入力値検証ã«ã¤ã„ã¦(2): アプリケーションã®å…ˆé ã§è¡Œã†å…¥åŠ›å€¤æ¤œè¨¼ã¯æ¥å‹™è¦ä»¶ã«ã‚ˆã‚Šè¡Œã†ã¹ã— - 徳丸浩ã®æ—¥è¨˜(2007-09-09)
_ アプリケーションã®å…ˆé ã§è¡Œã†å…¥åŠ›å€¤æ¤œè¨¼ã¯æ¥å‹™è¦ä»¶ã«ã‚ˆã‚Šè¡Œã†ã¹ã— å‰å›žã®ã‚¨ãƒ³ãƒˆãƒªå¾³ä¸¸æµ©ã®æ—¥è¨˜ - ãã‚ãã‚入力値検証ã«é–¢ã—ã¦ä¸€è¨€ã„ã£ã¨ãã‹ - Webアプリケーション脆弱性対ç–ã¨ã—ã¦ã®å…¥åŠ›å€¤æ¤œè¨¼ã«ã¤ã„ã¦ã®å†…容をもã†å°‘ã—çªã£è¾¼ã‚“ã§ã¿ãŸã„。 ã“ã®ã‚¨ãƒ³ãƒˆãƒªã¯ã€å¹¸ã„ã«ã‚‚何人ã‹ã®äººãŸã¡ã®å»ºè¨çš„ãªã‚³ãƒ¡ãƒ³ãƒˆã‚’ã„ãŸã ãã“ã¨ãŒã§ããŸã€‚ãã‚Œã«ã‚ˆã‚Šã€ç§è‡ªèº«ã®è€ƒãˆã‚’æ•´ç†ã—ã€æ·±ã‚ã‚‹ã“ã¨ãŒã§ããŸã‚ˆã†ã«æ€ã†ã€‚ T.Teradaã®æ—¥è¨˜ - 2007-09-08 "週"記(2007-09-07) 今回ã¯ã€å…¥åŠ›å€¤æ¤œè¨¼ã®ä¸ã§ã‚‚ã€ç‰¹ã«ã‚¢ãƒ—リケーションã®å…ˆé ã§è¡Œã†å…¥åŠ›å€¤æ¤œè¨¼ã¨ã—ã¦ä½•ã‚’ã™ã¹ãã‹ã¨ã„ã†ã“ã¨ã«ç„¦ç‚¹ã‚’絞ã£ã¦è°è«–を進ã‚ãŸã„ã¨æ€ã†ã€‚ ãã®å‰ã«ã€ã¾ãšHTTPã®å¾©ç¿’ã‹ã‚‰ã€‚ HTTPリクエストã¯ç”³è«‹æ›¸ã«ãŸã¨ãˆã‚‹ã¨ç†è§£ã—ã‚„ã™ã„ ã“ã®æ—¥è¨˜ã®èªè€…ã®å¤šãã¯å…ˆåˆ»ã”å˜çŸ¥ã ã¨æ€ã†ãŒã€HTTPã¯éžå¸¸ã«ã‚·ãƒ³ãƒ—ルãªãƒ—ãƒãƒˆã‚³ãƒ«ã§ã‚る。Webサーãƒã¯HT
入力値検証ã®è©± - T.Teradaã®æ—¥è¨˜ - 2007-09-08
Webアプリケーションã®ã‚»ã‚ュリティ対ç–ã¨ã—ã¦ã®å…¥åŠ›å€¤æ¤œè¨¼ã«ã¤ã„ã¦è°è«–ã•ã‚Œã¦ã„ã¾ã™ã€‚ ãã‚ãã‚入力値検証ã«é–¢ã—ã¦ä¸€è¨€ã„ã£ã¨ãã‹: Webアプリケーション脆弱性対ç–ã¨ã—ã¦ã®å…¥åŠ›å€¤æ¤œè¨¼ã«ã¤ã„㦠- 徳丸浩ã®æ—¥è¨˜(2007-09-05) æ€ã£ãŸã“ã¨ã‚’ã„ãã¤ã‹æ›¸ãã¾ã™ã€‚ 徳丸ã•ã‚“ã®æ—¥è¨˜ã¯ã€ãƒ¦ãƒ¼ã‚¶ãŒãƒ†ã‚ストボックスãªã©ã§è‡ªç”±ã«å€¤ã‚’入力ã§ãã‚‹ä½æ‰€ãªã©ã®ãƒ‡ãƒ¼ã‚¿ã‚’主ã«å¯¾è±¡ã¨ã—ãŸã‚‚ã®ã ã¨æ€ã†ã€‚ ãŸã ã€ãƒ¦ãƒ¼ã‚¶ã®è‡ªç”±ãªå…¥åŠ›ã‚’èµ·æºã¨ã—ãªã„データもå˜åœ¨ã™ã‚‹ï¼ˆã“ã“ã§ã¯ã€Œã‚·ã‚¹ãƒ†ãƒ èµ·æºã®ãƒ‡ãƒ¼ã‚¿ã€ã¨å‘¼ã¶ï¼‰ã€‚ hiddenã€ãƒªãƒ³ã‚¯URLã«åŸ‹ã‚è¾¼ã¾ã‚Œã¦ã„ã‚‹GETパラメータã€Cookieãªã©ã«ã¯ã€ã“ã®æ‰‹ã®ãƒ‡ãƒ¼ã‚¿ãŒå…¥ã‚‹ã“ã¨ãŒå¤šã„。 