徳丸本ã«è¼‰ã£ã¦ã„ãªã„Webアプリケーションセã‚ュリティオススメã®Javaãƒã‚°ç®¡ç†æ‰‹æ³• ～コンテナ編～（Open Source Conference 2022 Online/Spring 発表資料）
Webアプリケーションå‘ã‘ã®è‡ªå‹•ã‚»ã‚ュリティスã‚ャナ「Skipfishã€ã‚’試ã—ã¦ã¿ã¾ã—ãŸ
ã“ã‚“ã«ã¡ã¯ã€ä¸å·ã§ã™ã€‚ 先日ã€Googleã‹ã‚‰Webアプリケーションå‘ã‘ã®è‡ªå‹•ã‚»ã‚ュリティスã‚ャナ「Skipfishã€ãŒå…¬é–‹ã•ã‚ŒãŸã®ã§ã€ç¤¾å†…ã§åˆ©ç”¨ã—ã¦ã„ã‚‹CakePHPã®ã‚¢ãƒ—リã§è©¦ã—ã¦ã¿ã¾ã—ãŸã€‚ Skipfish( http://code.google.com/p/skipfish/ )ã¯ã€Webアプリケーションã®è„†å¼±æ€§ã€SQLインジェクションやクãƒã‚¹ã‚µã‚¤ãƒˆã‚¹ã‚¯ãƒªãƒ—ティングç‰ã‚’自動的ã«æ¤œå‡ºã—ã¦ãれるApache License 2.0ã®ãƒ©ã‚¤ã‚»ãƒ³ã‚¹ã§å…¬é–‹ã•ã‚Œã¦ã„るオープンソースã®ãƒ„ールã§ã™ã€‚ å¿…è¦ãªãƒ©ã‚¤ãƒ–ラリã¯ä»¥ä¸‹ã¨ã®ã“ã¨ã€‚ * GNU C Compiler * GNU Make * GNU C Library (including development headers) * zlib (including development headers) * OpenSSL (including
“完璧ãªWAFâ€ã«å¦ã¶WAFã®é˜²å¾¡æˆ¦ç•¥ - ockeghem's blog
ã‚»ã‚ュリティExpert 2010ã«å¤§æ²³å†…智秀æ°ãŒã€Œç¾çŠ¶ã®èª²é¡Œã¨â€œå®Œç’§ãªWAFâ€ã€ã¨é¡Œã—ã¦å¯„稿ã•ã‚Œã¦ã„る。大変興味深ã„内容ã§ã‚ã‚‹ã®ã§ã€ã“ã®å¯„稿をãªãžã‚ŠãªãŒã‚‰ã€WAFã®é˜²å¾¡æˆ¦ç•¥ã«ã¤ã„ã¦æ¤œè¨Žã—ã¦ã¿ãŸã„。 クãƒã‚¹ã‚µã‚¤ãƒˆãƒ»ã‚¹ã‚¯ãƒªãƒ—ティング(XSS)ã«å¯¾ã™ã‚‹é˜²å¾¡ 大河内æ°ã®å¯„稿ã®å‰åŠã¯ã€ç¾çŠ¶ã®WAFã®èª²é¡Œã¨ã—ã¦ã€Webアプリケーションã«å¯¾ã™ã‚‹æ”»æ’ƒã®å¤šã（大åŠï¼‰ãŒWAFã®ãƒ‡ãƒ•ã‚©ãƒ«ãƒˆè¨å®šã§ã¯é˜²å¾¡ã§ããªã„ã¨æŒ‡æ‘˜ã™ã‚‹ã€‚例ãˆã°ã‚¯ãƒã‚¹ã‚µã‚¤ãƒˆãƒ»ã‚¹ã‚¯ãƒªãƒ—ティング(XSS)ã«é–¢ã—ã¦ã¯ã€ä»¥ä¸‹ã®ã‚ˆã†ãªæŒ‡æ‘˜ãŒã‚る。 ä»®ã«scriptをブラックリストã«æŒ‡å®šã—ãŸã¨ã—ã¾ã—ょã†ã€‚ãã‚Œã§ã‚‚ã¾ã ä¸å分ã§ã™ã€‚<IMG>ã‚¿ã‚°ã§XSSãŒç™ºå‹•ã™ã‚‹ã“ã¨ã‚’ã”å˜ã˜ã§ã—ょã†ã‹ï¼Ÿãƒ—ãƒã‚°ãƒ©ãƒ ãªã©ã§ã¯<IMG>ã‚¿ã‚°ã¯ç”»åƒæ·»ä»˜ã«å¿…é ˆã§ã‚ã‚Šã€WAFã§ç¦æ¢ã™ã‚‹ã“ã¨ã¯é›£ã—ã„ã®ãŒå®Ÿæƒ…ã§ã€ãƒ–ラックリスト方å¼ã®èª²é¡Œã¨ãªã£ã¦ã„ã¾ã™ã€‚ 「ç¾çŠ¶ã®èª²é¡Œã¨â€œå®Œç’§ãªWAFâ€ã€ã‚ˆã‚Šå¼•
