やぁ、みんな，元気？とくまるひろしです。今日はSession Fixation攻撃の方法をこっそり教えちゃうよ。 いつもは防御側で漢字の名前でやってるんだけど，きょうは攻撃側ということで，名乗りもひらがなに変えたんだ。だってさ，今度デブサミでご一緒するはせがわようすけさんとか，はまちちゃんとか，ひらがなの人たちの方が格好良さそうじゃないか。 では始めよう。 このエントリは、http://blog.tokumaru.org/2009/01/introduction-to-session-fixation-attack.html に移転しました。恐れ入りますが、続きは、そちらをご覧ください。

前編「有事のために……ポリシー作りのキホンを伝授」ではセキュリティポリシーの枠組みとなる、「基本セキュリティポリシー」の作成までを行った。今回は、その下位ポリシーとなる各企業資産の「利用規定」を作成したい。 まず始めに、セキュリティポリシーで保護すべき資産をリストアップしなければならない。以下に一般的に想定される項目を挙げておく。 デスクトップPC ノートPC（モバイルコンピュータ） サーバ群 ルータ群 電子メールシステム アプリケーションデータ 上記に関して、 誰が管理するのか 誰が利用しているのか 業務を行うに当たり、どの程度重要か どのように管理しているのか どのように保護しているのか という視点でチェックし、利用規定で取り扱う資産をリストアップする。 資産をリストアップしたら、早速個々の利用規定を策定していきたい。各利用規定は同じ様式で、一部では重複し、また一部では似通った内容にな

突っ込み頂いたから返信します。 via 岩本隆史の日記帳 さん 「こんにちは」から始まる1行のみmain.phpに書かれているということだろう。 このコード、htmlspecialcharsの第2引数が「ENT_QUOTES」でなかったらどんな問題があるというのか。私にはまったく分からない。 「いや、問題がある」という方は、高木浩光さんの下記記事も批判してみてはどうか。 http://d.hatena.ne.jp/IwamotoTakashi/20080411/p1 こんな簡単なコードに一々 目くじら立てて、ENT_QUOTES 漏れを突っ込むなよって事でしょうか？ それなら「セキュリティを気にしましょうね」と啓蒙している web デザイナ向けの記事で、エスケープ漏れのあるコードを提示していることです。 これを読んだ PHP 初心者が htmlspecialchars に第二引数、第三引数

(Last Updated On: 2014年12月5日)LAMPセキュリティを強化する4つの方法 http://enterprisezine.jp/article/detail/311 書いてある情報は有用な事も記載されていますが、偏狭な視点からの記述により誤解を招く記事になっていると考えられます。著者はセキュリティの専門家ではないようなので仕方ないかも知れませんが、間違った認識は有害です。 # 原本は読んでいません。もしかすると日本語訳にも問題があるのかも知れません。 実行できる最も重要な対策は、PHPを使わないことです。腐った果物を導入する前に、以下に目を通してください。 後にPerl/Ruby/Pythonの方がかなり安全である旨の記述があります。メモリ管理が必要ない同じスクリプティング言語のレベルで「Perl/Ruby/Pythonを使えばセキュアなアプリケーションができる」と考

Web サービスのセキュリティホールによる問題を回避する自衛策として「サービスを使わない時はログアウトする」というのがあるが、Amazon はログアウト(サインアウト)方法がわかりにくい。Amazon には普通にあるような「ログアウト」ボタンに相当するものがない。 ではどうやってサインアウトするかというと、 画面に出てくる「××さんではない場合、サインインしてください」の「サインイン」のリンクをクリックして、 サインインの画面で上の方に並んでいるタブの左端にある「ようこそ」タブをクリックするとサインアウトしてトップ画面に飛ぶ。 「こんにちは。」と表示されるのを確認。サインイン中は「こんにちは、××さん。」と表示される。「こんにちはこんにちは！」と表示されていたらはまちちゃんがなにか悪いことをしているので必死で逃げること。 これは ヘルプ > アカウントサービス > サインアウト に書いてあ

こんにちは！ Amazonほしい物リスト、すごい話題になってますね！ なんでも、メールアドレスで検索すればAmazonに登録してある本名がでてくる (ケースもある) とか…。 で、さっそくぼくも試してみたよ！ ほしい物リストサーチ！ これって、いま話題になっているのは、誰かのメールアドレスを手がかりにして ウィッシュリストや本名、下手すると住所まで知られてしまうってところだよね。 それだけでも面白いんだけど、 あまり注目されていない機能として、こんなものがあったよ。 友だちにほしい物リストについて知らせる これ。 自分のほしい物リストを誰かにメール送信できちゃう機能らしいね！ じゃあ試しにメール送信時のリクエストを確認してみると… http://www.amazon.co.jp/gp/registry/send-nudge.html?ie=UTF8&type=wishlist&__mk_j

Microsoft Learn. Spark possibility. Build skills that open doors. See all you can do with documentation, hands-on training, and certifications to help you get the most from Microsoft products. Learn by doing Gain the skills you can apply to everyday situations through hands-on training personalized to your needs, at your own pace or with our global network of learning partners. Take training Find

http://d.hatena.ne.jp/hatenadiary/ - 2008年2月8日 11:48 - ウェブ魚拓

昨日の日記で、DK祭りで使われている脆弱性がXSSかCSRFかという問題になった。どうも、XSSとCSRFがごっちゃになっている人もいるように見受けるので、簡単な整理を試みたい。 XSSとCSRFには似た点がある。 どちらも「クロスサイト」という言葉が先頭につく なりすましのようなことが結果としてできる どちらも受動型攻撃である それに対して、もちろん違う点もある。専門家から見れば「似てるも何も、そもそも全然違うものですよ」となるのだろうが、現に混同している人がいるのだから紛らわしい点もあるのだろう。 私思うに、XSSとCSRFの決定的な違いは、以下の点ではないだろうか。 XSSは攻撃スクリプトがブラウザ上で動くが、CSRFはサーバー上で動く このため、XSSでできる悪いことは、すなわちJavaScriptでできることであって、攻撃対象のCookieを盗み出すことが典型例となる。一方、CS

はてなブログのヘルプです

情報処理推進機構（IPA）などは2007年11月22日、ファイル圧縮・解凍ソフト「Lhaplus（ラプラス）」に新たな脆弱（ぜいじゃく）性が見つかったことを明らかにした。細工が施されたファイルを読み込むだけで、悪質なプログラム（ウイルスなど）を実行される危険性がある。2007年9月に報告された脆弱性とは別物。対策は、最新版へのバージョンアップ。 Lhaplusは、20種類以上のファイル形式を扱える圧縮・解凍ソフト。フリーソフトで、国内で広く使われている。今回報告された脆弱性は、Lhaplusが扱えるファイル形式の一つである「LZH形式」で圧縮されたファイル処理に関するもの。 細工が施されたLZH形式の圧縮ファイルを読み込むと「バッファーオーバーフロー」と呼ばれるエラーが発生し、ファイルに仕込まれた悪質なプログラムを勝手に実行される恐れがある（図）。 Lhaplusには、2007年9月にもバ