https://jp.techcrunch.com/2012/03/26/20120324apple-udids/
EZwebã®2011年秋冬モデル以é™ã®å¤‰æ›´å†…容ã¨ã‚»ã‚ュリティ上ã®æ³¨æ„点 - ockeghem's blog
au/KDDIã®æŠ€è¡“æƒ…å ±ã‚µã‚¤ãƒˆEZfactoryã«ã¯ã€2011年秋冬モデル以é™ã«EZwebã®ä»•æ§˜å¤‰æ›´ãŒã‚る旨表示ã•ã‚Œã¦ã„ã¾ã™ã€‚ã‚»ã‚ュリティ上ã®å•é¡Œã®å¯èƒ½æ€§ã‚‚ã‚ã‚‹ãŸã‚以下ã«å ±å‘Šã—ã¾ã™ã€‚ EZfactoryトップページã§ã®å‘ŠçŸ¥å†…容 EZfactoryトップページã«ã¯ã€2011年秋冬モデルã§ã®å¤‰æ›´ã‚’以下ã®ã‚ˆã†ã«è¦ç´„ã—ã¦ã„ã¾ã™ã€‚ ※ãŠçŸ¥ã‚‰ã›â€» EZブラウザã¯ã€2011年秋冬モデルã«ã¦ã€EZサーãƒã‚’å«ã‚ã€ã€Œæ©Ÿèƒ½ã€åŠã³ã€Œãƒãƒƒãƒˆãƒ¯ãƒ¼ã‚¯ç’°å¢ƒã€ã®è¦‹ç›´ã—ã‚’è¡Œãªã„ã¾ã™ã€‚ ã“ã‚Œã«ã‚ˆã‚‹ä¸»ãªå¤‰æ›´ç‚¹ã¯ä»¥ä¸‹ã®ã¨ãŠã‚Šã§ã™ã€‚ ＜主ãªå¤‰æ›´ç‚¹ï¼ž ・EZサーãƒã®è¨€èªžå¤‰æ›æ©Ÿèƒ½ãŒå‰Šé™¤ã•ã‚Œã€HDMLãŒéžã‚µãƒãƒ¼ãƒˆã¨ãªã‚‹ã€‚ ・EZブラウザã€PCサイトビューアーã®IPアドレス帯域ãŒçµ±ä¸€ã•ã‚Œã‚‹ã€‚ 今後EZブラウザå‘ã‘コンテンツを作æˆã™ã‚‹å ´åˆã¯ã€XHTML Basicを推奨ã—ã¾ã™ã€‚ http://www.au.kddi.com/ezfactory
実ã¯åŽ„介ã€ã‚±ãƒ¼ã‚¿ã‚¤Webã®ã‚»ãƒƒã‚·ãƒ§ãƒ³ç®¡ç†
実ã¯åŽ„介ã€ã‚±ãƒ¼ã‚¿ã‚¤Webã®ã‚»ãƒƒã‚·ãƒ§ãƒ³ç®¡ç†ï¼šå†è€ƒãƒ»ã‚±ãƒ¼ã‚¿ã‚¤Webã®ã‚»ã‚ュリティ（3）（1/3 ページ） “特殊ã â€ã¨å½¢å®¹ã•ã‚Œã‚‹ã“ã¨ã®å¤šã„日本ã®æºå¸¯é›»è©±å‘ã‘Webサイト。