https://jp.techcrunch.com/2010/10/26/20101024firesheep-in-wolves-clothing-app-lets-you-hack-into-twitter-facebook-accounts-easily/
グーグルã€ã‚¦ã‚§ãƒ–アプリã®è„†å¼±æ€§æ¤œæŸ»ãƒ„ール「skipfishã€ã‚’公開 - builder by ZDNet Japan
Googleã¯ç±³å›½æ™‚é–“3月19æ—¥ã€ã‚ªãƒ¼ãƒ—ンソースã®ã‚¦ã‚§ãƒ–ã‚»ã‚ュリティスã‚ャナ「skipfishã€ã‚’公開ã—ãŸã€‚ウェブアプリケーションをスã‚ャンã—ã¦ã€ã‚»ã‚ュリティホールã®æœ‰ç„¡ã‚’調ã¹ã‚‰ã‚Œã‚‹ã‚‚ã®ã 。 skipfishã§ã‚¦ã‚§ãƒ–アプリをスã‚ャンã™ã‚‹ã¨ã€ãƒ–ラインドSQLã‚„XMLインジェクションã¨ã„ã£ãŸã€Œå·§å¦™ãªä»•æŽ›ã‘ã€ã‚’å«ã‚€è„†å¼±æ€§ã®æœ‰ç„¡ãŒç¢ºèªã§ãã‚‹ã¨ã€Googleã®é–‹ç™ºè€…Michal Zalewskiæ°ã¯skipfishã®wikiã§è¿°ã¹ã¦ã„る。 skipfishã¯å¯¾è±¡ã‚µã‚¤ãƒˆã¸ã®å†å¸°çš„クãƒãƒ¼ãƒ«ã¨è¾žæ›¸ãƒ™ãƒ¼ã‚¹ã®èª¿æŸ»ã‚’実行ã—ã€ãã®çµæžœã‚’表示ã—ãŸã‚¤ãƒ³ã‚¿ãƒ©ã‚¯ãƒ†ã‚£ãƒ–ãªã‚µã‚¤ãƒˆãƒžãƒƒãƒ—を作æˆã™ã‚‹ã€‚脆弱性ãŒã‚ã‚‹å ´åˆã«ã¯å¼·èª¿è¡¨ç¤ºã™ã‚‹ã€‚ã¾ãŸã€skipfishãŒä½œæˆã™ã‚‹æœ€çµ‚レãƒãƒ¼ãƒˆã¯ã€ã‚»ã‚ュリティ評価ã®åˆ¤æ–ææ–™ã¨ã—ã¦åˆ©ç”¨ã§ãる。 åŒæ§˜ã®ã‚¹ã‚ャンツールã¯ã€ã€ŒNiktoã€ã‚„「Nessusã€ãªã©ã€ã™ã§ã«å•†ç”¨ã§ã‚‚オープンソースã§ã‚‚複数出回ã£
é«˜æœ¨æµ©å…‰ï¼ è‡ªå®…ã®æ—¥è¨˜ - ã¯ã¦ãªã®ã‹ã‚“ãŸã‚“ãƒã‚°ã‚¤ãƒ³ãŒã‚ªãƒƒãƒ”ãƒã‚²ã ã£ãŸä»¶
