以下は、WEBプログラマー用のWEB脆弱性の基礎知識の一覧です。 WEBプログラマーの人はこれを読めばWEB脆弱性の基礎をマスターしてWEBプログラムを書くことができるようになっているかもです。 また、WEB脆弱性の簡易リファレンスとしても少し利用できるかもしれません。 WEBアプリケーションを開発するには、開発要件書やプログラム仕様書通りに開発すれば良いというわけにはいきません。 そう、WEB脆弱性を狙う悪意のユーザにも対処しないといけないのです。 今回、WEBアプリケーションを開発にあたってのWEB脆弱性を、以下の一覧にまとめてみました。 このまとめがWEBアプリケーション開発の参考になれば幸いです。 インジェクション クロスサイト・スクリプティング セッション・ハイジャック アクセス制御や認可制御の欠落 ディレクトリ・トラバーサル(Directory Traversal) CSRF（

難解なコマンドラインツールを駆使しなくても、ポイント＆クリックで使える便利なネットワーク活用ツールを紹介する。（Lifehacker） コンピューティングの歴史を振り返れば、ほんとうに楽しいことが始まったのは、優秀な人たちが2台のコンピュータをつなぎ合わせたときからだということは誰にでも分かる。あらゆるネットワーク活用術を可能にするツールが無数に出回っており、その多くはUNIXコマンドにルーツを持っている。だが、難解なコマンドラインツールのことは忘れよう。この記事では、巨大なコンピュータネットワークを最大限に活用する役に立ち、ポイント＆クリックで使えるわれわれお気に入りのフリーのソフトとWebアプリケーションを紹介する。 10. Angry IP Scanner（ポートスキャナ） Angry IP Scannerは自分の――そして他人の――コンピュータを調べてオープンポートを探し、IPアド

2007年11月24日15:30 カテゴリLightweight LanguagesTips javascript - パスワードを確認するbookmarklet これの改良版です。 アスタリスクで隠されたパスワードを確認する方法 通常、このようなフォーム内のパスワード部分に入力した文字は盗み見防止のため、「********」のようなアスタリスクになって文字が隠されるようになっていますが、しばしば、この入力したパスワードを確認したい状況になる場合も少なくありません。 ブックマークレット: Check Password ソース: javascript:(function(){ var F=document.getElementsByTagName('input'), a=[]; for (var i=0,l=F.length;i<l;i++){ if(F[i].type.toLowerCas

無線LANの設定も昔ほど複雑ではなく、全自動でかなりセキュリティの高い設定ができるようになっている機種も増えていますが、それに伴って「一体自分の無線LANのWEPキーは何なのか？」というのが万が一の際にまったくわからないという事態も増えています。そういう際に役立つのがこのフリーソフト「WirelessKeyView」です。 使い方は至って簡単、起動するだけ。それだけでWindowsのWireless Zero Configurationを使ったWEP/WPAキーが表示されます。ただ表示するだけでなく、テキストファイルにして保存したり、HTML形式のレポートにしたり、クリップボードに直接コピーすることもできます。 ダウンロードと使い方は以下から。 WirelessKeyView: Recover lost WEP/WPA key stored by Wireless Zero Configu

Windowsの各種ユーザーアカウントのパスワードを解析して表示することができるオープンソースソフト「Ophcrack」を使ってみました。Windows Vistaにも対応しており、総当たりで解析するのではないため、非常に素早く解析できるのが特徴。数分程度の時間で解析できてしまいます。今回の実験ではジャスト3分でAdministratorのパスワードが表示されてしまいました、ショック。 通常はISOイメージをCDに焼いてCDブートで起動するのですが、今回はUSBメモリから起動してみました。実際に起動してから終了するまでの様子のムービーもあります。 というわけで使い方などの解説は以下から。 ※あくまでも自分のパスワードの弱さをチェックするためのソフトなので、使用する際には自己責任でお願いします Ophcrack http://ophcrack.sourceforge.net/ ダウンロードは

以前GIGAZINEでHD DVDとBlu-rayの暗号化がついに完全突破されたということを取り上げたましたが、これまで発売されたHD DVDソフトを復号化するためのキーを公開したサイトにアクセスが殺到し、大きな反響を呼んでいます。なんでもこのキーを用いると、Linuxなどでも復号化したHD DVDを楽しむことが可能になるそうです。 なお、このキーはこれまで秘密にされていたものですが、公開した人々は「公開されたことによって法的に保護されるべきものではなくなった」としています。 詳細は以下の通り。 これが公開されているサイト一覧。重くて見られないところもしばしば。 Spread this number Rudd-O.com 09 F9 11 02 9D 74 E3 5B D8 41 56 C5 63 56 88 C0 - The Pirate Bay 早くもWikipediaに登場しています

インターネットが普及する以前，パソコン通信の時代に，バイナリをテキスト化するishという有名なフリーソフトがありました。今回は，2006年なりのishを作ってみようというものです。バイナリ・ファイルをやり取りする場合，誤動作を避けるためにテキスト化することは多々あります。例えば，メールにファイルを添付する際にはbase64というエンコード形式を使用します。今回は，このbase64エンコード/デコードを使用して，バイナリ・ファイルのテキスト化と復元を行います。といっても，base64そのものを作りこむわけではありません。base64変換の機能は，PHPに用意された関数を使います。すべてをPHPで作り上げることもできますがそれでは芸がないので，VBScriptからPHPスクリプトを呼び出して実行させ，またVBScriptに制御を戻すという小技を勉強してみることにします。この小技を知っていれば，

データベースのセキュリティにおいて重要なポイントの一つは「アカウント管理」である。例えばWebアプリケーションに「SQLインジェクション」の脆弱性が存在する場合でも，適切なアカウント管理を実施していれば，その被害を最小限に抑えることができる。 そこで本稿では，データベースにおけるアカウント管理について解説したい。もちろん，アカウント管理がデータベース・セキュリティのすべてではない。監査なども重要なポイントになる。それらについては，次の機会に説明する。 データベースの機能を利用する 情報セキュリティにおいて，アカウント管理は“基本中の基本”である。いくら高価なセキュリティ装置を導入していても，ユーザー名とパスワードを推測されて（あるいは盗まれて）正規ユーザーになりすまされてしまえば，攻撃を防ぐことは難しい。 現在では多くの企業・組織もアカウント管理の重要性を認識している。例えば，デスクトップ

GT Nitro: Car Game Drag Raceは、典型的なカーゲームではありません。これはスピード、パワー、スキル全開のカーレースゲームです。ブレーキは忘れて、これはドラッグレース、ベイビー！古典的なクラシックから未来的なビーストまで、最もクールで速い車とカーレースできます。スティックシフトをマスターし、ニトロを賢く使って競争を打ち破る必要があります。このカーレースゲームはそのリアルな物理学と素晴らしいグラフィックスであなたの心を爆発させます。これまでプレイしたことのないようなものです。 GT Nitroは、リフレックスとタイミングを試すカーレースゲームです。正しい瞬間にギアをシフトし、ガスを思い切り踏む必要があります。また、大物たちと競いつつ、車のチューニングとアップグレードも行わなければなりません。世界中で最高のドライバーと車とカーレースに挑むことになり、ドラッグレースの王冠