ãã“ã«ã¯ã€ã•ã¾ã–ã¾ãªæ€ã„è¾¼ã¿ã‚„性善説ã®ä¸Šã—ã‹æˆã‚Šç«‹ãŸãªã„ã‚»ã‚ュリティãŒæ¨ªè¡Œã—ã¦ã„ã¾ã™ã€‚本連載ã¯ã€ã‚±ãƒ¼ã‚¿ã‚¤Webã®ç‰¹æ®Šæ€§ã‚’ã¦ã„ãã„ã«è§£èª¬ã—ã€æ£ã—ã„ケータイWebã‚»ã‚ュリティã®ã‚ã‚‹ã¹ã姿を考ãˆã¾ã™ï¼ˆç·¨é›†éƒ¨ï¼‰ 「Cookieを使ãˆãªã„端末ã€ã§ã‚»ãƒƒã‚·ãƒ§ãƒ³ã‚’管ç†ã™ã‚‹æ–¹æ³•ã¯ï¼Ÿ 第2回「間é•ã„ã らã‘ã®ã€Žã‹ã‚“ãŸã‚“ãƒã‚°ã‚¤ãƒ³ã€å®Ÿè£…法ã€ã§ã™ãŒã€å¤šãã®æ–¹ã«èªã‚“ã§ã„ãŸã ãã‚ã‚ŠãŒã¨ã†ã”ã–ã„ã¾ã—ãŸã€‚ 今回ã¯ã€å‰å›žã«å¼•ã続ã架空ã®SNSサイト「グダグダSNSã€ã®ã‚±ãƒ¼ã‚¿ã‚¤å¯¾å¿œã‚’é¡Œæã¨ã—ã¦ã€ã‚±ãƒ¼ã‚¿ã‚¤Webã®ã‚»ãƒƒã‚·ãƒ§ãƒ³ç®¡ç†ã®å•é¡Œç‚¹ã«ã¤ã„ã¦èª¬æ˜Žã—ã¾ã™ã€‚æºå¸¯é›»è©±å‘ã‘Webアプリケーション（ケータイWeb）ã®ã‚»ãƒƒã‚·ãƒ§ãƒ³ç®¡ç†ã¯ã€ã‹ã‚“ãŸã‚“ãƒã‚°ã‚¤ãƒ³ã‚ˆã‚Šã‚‚対ç–ãŒé›£ã—ãã€åŽ„介ãªå•
HTTPã¨HTTPSを併用ã—ãƒã‚°ã‚¤ãƒ³å¾Œã®ç”»é¢é·ç§»ã¯HTTPSã—ã‹è¨±å¯ã—ãªã„サイトã§ã®å®‰å…¨ãªã‚»ãƒƒã‚·ãƒ§ãƒ³ç®¡ç† - masaã®ãƒ¡ãƒ¢ç½®ãå ´
HTTPã¨HTTPSを併用ã™ã‚‹ã‚µã‚¤ãƒˆã§ã®å®‰å…¨ãªã‚»ãƒƒã‚·ãƒ§ãƒ³ç®¡ç† - masaã®ãƒ¡ãƒ¢ç½®ãå ´ ã®ç¶šã ãŠã£ã¨ã€ãƒã‚°ã‚¤ãƒ³å¾Œã®ç”»é¢é·ç§»ã¯HTTPSã—ã‹è¨±å¯ã—ãªã„å‰æã ã£ãŸã‚‰ã€ãƒã‚°ã‚¤ãƒ³æ™‚ã«Secure属性付ãã®ã‚»ãƒƒã‚·ãƒ§ãƒ³Cookieå†ç™ºè¡Œã—ã¦ã‚ã’ã‚Œã°çµ‚ã‚ã‚Šã§ã™ã。å‰æãŒã”ã£ã¡ã‚ƒã«ãªã£ã¦ã¾ã—ãŸã€ã”ã‚ã‚“ãªã•ã„。 ãŸã ã€ã‚³ãƒ³ãƒ†ãƒŠã«ä¾å˜ã—ãªã„実装を考ãˆãŸå ´åˆã€ãªã‹ãªã‹é›£ã—ã„ã§ã™ã‚ˆãƒ»ãƒ»ãƒ» Servletã ã¨ã‚»ãƒƒã‚·ãƒ§ãƒ³Cookieã®ç™ºè¡Œã¯ã‚³ãƒ³ãƒ†ãƒŠã®å½¹ç›®ã€‚従ã£ã¦ã‚»ãƒƒã‚·ãƒ§ãƒ³Cookieã®ãƒ•ã‚£ãƒ¼ãƒ«ãƒ‰ã‚’æ“作ã™ã‚‹ã‚¤ãƒ³ã‚¿ãƒ•ã‚§ãƒ¼ã‚¹ãŒå…¬é–‹ã•ã‚Œã¦ã„ãªã„ã®ã§ã™ã€‚コンテナã®è¨å®šã§å¯¾å¿œã—よã†ã¨ã—ãŸå ´åˆã€HTTPã§ã®ã‚¢ã‚¯ã‚»ã‚¹æ™‚ã«ã¯Secure属性無ã—ã®Cookieã‚’ã€HTTPSã§ã®ã‚¢ã‚¯ã‚»ã‚¹æ™‚ã«ã¯Secure属性有りã®Cookieを発行ã™ã‚‹ã‚ˆã†ã«å®Ÿè£…ã•ã‚Œã¦ã„ãªã„ã¨ãƒ€ãƒ¡ã§ã™ãŒã€å®Ÿéš›ã®ã¨ã“ã‚ã©ã†ãªã‚“ã§ã—ょã†ï¼Ÿï¼Ÿå°‘ãªãã¨ã‚‚完全ã«ã‚³ãƒ³ãƒ†ãƒŠä¾å˜ã®å®Ÿè£…
æƒ…å ±å‡¦ç†æŽ¨é€²æ©Ÿæ§‹ï¼šæƒ…å ±ã‚»ã‚ュリティ：脆弱性対ç–：安全ãªã‚¦ã‚§ãƒ–サイトã®ä½œã‚Šæ–¹
「安全ãªã‚¦ã‚§ãƒ–サイトã®ä½œã‚Šæ–¹ã€ã¯ã€IPAãŒå±Šå‡º(*1)ã‚’å—ã‘ãŸè„†å¼±æ€§é–¢é€£æƒ…å ±ã‚’åŸºã«ã€å±Šå‡ºä»¶æ•°ã®å¤šã‹ã£ãŸè„†å¼±æ€§ã‚„攻撃ã«ã‚ˆã‚‹å½±éŸ¿åº¦ãŒå¤§ãã„脆弱性をå–り上ã’ã€ã‚¦ã‚§ãƒ–サイト開発者やé‹å–¶è€…ãŒé©åˆ‡ãªã‚»ã‚ュリティを考慮ã—ãŸã‚¦ã‚§ãƒ–サイトを作æˆã™ã‚‹ãŸã‚ã®è³‡æ–™ã§ã™ã€‚ 「安全ãªã‚¦ã‚§ãƒ–サイトã®ä½œã‚Šæ–¹ã€æ”¹è¨‚第7版ã®å†…容 第1ç« ã§ã¯ã€ã€Œã‚¦ã‚§ãƒ–アプリケーションã®ã‚»ã‚ュリティ実装ã€ã¨ã—ã¦ã€SQLインジェクション ã€OSコマンド・インジェクション やクãƒã‚¹ã‚µã‚¤ãƒˆãƒ»ã‚¹ã‚¯ãƒªãƒ—ティング ç‰11種類ã®è„†å¼±æ€§ã‚’å–り上ã’ã€ãã‚Œãžã‚Œã®è„†å¼±æ€§ã§ç™ºç”Ÿã—ã†ã‚‹è„…å¨ã‚„特ã«æ³¨æ„ãŒå¿…è¦ãªã‚¦ã‚§ãƒ–サイトã®ç‰¹å¾´ç‰ã‚’解説ã—ã€è„†å¼±æ€§ã®åŽŸå› ãã®ã‚‚ã®ã‚’ãªãã™æ ¹æœ¬çš„ãªè§£æ±ºç–ã€æ”»æ’ƒã«ã‚ˆã‚‹å½±éŸ¿ã®ä½Žæ¸›ã‚’期待ã§ãる対ç–を示ã—ã¦ã„ã¾ã™ã€‚ 第2ç« ã§ã¯ã€ã€Œã‚¦ã‚§ãƒ–サイトã®å®‰å…¨æ€§å‘上ã®ãŸã‚ã®å–り組ã¿ã€ã¨ã—ã¦ã€ã‚¦ã‚§ãƒ–サーãƒã®é‹ç”¨ã«é–¢ã™ã‚‹å¯¾ç–やウェブサイトã«ãŠã‘るパスワードã®å–扱ã„ã«é–¢ã™
é–“é•ã„ã らã‘ã®ã€Œã‹ã‚“ãŸã‚“ãƒã‚°ã‚¤ãƒ³ã€å®Ÿè£…法
「DNSリãƒã‚¤ãƒ³ãƒ‡ã‚£ãƒ³ã‚°ã€ã«ã‚ˆã‚‹æ”»æ’ƒ 今度ã¯ã€å¥‘約者固有IDã®ãªã‚Šã™ã¾ã—（変更）をã—ãªã„ã§ã‹ã‚“ãŸã‚“ãƒã‚°ã‚¤ãƒ³ã‚’攻撃ã™ã‚‹ã€ã€ŒDNSリãƒã‚¤ãƒ³ãƒ‡ã‚£ãƒ³ã‚°ï¼ˆDNS Rebinding）ã€ã¨å‘¼ã°ã‚Œã‚‹æ‰‹æ³•ã‚’紹介ã—ã¾ã™ã€‚ DNSリãƒã‚¤ãƒ³ãƒ‡ã‚£ãƒ³ã‚°ã¯å—動的攻撃ã®ä¸€ç¨®ã§ã™ã€‚ãªã‚Šã™ã¾ã—ã®ã‚¿ãƒ¼ã‚²ãƒƒãƒˆï¼ˆå¯¾è±¡è€…）ã®æºå¸¯é›»è©±ãƒ–ラウザ上ã§æ”»æ’ƒç”¨ã‚¹ã‚¯ãƒªãƒ—トãŒå‹•ä½œã™ã‚‹ã“ã¨ã§æ”»æ’ƒãŒèµ·ã“ã‚Šã¾ã™ã€‚図3を用ã„ã¦ã€DNSリãƒã‚¤ãƒ³ãƒ‡ã‚£ãƒ³ã‚°æ”»æ’ƒã®æ¦‚è¦ã‚’説明ã—ã¾ã™ã€‚ 図3ã®example.jpãŒæ”»æ’ƒå¯¾è±¡ã‚µãƒ¼ãƒã€trap.example.comã¯æ”»æ’ƒè€…ãŒç®¡ç†ã—ã¦ã„ã‚‹ã€Œç½ ã€ã®ã‚µãƒ¼ãƒã§ã™ã€‚攻撃者ã¯ç½ サイト上ã«ã€JavaScriptを仕込んã HTMLを用æ„ã—ã€example.jp利用者ãŒé–²è¦§ã™ã‚‹ã®ã‚’å¾…ã¡ã¾ã™ã€‚以下ã«æ”»æ’ƒã‚·ãƒŠãƒªã‚ªã‚’示ã—ã¾ã™ã€‚ ã€1ã€‘ç½ ã‚µã‚¤ãƒˆã‚’é–²è¦§ã™ã‚‹ã¨ã€JavaScriptãŒãƒ€ã‚¦ãƒ³ãƒãƒ¼ãƒ‰ã•ã‚Œã‚‹ ã€2ã€‘ç½ ã‚’é–²è¦§ã—ãŸã‚¿ã‚¤ãƒŸãƒ³ã‚°ã§ã€ãƒãƒ¼ã‚«ãƒ«ã«ä¿
カード決済ã«â€œãƒ‘スワードâ€ã€€NHKニュース