XSS (Cross Site Scripting) Cheat Sheet
XSS (Cross Site Scripting) Cheat Sheet Esp: for filter evasion By RSnake Note from the author: XSS is Cross Site Scripting. If you don't know how XSS (Cross Site Scripting) works, this page probably won't help you. This page is for people who already understand the basics of XSS attacks but want a deep understanding of the nuances regarding filter evasion. This page will also not show you how to
UTF-8ã®å†—é•·ãªã‚¨ãƒ³ã‚³ãƒ¼ãƒ‰ã¨ã¯ä½•ã§ã€ãªã‚“ã§ãã‚ŒãŒã‚»ã‚ュリティ的ã«å±ãªã„ã®ã‹ï¼Ÿã‚’æ–‡å—コード知è˜ãƒ¬ãƒ´ã‚§ãƒ«3ãらã„ã®å‡¡ãƒ—ãƒã‚°ãƒ©ãƒžãŒè€ƒãˆã¦ã¿ã‚‹ - tohokuaikiã®ãƒãƒ©ã‚·ã®è£
何故ã‹ã‚ãŸã‚Šå‰ã«ãªã‚‰ãªã„æ–‡å—エンコーディングãƒãƒªãƒ‡ãƒ¼ã‚·ãƒ§ãƒ³ | yohgaki's blog ã£ã¦ã‚るよã†ã«ã€ã„ã¾ã„ã¡æ–‡å—コードã®ä¸æ£ãªåˆ¤å®šã«ã‚ˆã‚‹å±é™ºæ€§ã£ã¦ã®ãŒåˆ†ã‹ã£ã¦ãªã„。 SJISã®å•é¡Œã¯ã€ï¼ˆ2/3）SQLã‚¤ãƒ³ã‚¸ã‚§ã‚¯ã‚·ãƒ§ãƒ³ã‚’æ ¹çµ¶ï¼ã‚»ã‚ュア開発ã®æ¥µæ„ - 第5回■注目ã•ã‚Œã‚‹æ–‡å—コードã®ã‚»ã‚ュリティå•é¡Œï¼šITproã®è¨˜äº‹ãŒã‚ã‹ã‚Šã‚„ã™ã‹ã£ãŸã€‚ ã¨ã„ã†ã‹ã€ã‚„ã£ã±ã‚ŠPHP使ã£ã¦ã‚‹ã¨èª°ã§ã‚‚一度ã¯ã€Œãªã‚“ã˜ã‚ƒã“ã®ã€Žï¿¥ã€ã¯ï¼Ÿã€ã£ã¦æ€ã†ã‚‚ã‚“ãªã‚“ã§ã€‚ ãªã‚‹ã»ã©ã€ç¢ºã‹ã«â†“ã®å›³ã®ã‚ˆã†ã«ã€Œã‚ã‚‹ãƒã‚¤ãƒˆã€ãŒ2ã¤ã®æ„味をæŒã¤ã£ã¦ã„ã†æ–‡å—コード形態ã¯ã‚„ã°ã„ã‚“ã ãªã¨ã€‚ EUC-JPã¯ãã‚“ãªã“ã¨ã¯ã—ãªã„ã§ã€1ã¤ã®ãƒã‚¤ãƒˆã«ã¯1ã¤ã®æ„味ã—ã‹å–らã›ãªã„。 ã ã‘ã©ã€ã“ã‚Œã§ã‚‚æ–‡å—化ã‘ãŒèµ·ã“ã‚‹ã“ã¨ãŒã‚る。経験的ã«ã¯ã€ã€Œãƒžãƒ«ãƒãƒã‚¤ãƒˆã‚’XXæ–‡å—ã§åˆ‡ã‚Šè½ã¨ã—ãŸã„ã€ã¨ã‹ã‚„ã£ãŸå ´åˆã€‚ã¡ã‚ƒã‚“ã¨æ–‡å—コードを判定ã—ã¦ãれるPHPã§ã„ãˆã°mb_subst
第1回　UTF-7ã«ã‚ˆã‚‹ã‚¯ãƒã‚¹ã‚µã‚¤ãƒˆã‚¹ã‚¯ãƒªãƒ—ティング攻撃［å‰ç·¨ï¼½ | gihyo.jp
ã¿ãªã•ã‚“ã€ã¯ã˜ã‚ã¾ã—ã¦ã€‚ã¯ã›ãŒã‚よã†ã™ã‘ã¨ç”³ã—ã¾ã™ã€‚ 最近ã€æ–‡å—コードã¨é–¢é€£ã—ãŸã‚»ã‚ュリティã®è©±é¡Œã‚’ç›®ã«ã™ã‚‹ã“ã¨ãŒå¢—ãˆã¦ãã¾ã—ãŸã€‚æ–‡å—コードを利用ã—ãŸæ”»æ’ƒã¯æŠ€è¡“çš„ã«æœªé–‹æ‹“ã¨ã„ã†ã“ã¨ã‚‚ã‚ã‚Šã€å‚考ã¨ãªã‚‹æƒ…å ±ãŒãªã‹ãªã‹è¦‹å½“ãŸã‚Šã¾ã›ã‚“。ã“ã®é€£è¼‰ã§ã¯ã€æ–‡å—コードを利用ã—ãŸæ”»æ’ƒã‚„ãã‚Œã«å¯¾ã™ã‚‹å¯¾ç–ã«ã¤ã„ã¦æ£ã—ã„知è˜ã‚’解説ã—ã¦ã„ãã¾ã™ã€‚ æ–‡å—コードã¨ã‚»ã‚ュリティãŒé–¢é€£ã™ã‚‹ã‚‚ã£ã¨ã‚‚大ããªç‚¹ã¯ã€ã‚„ã¯ã‚Šæ–‡å—列ã®æ¯”較ã§ã—ょã†ã€‚「â å±é™ºãªæ–‡å—列ã®æ¤œå‡ºã€ã€Œâ 安全ãªæ–‡å—列ã§ã‚ã‚‹ã“ã¨ã®ç¢ºèªã€ã¨ã„ã£ãŸæ–‡å—列ã®æ¯”較ã¯ã€ã‚»ã‚ュリティを考ãˆã‚‹ã†ãˆã§é¿ã‘ã¦é€šã‚Œãªã„処ç†ã ã¨æ€ã„ã¾ã™ã€‚ æ–‡å—列ã®æ¯”較ã«ãŠã„ã¦ã¯ã€å˜ç´”ã«ãƒã‚¤ãƒˆåˆ—を比較ã™ã‚‹ã ã‘ã§ã¯ä¸å分ã§ã€æ–‡å—列ãŒãƒ¡ãƒ¢ãƒªä¸Šã§ã©ã®ã‚ˆã†ãªãƒã‚¤ãƒˆåˆ—ã¨ã—ã¦æ ¼ç´ã•ã‚Œã¦ã„ã‚‹ã®ã‹ï¼ˆã“ã®ãƒ«ãƒ¼ãƒ«ã‚’符å·åŒ–æ–¹å¼ã‚ã‚‹ã„ã¯æ–‡å—エンコーディングã¨è¨€ã„ã¾ã™ï¼‰ã«æ³¨æ„ã—ãªã‘ã‚Œã°ãªã‚‰ãªã„ã“ã¨ã‚‚ã‚ã‚‹ã§ã—ょã†ã€‚攻撃者ã¯å·§ã¿ã«æ–‡å—
1
ランã‚ング
ランã‚ング
ãŠçŸ¥ã‚‰ã›
リリースã€éšœå®³æƒ…å ±ãªã©ã®ã‚µãƒ¼ãƒ“スã®ãŠçŸ¥ã‚‰ã›
最新ã®äººæ°—エントリーã®é…ä¿¡
j次ã®ãƒ–ックマーク
kå‰ã®ãƒ–ックマーク
lã‚ã¨ã§èªã‚€
eコメント一覧を開ã
oページを開ã
ウェブアプリã®ã‚»ã‚ュリティをã¡ã‚ƒã‚“ã¨çŸ¥ã‚ã†
skipfish web application security scanner
{{#tags}}- {{label}}
{{/tags}}