•ã‚’æ›´ã«èªã‚€ã¨ã€ä»¥ä¸‹ã®ã‚½ãƒ¼ã‚¹ãŒã‚ã‚Šã¾ã™ã€‚ setcookie("logid",$row["f_customer_logid"],time()+60*60*24); setcookie("point",$row["f_customer_point"],time()+60*60*24);ã©ã†ã‚‚ã€SQL呼ã³å‡ºã—ã®çµæžœã‹ã‚‰ãƒã‚°ã‚¤ãƒ³IDã‚’å–り出ã—ã€ãれをãã®ã¾ã¾Cookieã«ã‚»ãƒƒãƒˆã™ã‚‹ã“ã¨ã§ã€ãƒã‚°ã‚¤ãƒ³çŠ¶æ…‹
uu59ã®ãƒ¡ãƒ¢ | Rails4ã§ãƒ‡ãƒ•ã‚©ãƒ«ãƒˆã§å…¥ã‚‹turbolinksãŒã‚ªãƒ¼ãƒ—ンリダイレクタã¨åˆã‚ã•ã‚‹ã¨ä½•ã§ã‚‚ã§ãã¦ã‹ãªã‚Šå±é™º
Rails 4.0ã§å…¥ã‚‹turbolinksã§ã™ãŒã€ã“ã‚ŒãŒæœ‰åŠ¹ã ã¨ç„¡åŠ¹ã®ç’°å¢ƒã¨æ¯”ã¹ã¦ã‚»ã‚ュリティリスクãŒå¾®å¢—ã™ã‚‹ã¨ã„ã†è©±ã§ã™ã€‚具体的ã«ã¯Railsサービス内（åŒä¸€ãƒ›ã‚¹ãƒˆå†…）ã«ã‚ªãƒ¼ãƒ—ンリダイレクタãŒã‚ã‚Šã€CGMサイトã§ã‚ã‚‹ã¨ã‹ãƒ¦ãƒ¼ã‚¶ãƒ¼ãŒä»»æ„ã®ãƒªãƒ³ã‚¯ã‚’å¼µã‚Œã‚‹å ´åˆã«ã€æ‚ªæ„ã‚るスクリプトãŒãã®ã‚µãƒ¼ãƒ“スã®ãƒ›ã‚¹ãƒˆä¸‹ã§å®Ÿè¡Œã•ã‚Œã¦ã—ã¾ã†ã€‚ã¨ã„ã†ã®ã‚’malaã•ã‚“ã«æŒ‡æ‘˜ã•ã‚Œã¾ã—ãŸã€‚ Railsã§ã‚ã‚Œã°åŸºæœ¬çš„ã«redirect_to :action => "show", :id => @model.idã¿ãŸã„ãªæ„Ÿã˜ã§æ›¸ã„ã¦ãƒªãƒ€ã‚¤ãƒ¬ã‚¯ãƒˆã—ã¦ã‚‹ã ã‚ã†ã‘ã©ã€redirect_to params[:hoge]ã¿ãŸã„ã«æ›¸ã„ã¦ã‚‹å ´åˆã¯?hoge=http://evil.example.comã¨ã‹ã§evilãªãƒšãƒ¼ã‚¸ã«é£›ã¶ã—ã€turbolinksã¨é–¢ä¿‚ãªãよã‚ã—ããªã„ã®ã§æš‡ã‚’見ã¦ç›´ã—ã¾ã—ょã†ã€‚ 話を戻ã—ã¦turbolinksã
rails3以é™ã®WEBアプリケーションã«ã‚ã‚ŠãŒã¡ãªXSS - hanagemanã®æ—¥è¨˜ã§ã¯ãªã„
明示ã—ãªãã¦ã‚‚viewã§ã®å‡ºåŠ›ã‚’HTMLエスケープã—ã¦ãれるã®ã§ç„¡è¦æˆ’ã«ãªã£ã¦ã‚‹ html_escapeãŒã‚·ãƒ³ã‚°ãƒ«ã‚¯ã‚©ãƒ¼ãƒˆã‚’エスケープã—ãªã„ã¨ã„ã†èªè˜ãŒãªã„ viewã§javascriptを書ãã¨ãã«åŸ‹ã‚込む値をescape_javascriptã—ã¦ãªã„ ã“ã®ã‚ãŸã‚Šã®è¦ç´ ãŒçµ„ã¿åˆã‚ã•ã‚‹ã¨XSSãŒã†ã¾ã‚Œã‚„ã™ã„ã¨ã„ã†è©±ã‚’書ãã¾ã™ã€‚ã‚ã‹ã£ã¦ã‚‹äººã«ã¨ã£ã¦ã¯ã‚¯ã‚½ã¿ãŸã„ãªå†…容ãªã®ã§èªã‚€æ™‚é–“ãŒã‚‚ã£ãŸã„ãªã„ã‹ã‚‚ã—ã‚Œã¾ã›ã‚“。ãŸã¨ãˆã°js.erbã§ã“ã‚“ãªãµã†ã«æ›¸ã„ã¦ãŸã¨ã—㦠var article_id = '<%= @article_id %>'; @article_idãŒä¿¡ç”¨ã§ãる値ã ã¨ã„ã†å‰æã ã¨å•é¡Œãªã„ã®ã§ã™ãŒã€controller㧠@article_id = params[:article][:id] 実ã¯ã“ã‚“ãªã“ã¨ã—ã¦ã‚‹ã ã‘ã§ã‚ã¨ã¯ç´ 通ã—ã£ã¦ã„ã†äººã‚‚ã€ã‚‚ã—ã‹ã—ãŸã‚‰ã„ã‚‹ã‹ã‚‚ã—ã‚Œã¾ã›ã‚“。è¦ã¯å¤–ã‹ã‚‰æ¸¡
1
ランã‚ング
障害
ランã‚ング
リリースã€éšœå®³æƒ…å ±ãªã©ã®ã‚µãƒ¼ãƒ“スã®ãŠçŸ¥ã‚‰ã›
最新ã®äººæ°—エントリーã®é…ä¿¡
j次ã®ãƒ–ックマーク
kå‰ã®ãƒ–ックマーク
lã‚ã¨ã§èªã‚€
eコメント一覧を開ã
oページを開ã
http://railssecurity.com/
Blog
{{#tags}}- {{label}}
{{/tags}}