カード決済ã«â€œãƒ‘スワード†12月13æ—¥ 14時20分 インターãƒãƒƒãƒˆé€šè²©ã®å¸‚å ´ãŒæ€¥é€Ÿã«æ‹¡å¤§ã™ã‚‹ãªã‹ã€ä»–人å義ã®ã‚¯ãƒ¬ã‚¸ãƒƒãƒˆã‚«ãƒ¼ãƒ‰æƒ…å ±ã‚’ä¸æ£ã«å…¥æ‰‹ã—ã¦ãƒãƒƒãƒˆä¸Šã§å•†å“を購入ã™ã‚‹äº‹ä»¶ãŒç›¸æ¬¡ã„ã§ã„ã‚‹ã“ã¨ã‚’å—ã‘ã¦ã€ã‚«ãƒ¼ãƒ‰ä¼šç¤¾ã§ä½œã‚‹å›£ä½“ã¯ä¸æ£é˜²æ¢ã®å¯¾ç–ã¨ã—ã¦ã€åˆ©ç”¨è€…ãŒãƒãƒƒãƒˆã§å•†å“を購入ã™ã‚‹éš›ã«ã€äº‹å‰ã«ç™»éŒ²ã—ãŸãƒ‘スワードを入力ã™ã‚‹ã‚·ã‚¹ãƒ†ãƒ ã‚’å…¨ã¦ã®ã‚«ãƒ¼ãƒ‰ä¼šç¤¾ã«å°Žå…¥ã™ã‚‹æ–¹é‡ã‚’固ã‚ã¾ã—ãŸã€‚ インターãƒãƒƒãƒˆé€šè²©ã‚’å·¡ã£ã¦ã¯ã€ãƒ‘ソコン画é¢ã«ã‚¯ãƒ¬ã‚¸ãƒƒãƒˆã‚«ãƒ¼ãƒ‰ã®ç•ªå·ã¨æœ‰åŠ¹æœŸé™ã‚’入力ã™ã‚Œã°æ±ºæ¸ˆã§ãã‚‹ã“ã¨ã‚’悪用ã—ã¦ã€ä»–人å義ã®ã‚«ãƒ¼ãƒ‰æƒ…å ±ã‚’ä¸æ£ã«å…¥æ‰‹ã—ã¦ä»–人ã«ãªã‚Šã™ã¾ã—商å“を購入ã™ã‚‹äº‹ä»¶ãŒç›¸æ¬¡ã„ã§ã„ã¾ã™ã€‚ã“ã®ãŸã‚ã€å›½å†…ã®ã‚¯ãƒ¬ã‚¸ãƒƒãƒˆã‚«ãƒ¼ãƒ‰ä¼šç¤¾ãªã©ãŠã‚ˆã１１ï¼ï¼ç¤¾ã§ä½œã‚‹ã€Œæ—¥æœ¬ã‚¯ãƒ¬ã‚¸ãƒƒãƒˆå”会ã€ã¨ã€Œæ—¥æœ¬ã‚¯ãƒ¬ã‚¸ãƒƒãƒˆã‚«ãƒ¼ãƒ‰å”会ã€ã¯æ–°ãŸãªä¸æ£é˜²æ¢ç–ã¨ã—ã¦ã€ãƒãƒƒãƒˆã§å•†å“を購入ã™ã‚‹éš›ã€ã‚«ãƒ¼ãƒ‰ç•ªå·ã¨æœ‰åŠ¹æœŸé™ã«åŠ ãˆã¦åˆ©ç”¨è€…ãŒäº‹å‰ã«ç™»éŒ²ã—ãŸãƒ‘スワー
スパムメールBL(ブãƒãƒƒã‚¯ãƒªã‚¹ãƒˆ)ã«æŽ²è¼‰ã•ã‚ŒãŸæ™‚--maillogã¯æ•™ãˆã¦ãれる æ°—ã«ãªã‚‹ã‘ã©
