オワスプナイトカンサイ ～OWASPãƒãƒ¼ã‚«ãƒ«ãƒãƒ£ãƒ—ターミーティング in 関西 10th～ã§ã”発表ã„ãŸã ã„㟠æ±äº¬å¤§å¦æƒ…å ±å¦ç’°ã€€ç‰¹ä»»ç ”究員　藤本万里åã•ã‚“ã®è³‡æ–™ã§ã™
「最近ã®webアプリケーションã®è„†å¼±æ€§ã‚„ãれを悪用ã™ã‚‹æ”»æ’ƒã®å‹•å‘ã€OWASP Kansai
オワスプナイトカンサイ ～OWASPãƒãƒ¼ã‚«ãƒ«ãƒãƒ£ãƒ—ターミーティング in 関西 10th～ã§ã”発表ã„ãŸã ã„㟠æ±äº¬å¤§å¦æƒ…å ±å¦ç’°ã€€ç‰¹ä»»ç ”究員　藤本万里åã•ã‚“ã®è³‡æ–™ã§ã™
多様化ã™ã‚‹Webアプリケーションã¸ã®æ”»æ’ƒ
ç¬¬ï¼‘å›žã€Œæ©Ÿå¯†æƒ…å ±ã«åˆæ³•çš„ã«è¿‘ã¥ã‘ã‚‹Webアプリケーションを守れã€ã§ã¯ã€ã€ŒUnvalidated Input（許å¯ã•ã‚Œã¦ã„ãªã„入力）ã€ã«ãŠã‘る「Hiddenフィールドマニピュレーションã€ã®æ‰‹æ³•ã«ã¤ã„ã¦èª¬æ˜Žã—ãŸã€‚ã„ã¾ã¾ã§ã‚¢ãƒ—リケーションセã‚ュリティã«æºã‚らãªã‹ã£ãŸæ–¹ã«ã‚‚ã€WebサイトãŒæ”»æ’ƒã•ã‚Œã‚‹ãƒ¡ã‚«ãƒ‹ã‚ºãƒ ãŒã€æ„外ã«å˜ç´”ãªã‚‚ã®ã§ã‚ã‚‹ã“ã¨ãŒç†è§£ã—ã¦ã‚‚らãˆãŸã¨æ€ã†ã€‚ å‰å›žã®å†…容ã«å¯¾ã—ã¦ã€å‘¨å›²ã‹ã‚‰ã„ãã¤ã‹è³ªå•ã‚’もらã£ãŸã€‚「ã“ã‚“ãªã“ã¨æ›¸ã„ã¦ã„ã„ã®ã‹ï¼Ÿã€ã¨ã„ã†ã‚‚ã®ã§ã‚る。ã¤ã¾ã‚Šã€èª°ã‚‚ãŒç°¡å˜ã«æ”»æ’ƒã‚’è¡Œãˆã‚‹ã“ã¨ã‚’示ã™ã“ã¨ã«ã‚ˆã£ã¦ã€ã‹ãˆã£ã¦è¢«å®³ã‚’å¢—åŠ ã•ã›ã‚‹ã®ã§ã¯ãªã„ã‹ã€ã¨ã„ã†æ‡¸å¿µã‚’æŒãŸã‚ŒãŸã‚ã‘ã 。今回ã®è¨˜äº‹ã§ã¯ã€ã‚ˆã‚Šå¤šãã®æ”»æ’ƒæ‰‹æ³•ã‚’説明ã—ã¦ã„ããŸã‚ã€æœ¬è«–ã«ç§»ã‚‹å‰ã«ã“ã†ã„ã£ãŸè³ªå•ã«å›žç”ã—ã¦ãŠããŸã„。 ç§ãŸã¡ã¯ã™ã§ã«æœ¬é€£è¼‰ã§è¨˜ã—ã¦ã„るよã†ãªè„…å¨ã®ä¸ã«ã„る。ãã‚Œã¯ã€Webアプリケーションセã‚ュリティã«æºã‚ã£ãŸã“ã¨ã®ã‚
PHP5.3.7ã®crypt関数ã«è‡´å‘½çš„ãªè„†å¼±æ€§(Bug #55439)
PHP5.3.7ã®crypt関数ã«ã¯è‡´å‘½çš„ãªè„†å¼±æ€§ãŒã‚ã‚Šã¾ã™ã€‚最悪ã®ã‚±ãƒ¼ã‚¹ã§ã¯ã€ä»»æ„ã®ãƒ‘スワードã§ãƒã‚°ã‚¤ãƒ³ã§ãã¦ã—ã¾ã†ã¨ã„ã†äº‹æ…‹ãŒç™ºç”Ÿã—ã¾ã™ã€‚該当ã™ã‚‹åˆ©ç”¨è€…ã¯ã€è‡³æ€¥ã€å¾Œè¿°ã™ã‚‹å›žé¿ç–を実施ã™ã‚‹ã“ã¨ã‚’推奨ã—ã¾ã™ã€‚ æ¦‚è¦ PHPã®crypt関数ã¯ã€ã‚½ãƒ«ãƒˆä»˜ããƒãƒƒã‚·ãƒ¥å€¤ã‚’ç°¡å˜ã«æ±‚ã‚ã‚‹ã“ã¨ãŒã§ãã¾ã™ï¼ˆå…¬å¼ãƒªãƒ•ã‚¡ãƒ¬ãƒ³ã‚¹ï¼‰ã€‚crypt関数ã®ãƒãƒƒã‚·ãƒ¥ã‚¢ãƒ«ã‚´ãƒªã‚ºãƒ ã¨ã—ã¦MD5を指定ã—ãŸå ´åˆã€ã‚½ãƒ«ãƒˆã®ã¿ãŒå‡ºåŠ›ã•ã‚Œã€ãƒãƒƒã‚·ãƒ¥å€¤ãŒç©ºã«ãªã‚Šã¾ã™ã€‚ã“ã‚Œã¯ã€crypt関数ã®çµæžœãŒã‚½ãƒ«ãƒˆã®ã¿ã«ä¾å˜ã—ã€ãƒ‘スワードã«ã¯å½±éŸ¿ã•ã‚Œãªã„ã“ã¨ã‚’æ„味ã—ã€crypt関数をèªè¨¼ã«ç”¨ã„ã¦ã„ã‚‹å ´åˆã€ä»»æ„ã®ãƒ‘スワードã§ãƒã‚°ã‚¤ãƒ³ã«æˆåŠŸã™ã‚‹å¯èƒ½æ€§ãŒã‚ã‚Šã¾ã™ã€‚ 影響をå—ã‘るアプリケーション crypt関数を用ã„ã€ãƒãƒƒã‚·ãƒ¥ã‚¢ãƒ«ã‚´ãƒªã‚ºãƒ ã¨ã—ã¦MD5を指定ã—ã¦ã„るアプリケーション。 環境ã«ã‚‚ä¾å˜ã—ã¾ã™ãŒã€ãƒ‡ãƒ•ã‚©ãƒ«ãƒˆãŒMD5ã®å ´åˆã‚‚ã‚ã‚Šã¾ã™ã€‚ç†è€…ã®ãƒ†ã‚¹ãƒˆç’°å¢ƒ
ヤフーã«ãŠã‘るインプットãƒãƒªãƒ‡ãƒ¼ã‚·ãƒ§ãƒ³ã€Œä½•ã‚‚ä¿¡ã˜ã‚‹ãªã€ (Yahoo! JAPAN Tech Blog)
ãƒ¤ãƒ•ãƒ¼æ ªå¼ä¼šç¤¾ã¯ã€2023å¹´10月1æ—¥ã«LINEãƒ¤ãƒ•ãƒ¼æ ªå¼ä¼šç¤¾ã«ãªã‚Šã¾ã—ãŸã€‚LINEãƒ¤ãƒ•ãƒ¼æ ªå¼ä¼šç¤¾ã®æ–°ã—ã„ブãƒã‚°ã¯ã“ã¡ã‚‰ã§ã™ã€‚LINEヤフー Tech Blog ã“ã‚“ã«ã¡ã¯ã€R＆D統括本部 開発推進室 ã‚»ã‚ュリティプラットフォーム技術 ã‚»ã‚ュリティスペシャリストã®æˆ¸ç”°ã€€è–«ã§ã™ã€‚ 今回ã¯ã€ç§ãŸã¡ãŒæ™®æ®µã‹ã‚‰ãƒ¤ãƒ•ãƒ¼ã®ã‚·ã‚¹ãƒ†ãƒ ã«å¯¾ã™ã‚‹å…¥åŠ›ã«ã©ã®ã‚ˆã†ãªæ³¨æ„を払ã£ã¦ã„ã‚‹ã®ã‹ã€ãã®ã„ãã¤ã‹ã‚’ã”紹介致ã—ã¾ã™ã€‚ 入力ã¨ã¯? Webサイトをé‹å–¶ã—ã¦ã„ã‚‹å ´åˆã€ã©ã®ã‚ˆã†ãªå…¥åŠ›ãŒã‚ã‚‹ã§ã—ょã†ã‹ï¼Ÿ ãŸã¨ãˆã°ã€Webサービスã«ã¯ã€ä»¥ä¸‹ã®å…¥åŠ›ãŒã‚ã‚Šã¾ã™ã€‚ Cookie URL GET/POSTã®ãƒ‡ãƒ¼ã‚¿ ファイルã®ã‚¢ãƒƒãƒ—ãƒãƒ¼ãƒ‰ ãã®ä»–リクエストヘッダ ãã®ã»ã‹ã«ã‚‚ã„ãã¤ã‚‚ã‚ã‚Šã¾ã™ã€‚ 環境変数 è¨å®šãƒ•ã‚¡ã‚¤ãƒ« クãƒãƒ¼ãƒ©ãŒå–å¾—ã—ãŸãƒ‡ãƒ¼ã‚¿ パートナーä¼æ¥ã®APIã‹ã‚‰å–å¾—ã—ãŸãƒ‡ãƒ¼ã‚¿ï¼ˆXMLã‚„JSONãªã©ï¼‰ パートナーä¼æ¥ã®å…¥ç¨¿ç”¨ F
1
リリースã€éšœå®³æƒ…å ±ãªã©ã®ã‚µãƒ¼ãƒ“スã®ãŠçŸ¥ã‚‰ã›
最新ã®äººæ°—エントリーã®é…ä¿¡
j次ã®ãƒ–ックマーク
kå‰ã®ãƒ–ックマーク
lã‚ã¨ã§èªã‚€
eコメント一覧を開ã
oページを開ã
{{#tags}}- {{label}}
{{/tags}}