システム起æºã®ãƒ‡ãƒ¼ã‚¿ã®å¤šãã¯ã€ã‚ã‚‹åž‹ã«å¾“ã†ã“ã¨ãŒæœŸå¾…ã•ã‚Œã‚‹ã‚‚ã®ã§ã€åŽŸå‰‡çš„ã«å…¥åŠ›å€¤æ¤œè¨¼ã‚’ã™ã¹ãã‚‚ã®ï¼ˆBMPã®ã€Œãƒ”クセルã‚ãŸã‚Šãƒ“ット数ã€ã¨åŒã˜ã‚ˆã†ãªæ„Ÿè¦šï¼‰ã€‚ システム起æºã®ãƒ‡ãƒ¼ã‚¿ã‚‚ã€ã‚¨ã‚¹ã‚±ãƒ¼ãƒ—ã•ãˆã™ã‚Œã°ã‚¤ãƒ³
ãã‚ãã‚入力値検証ã«é–¢ã—ã¦ä¸€è¨€ã„ã£ã¨ãã‹: Webアプリケーション脆弱性対ç–ã¨ã—ã¦ã®å…¥åŠ›å€¤æ¤œè¨¼ã«ã¤ã„㦠- 徳丸浩ã®æ—¥è¨˜(2007-09-05)
_ Webアプリケーション脆弱性対ç–ã¨ã—ã¦ã®å…¥åŠ›å€¤æ¤œè¨¼ã«ã¤ã„㦠Webアプリケーションã®ã‚»ã‚ュリティ対ç–ã¨ã—ã¦ã®ã€Œå…¥åŠ›å€¤æ¤œè¨¼ã€ã«ã¤ã„ã¦è‰²ã€…言ã‚ã‚Œã¦ã„る。セã‚ュアコーディングã®åŸºæœ¬ã¯å…¥åŠ›å€¤æ¤œè¨¼ã ã¨ã„ã‚ã‚ŒãŸã‚Šã€ã•ã»ã©é‡è¦ã§ãªã„ã¨è¨€ã‚ã‚ŒãŸã‚Šã—ã¦ã„る。本当ã®ã¨ã“ã‚ã¯ã©ã†ãªã®ã ã‚ã†ã‹ã€‚以下ã€ãƒã‚¤ãƒŠãƒªãƒ‡ãƒ¼ã‚¿ã‚’扱ã†å ´åˆã®å¤šã„ミドルウェア(Webサーãƒãƒ¼ãªã©)ã¨å¯¾æ¯”ã—ãªãŒã‚‰ã€ã“ã®å•é¡Œã‚’掘り下ã’ãŸã„。 ãƒã‚¤ãƒŠãƒªãƒ‡ãƒ¼ã‚¿ã®å ´åˆ(≒ミドルウェアã®å ´åˆ) ãƒã‚¤ãƒŠãƒªãƒ‡ãƒ¼ã‚¿ã§ã¯ã€å…¥åŠ›æ¤œè¨¼ãŒé‡è¦ã§ã‚る。少ã—å‰ã«mod_imagefightã‚’å–り上ã’ãŸ(ç”»åƒç‰ˆã‚µãƒ‹ã‚¿ã‚¤ã‚ºè¨€ã†ãª(2))ã®ã§ã€ãƒ“ットマップ画åƒã‚’例ã«èª¬æ˜Žã—よã†ã€‚ ãã®éš›ã«ä½¿ç”¨ã—ãŸBMPå½¢å¼ã®èª¬æ˜Žã‚’å†æŽ²ã™ã‚‹ã€‚ 0000:MARK(2) ='BM' 0002:ファイルサイズ(4) * 0006:予約1(2) =0 0008:予約2(2) =0 000A:ビットマップ
1
リリースã€éšœå®³æƒ…å ±ãªã©ã®ã‚µãƒ¼ãƒ“スã®ãŠçŸ¥ã‚‰ã›
最新ã®äººæ°—エントリーã®é…ä¿¡
j次ã®ãƒ–ックマーク
kå‰ã®ãƒ–ックマーク
lã‚ã¨ã§èªã‚€
eコメント一覧を開ã
oページを開ã
ã§ã‚‚本当ã«ã™ã”ã„ã®ã¯Google AdSense - ockeghem's blog
{{#tags}}- {{label}}
{{/tags}}