>gxxxeã•ã‚“ コメントã‚ã‚ŠãŒã¨ã†ã”ã–ã„ã¾ã™ã€‚ 何ã‹ãŠå›°ã‚Šã®ã‚ˆã†ã§ã€ç§ã®è¨˜äº‹ã§å‚考ã«ãªã‚Œã°ã¨æ€ã„ã¾ã™ã€‚ å°‘ã—ã§ã‚‚ãŠå½¹ã«ç«‹ã¦ã‚Œã°ã‚ˆã„ã®ã§ã™ãŒï½¥ï½¥ï½¥ã€‚ ã‚‚ã—よã‚ã—ã‘ã‚Œã°ã€ã¾ãŸã“ã®æ‹™ãƒ–ãƒã‚°ã‚’覗ã„ã¦ã‚„ã£ã¦ãã ã•ã„。 | fuminchu | 2010/01/08 00:14 | URL | fuminchuã•ã‚“ã€ã¯ã˜ã‚ã¾ã—ã¦ã€‚ ã‚°ã‚°ã£ãŸã‚‰ã“ã“ã«ãŸã©ã‚Šã¤ãã¾ã—ãŸã€‚ ã•ã£ããã€ã‚‚ã†ã¡ã‚‡ã£ã¨èª¿ã¹ã¦ã¿ã‚‹ã“ã¨ã«ã—ã¾ã™ã€‚ 途方ã«æš®ã‚Œã¦ã„ãŸä¸ã§å…‰ã‚’見ã¤ã‘ãŸæ€ã„ãŒã—ã¦ã€ã¨ã¦ã‚‚ã†ã‚Œã—ã‹ã£ãŸã®ã§ã€ã‚³ãƒ¡ãƒ³ãƒˆã•ã›ã¦ã„ãŸã ãã¾ã—ãŸã€‚ã‚ã‚ŠãŒã¨ã†ã”ã–ã„ã¾ã—ãŸã€‚ | gxxxe | 2010/01/07 18:48 | URL | >ãªã‚ã³ã‚“ã•ã‚“ ã¾ãŸã¾ãŸã©ã†ã‚‚ã‚ã‚ŠãŒã¨ã†ã”ã–ã„ã¾ã™ã€‚ ISPã®ç®¡ç†ã‚’ã—ã¦ã„ã‚‹ã¨ã€è‰²ã‚“ãªãƒ¦ãƒ¼ã‚¶ãƒ¼ã•ã‚“ãŒã„ã‚‹ã®ã§å¤§å¤‰ã§ã™ã‚ˆã･･･ ãã®ãƒ¦ãƒ¼ã‚¶ãƒ¼ã”ã¨ã«æ±‚ã‚ã¦ãã‚‹è¦æ±‚も変ã‚ã‚‹ã§ã—ょã†ã—ã€é ã”ãªã—ã«æŠ¼ã•ãˆã¤
Strengthening trust and safety across the internet | Spamhaus
Strengthening trust and safety across the internet Spamhaus Project is the authority on IP and domain reputation. This intelligence enables us to shine a light on malicious activity, educate and support those who want to change for the better and hold those who don't to account. We do this together with a like-minded community.