â– ã¯ã¦ãªã®ã‹ã‚“ãŸã‚“ãƒã‚°ã‚¤ãƒ³ãŒã‚ªãƒƒãƒ”ãƒã‚²ã ã£ãŸä»¶ ã‹ã‚“ãŸã‚“ãƒã‚°ã‚¤ãƒ³æ‰‹æ³•ã®è„†å¼±æ€§ã«å¯¾ã™ã‚‹è²¬ä»»ã¯èª°ã«ã‚ã‚‹ã®ã‹, 徳丸浩ã®æ—¥è¨˜, 2010å¹´2月12æ—¥ ã¨ã„ã£ãŸå•é¡ŒãŒæŒ‡æ‘˜ã•ã‚Œã¦ã„ã‚‹ã¨ã“ã‚ã ãŒã€ãれ以å‰ã®è©±ãŒã‚ã‚‹ã®ã§æ›¸ã„ã¦ãŠã‹ãã°ãªã‚‰ãªã„。 昨年å¤ã®è©±ã€‚ 2009å¹´8月åˆã‚ã€ã¯ã¦ãªãƒ–ックマーク界隈ã§ã¯ã€ã‚±ãƒ¼ã‚¿ã‚¤ã‚µã‚¤ãƒˆã®ã€ŒiモードIDã€ãªã©ã®å¥‘約者固有IDを用ã„ãŸã€ã„ã‚ゆる「ã‹ã‚“ãŸã‚“ãƒã‚°ã‚¤ãƒ³ã€æ©Ÿèƒ½ã®å®Ÿè£…ãŒå±ã†ã„ã¨ã„ã†è©±é¡Œã§æŒã¡åˆ‡ã‚Šã ã£ãŸã€‚ã‹ã‚“ãŸã‚“ãƒã‚°ã‚¤ãƒ³å®Ÿè£…ã®ãŸã‚ã«å¿…é ˆã®ã€IPアドレス制é™*1ã‚’çªç ´ã§ãã¦ã—ã¾ã†ã®ã§ã¯ãªã„ã‹ã¨ã„ã†è©±ã 。 実際ã«å‹•ã„ã¦ã™ã使ãˆã‚‹ã€ŒPHPã«ã‚ˆã‚‹ã‹ã‚“ãŸã‚“ãƒã‚°ã‚¤ãƒ³ã‚µãƒ³ãƒ—ルã€ã‚’作ã£ã¦ã¿ã¾ã—ãŸ, ke-tai.org, 2009å¹´7月31æ—¥ SoftBank Mobileã®æºå¸¯ç”¨Gatewayã‚’PCã§é€šã‚‹æ–¹æ³•ã®ãƒ¡ãƒ¢, Perlã¨ã‹memoã¨ã‹æ—¥è¨˜ã¨ã‹ã€‚, 2009å¹´8月1æ—¥ ソフ
UTF-8ã®å†—é•·ãªã‚¨ãƒ³ã‚³ãƒ¼ãƒ‰ã¨ã¯ä½•ã§ã€ãªã‚“ã§ãã‚ŒãŒã‚»ã‚ュリティ的ã«å±ãªã„ã®ã‹ï¼Ÿã‚’æ–‡å—コード知è˜ãƒ¬ãƒ´ã‚§ãƒ«3ãらã„ã®å‡¡ãƒ—ãƒã‚°ãƒ©ãƒžãŒè€ƒãˆã¦ã¿ã‚‹ - tohokuaikiã®ãƒãƒ©ã‚·ã®è£
何故ã‹ã‚ãŸã‚Šå‰ã«ãªã‚‰ãªã„æ–‡å—エンコーディングãƒãƒªãƒ‡ãƒ¼ã‚·ãƒ§ãƒ³ | yohgaki's blog ã£ã¦ã‚るよã†ã«ã€ã„ã¾ã„ã¡æ–‡å—コードã®ä¸æ£ãªåˆ¤å®šã«ã‚ˆã‚‹å±é™ºæ€§ã£ã¦ã®ãŒåˆ†ã‹ã£ã¦ãªã„。 SJISã®å•é¡Œã¯ã€ï¼ˆ2/3）SQLã‚¤ãƒ³ã‚¸ã‚§ã‚¯ã‚·ãƒ§ãƒ³ã‚’æ ¹çµ¶ï¼ã‚»ã‚ュア開発ã®æ¥µæ„ - 第5回■注目ã•ã‚Œã‚‹æ–‡å—コードã®ã‚»ã‚ュリティå•é¡Œï¼šITproã®è¨˜äº‹ãŒã‚ã‹ã‚Šã‚„ã™ã‹ã£ãŸã€‚ ã¨ã„ã†ã‹ã€ã‚„ã£ã±ã‚ŠPHP使ã£ã¦ã‚‹ã¨èª°ã§ã‚‚一度ã¯ã€Œãªã‚“ã˜ã‚ƒã“ã®ã€Žï¿¥ã€ã¯ï¼Ÿã€ã£ã¦æ€ã†ã‚‚ã‚“ãªã‚“ã§ã€‚ ãªã‚‹ã»ã©ã€ç¢ºã‹ã«â†“ã®å›³ã®ã‚ˆã†ã«ã€Œã‚ã‚‹ãƒã‚¤ãƒˆã€ãŒ2ã¤ã®æ„味をæŒã¤ã£ã¦ã„ã†æ–‡å—コード形態ã¯ã‚„ã°ã„ã‚“ã ãªã¨ã€‚ EUC-JPã¯ãã‚“ãªã“ã¨ã¯ã—ãªã„ã§ã€1ã¤ã®ãƒã‚¤ãƒˆã«ã¯1ã¤ã®æ„味ã—ã‹å–らã›ãªã„。 ã ã‘ã©ã€ã“ã‚Œã§ã‚‚æ–‡å—化ã‘ãŒèµ·ã“ã‚‹ã“ã¨ãŒã‚る。経験的ã«ã¯ã€ã€Œãƒžãƒ«ãƒãƒã‚¤ãƒˆã‚’XXæ–‡å—ã§åˆ‡ã‚Šè½ã¨ã—ãŸã„ã€ã¨ã‹ã‚„ã£ãŸå ´åˆã€‚ã¡ã‚ƒã‚“ã¨æ–‡å—コードを判定ã—ã¦ãれるPHPã§ã„ãˆã°mb_subst
何故ã‹ã‚ãŸã‚Šå‰ã«ãªã‚‰ãªã„æ–‡å—エンコーディングãƒãƒªãƒ‡ãƒ¼ã‚·ãƒ§ãƒ³
(Last Updated On: 2018å¹´8月8æ—¥)ç§ãŒ4å¹´å‰ï¼ˆ2005年）ã«ã€ŒWebアプリセã‚ュリティ対ç–入門ã€ã‚’執ç†ã—ã¦ã„ãŸæ™‚ã«ã¯ã€æ—¢ã«å£Šã‚ŒãŸæ–‡å—エンコーディングãªã©ã®ä¸æ£ãªæ–‡å—エンコーディングを利用ã—ãŸJavaScriptインジェクションやSQLインジェクション攻撃ã¯æ¯”較的広ã知られã¦ã„ã¾ã—ãŸã€‚ã“ã®å•é¡Œã¯å½“時ã®ã‚¹ãƒ©ãƒƒã‚·ãƒ¥ãƒ‰ãƒƒãƒˆã‚¸ãƒ£ãƒ‘ンã§ã‚‚å–り上ã’られã¦ã„ã¾ã—ãŸã€‚/.ã§å–り上ã’られãŸã®ã§ã€ãã“らä¸ã®Webサイトã¨ãƒ¦ãƒ¼ã‚¶ãŒè¢«å®³ã«åˆã†ã®ã§ã¯ï¼Ÿã¨ãƒ’ヤヒヤã—ãŸã®ã§è‰¯ã覚ãˆã¦ã„ã¾ã™ã€‚ ä¸æ£ãªæ–‡å—エンコーディングを利用ã—ãŸæ”»æ’ƒã¯ã€æ–‡å—ã‚¨ãƒ³ã‚³ãƒ¼ãƒ‡ã‚£ãƒ³ã‚°ã‚’åŽ³æ ¼ã«å–り扱ã„ã€æ–‡å—エンコーディングをãƒãƒªãƒ‡ãƒ¼ã‚·ãƒ§ãƒ³ã™ã‚Œã°ç„¡ããªã‚Šã¾ã™ã€‚ã“ã‚Œã‚’æ€ ã‚‹ã¨ã€ã‚·ã‚¹ãƒ†ãƒ ã®ã©ã“ã§å•é¡ŒãŒç™ºç”Ÿã™ã‚‹ã‹äºˆæƒ³ã§ããªããªã‚Šã¾ã™ã€‚ã¤ã¾ã‚Šã€ã„ã„åŠ æ¸›ã«æ–‡å—エンコーディングをå–り扱ã†ã¨å®‰å…¨ãªã‚·ã‚¹ãƒ†ãƒ ã¯ä½œã‚Œãªã„ã®ã§ã™ã€‚ å‚考：エンジニアå‘ã‘ã«