ã‚»ã‚ãƒ¥ãƒªãƒ†ã‚£æƒ…å ± - iモードIDを用ã„ãŸã€Œã‹ã‚“ãŸã‚“ãƒã‚°ã‚¤ãƒ³ã€ã®DNS Rebinding脆弱性
iモードIDを用ã„ãŸã€Œã‹ã‚“ãŸã‚“ãƒã‚°ã‚¤ãƒ³ã€ã®DNS Rebinding脆弱性 HASHã‚³ãƒ³ã‚µãƒ«ãƒ†ã‚£ãƒ³ã‚°æ ªå¼ä¼šç¤¾ 公開日:2009å¹´11月24æ—¥ æ¦‚è¦ iモードブラウザ2.0ã®JavaScriptã¨DNS Rebindingå•é¡Œã®çµ„ã¿åˆã‚ã›ã«ã‚ˆã‚Šã€iモードIDを利用ã—ãŸèªè¨¼æ©Ÿèƒ½ï¼ˆä»¥ä¸‹ã‹ã‚“ãŸã‚“ãƒã‚°ã‚¤ãƒ³ï¼‰ã«å¯¾ã™ã‚‹ä¸æ£ã‚¢ã‚¯ã‚»ã‚¹ãŒå¯èƒ½ã¨ãªã‚‹å ´åˆãŒã‚ã‚‹ã“ã¨ã‚’確èªã—ãŸã®ã§å ±å‘Šã™ã‚‹ã€‚å±é™ºåº¦ã®é«˜ã„攻撃手法ã§ã‚ã‚‹ã®ã§ã€ã‚µã‚¤ãƒˆé‹å–¶è€…ã«ã¯è‡³æ€¥ã®å¯¾ç–を推奨ã™ã‚‹ã€‚ 背景æºå¸¯é›»è©±ã®ã‹ã‚“ãŸã‚“ãƒã‚°ã‚¤ãƒ³ã¨ã¯ã€ã‚±ãƒ¼ã‚¿ã‚¤ãƒ–ラウザ（ãŸã¨ãˆã°iモードブラウザ）ã«ç”¨æ„ã•ã‚ŒãŸå¥‘約者固有IDを利用ã—ãŸç°¡æ˜“çš„ãªèªè¨¼ã§ã‚ã‚Šã€ãƒ¦ãƒ¼ã‚¶ãŒIDやパスワードを入力ã—ãªãã¦ã‚‚èªè¨¼ãŒå¯èƒ½ã¨ãªã‚‹ã€‚iモードIDã¯ã€NTTドコモã®æä¾›ã™ã‚‹å¥‘約者固有IDã®ä¸€ç¨®ã§ã€URLã«guid=ONã¨ã„ã†ã‚¯ã‚¨ãƒªã‚¹ãƒˆãƒªãƒ³ã‚°ã‚’å«ã‚ã‚‹ã“ã¨ã«ã‚ˆã‚Šã€ç«¯æœ«å›ºæœ‰ã®7æ¡ã®IDãŒWebサーãƒã«é€
Passwords Generator
パスワードを大é‡ã«è‡ªå‹•ç”Ÿæˆå¯èƒ½ãªç„¡æ–™ã®ã‚ªãƒ³ãƒ©ã‚¤ãƒ³ãƒ„ールã§ã™ã€‚パスワードã«ä½¿ç”¨ã™ã‚‹æ–‡å—ã€é•·ã•ã€å€‹æ•°ã«åŠ ãˆã€ä¸Šç´šè€…モードã§ã¯ã€æ–‡å—ã®æ§‹æˆãƒ‘ターンã€ã‚¢ãƒ«ã‚´ãƒªã‚ºãƒ ãªã©ã‚’カスタマイズã§ãã¾ã™ã€‚生æˆã—ãŸãƒ‘スワードã®å¼·åº¦ã‚’数値や色🚥ã§è¡¨ç¤ºã—ã¾ã™ã€‚パスワード生æˆå‡¦ç†ã®ã™ã¹ã¦ã¯ã‚ãªãŸã®ãƒ‘ソコン上ã§å®Ÿè¡Œã™ã‚‹ãŸã‚安全ã«ä½¿ç”¨ã§ãã¾ã™ã€‚フォーム内ã®è©²å½“ã™ã‚‹ãƒ‘ラメータã«ãƒžã‚¦ã‚¹ã‚’é‡ãã‚‹ã¨ç°¡å˜ãªèª¬æ˜ŽãŒè¡¨ç¤ºã•ã‚Œã¾ã™ã€‚応用的ãªä½¿ã„æ–¹ã¯Graviness Blogã‚’å‚ç…§ã—ã¦ãã ã•ã„。