ECサイトã‹ã‚‰65万人ã®æƒ…å ±æ¼æ´© 20人ãŒ70時間，ä¸çœ ä¸ä¼‘ã§å¯¾å¿œ
1. 8万ã®ã‚«ãƒ¼ãƒ‰æƒ…å ±ã‚’å«ã‚€65万人ã®å€‹äººæƒ…å ±ãŒæ¼æ´©ã—，セã‚ュリティをã„ã¡ã‹ã‚‰è¦‹ç›´ã—㟠2. æ¼æ´©ãŒåˆ¤æ˜Žã—ãŸç›´å¾Œã¯å»¶ã¹20人ãŒ3日間，夜を徹ã—ã¦ä½œæ¥ã«å½“ãŸã£ãŸ 3. ã‚«ãƒ¼ãƒ‰æƒ…å ±ã®ç®¡ç†ã‚’第三者ã«ä»»ã›ï¼ŒWAFã‚’å°Žå…¥ã™ã‚‹ãªã©å®‰å…¨æ€§ã‚’高ã‚㟠「ãˆã‚‰ã„ã“ã¨ã«ãªã£ã¦ã—ã¾ã£ãŸã€‚覚悟ã›ãªã‚ã‹ã‚“ãªã€ã€‚ 2008å¹´7月10æ—¥ã®æ·±å¤œã®ã“ã¨ã€‚アウトドア用å“や釣り具ã®è²©å£²ã§å¹´é–“40億円を売り上ã’ã‚‹ECサイト「ナãƒãƒ¥ãƒ©ãƒ ã€ã‚’é‹å–¶ã™ã‚‹ãƒŸãƒãƒ«ãƒ´ã‚¡ãƒ»ãƒ›ãƒ¼ãƒ«ãƒ‡ã‚£ãƒ³ã‚°ã‚¹ï¼ˆå½“時ã®ç¤¾åã¯ãƒŠãƒãƒ¥ãƒ©ãƒ ，8月1æ—¥ã«æŒã¡æ ªä¼šç¤¾ã¨ã—ã¦æ”¹ç§°ï¼‰ã®ä¸å³¶æˆæµ©æ°ï¼ˆä»£è¡¨å–ç· å½¹ä¼šé•·å…¼ç¤¾é•·CEO）ã¯ï¼Œå‰µæ¥ä»¥æ¥ã®å±æ©Ÿã«ç›´é¢ã—ã¦ã„ãŸã€‚ナãƒãƒ¥ãƒ©ãƒ ã®ã‚µã‚¤ãƒˆã‹ã‚‰ï¼Œã‚¯ãƒ¬ã‚¸ãƒƒãƒˆã‚«ãƒ¼ãƒ‰æƒ…å ±ã‚’å«ã‚€å€‹äººæƒ…å ±ãŒã»ã¼ç¢ºå®Ÿã«æ¼æ´©ã—ã¦ã„ãŸã“ã¨ãŒåˆ¤æ˜Žã—ãŸã®ã 。大阪市ä¸å¤®åŒºã®æœ¬ç¤¾ä¼šè°å®¤ã«é›†ã¾ã£ãŸãƒ¡ãƒ³ãƒãƒ¼ã¯çš†é’ã–ã‚ã¦ã„ãŸã€‚ ã¾ãšå–り組んã ã®ã¯è¢«å®³ã®æ‹¡å¤§ã‚’防ãã“ã¨ï¼ˆå›³1）。丸3日間ã§ä¸€æ°—ã«å¯¾
1
リリースã€éšœå®³æƒ…å ±ãªã©ã®ã‚µãƒ¼ãƒ“スã®ãŠçŸ¥ã‚‰ã›
最新ã®äººæ°—エントリーã®é…ä¿¡
j次ã®ãƒ–ックマーク
kå‰ã®ãƒ–ックマーク
lã‚ã¨ã§èªã‚€
eコメント一覧を開ã
oページを開ã
Google Code Archive - Long-term storage for Google Code Project Hosting.
{{#tags}}- {{label}}
{{/tags}}