CSRF対ç–ã¯åŸºæœ¬? | 水無月ã°ã‘らã®ãˆã³æ—¥è¨˜
コミュニティーサイト構築ã«è©³ã—ã„専門家ã¯ã€ã€ŒCSRF対ç–ã¯åŸºæœ¬çš„ãªã¨ã“ã‚。Amebaãªã†ãŒå¯¾ç–ã—ã¦ã„ãªã‹ã£ãŸã®ã¯æ„外ã ã€ã¨è©±ã—ã¦ã„る。 「CSRF対ç–ã¯åŸºæœ¬çš„ãªã¨ã“ã‚ã€ã¨è¨€ã‚れるã¨ã€ç™ºè¦‹ã‚‚対処も容易ã§ã‚るよã†ãªå°è±¡ã‚’å—ã‘ã¾ã™ãŒã€ã“ã‚Œã¯å°‘ã—é•å’Œæ„ŸãŒã‚ã‚Šã¾ã™ã。 åŠå¹´ã»ã©å‰ã®è©±ã§ã™ãŒã€å¼Šç¤¾ (www.b-architects.com)ã®ã‚¯ãƒ©ã‚¤ã‚¢ãƒ³ãƒˆãŒæ–°è¦ã®ECサイトを立ã¡ä¸Šã’ã‚‹ã«ã‚ãŸã£ã¦è„†å¼±æ€§è¨ºæ–ã‚’ã—よã†ã¨ã„ã†è©±ã«ãªã‚Šã€å¤–部ã®ä¼šç¤¾ã«è¦‹ç©ã‚‚ã‚Šä¾é ¼ã‚’ã—ãŸã“ã¨ãŒã‚ã‚Šã¾ã™ã€‚ãã®éš›ã€æ¥ç•Œã§ã¯çŸ¥ã‚‰ãªã„人ãŒã„ãªã„よã†ãªå¤§æ‰‹ä¼šç¤¾ã®è¨ºæ–メニューも見ã›ã¦ã„ãŸã ãã¾ã—ãŸã€‚ ãã“ã§å°è±¡çš„ã ã£ãŸã®ã¯ã€æ¨™æº–ã¨ã•ã‚Œã‚‹ãƒ—ランã«CSRFã®è¨ºæ–ãŒå«ã¾ã‚Œã¦ã„ãªã‹ã£ãŸã“ã¨ã§ã™ã€‚標準ã®ã‚³ãƒ¼ã‚¹ã«ã¯XSSã‚„SQLインジェクションã®è¨ºæ–ãŒå«ã¾ã‚Œã¾ã™ãŒã€CSRFã¯ã€Œã‚¢ãƒ‰ãƒãƒ³ã‚¹ãƒ‰ã€ãƒ—ランã®æ–¹ã«ã—ã‹å«ã¾ã‚Œã¦ã„ã¾ã›ã‚“ã§ã—ãŸã€‚普通ã®ã‚µã‚¤ãƒˆã§ã¯XSSã‚„
@IT: 「ã¼ãã¯ã¾ã¡ã¡ã‚ƒã‚“〠――知られã–ã‚‹CSRF攻撃
ã‚ã‚‹æ—¥ã€å¤§æ‰‹SNS（Social Networking Site）ã®mixiã®æ—¥è¨˜ã«ã“ã®ã‚ˆã†ãªæ›¸ãè¾¼ã¿ãŒã‚ã£ãŸã€‚ãれも1人ã ã‘ã§ãªãã€åŒæ—¥ã«æ•°å¤šãã®ãƒ¦ãƒ¼ã‚¶ãƒ¼ã®æ—¥è¨˜ã«åŒã˜æ–‡é¢ãŒæŽ²è¼‰ã•ã‚Œã¦ã„ãŸã€‚ ã“ã‚Œã¯ã€å˜ã«ã“ã®ã‚ˆã†ãªæ–‡ç« ãŒã¯ã‚„ã‚Šã€ãƒ¦ãƒ¼ã‚¶ãƒ¼è‡ªèº«ãŒæ„図ã—ã¦æŽ²è¼‰ã—ãŸã®ã§ã¯ãªãã€ã‚る仕掛ã‘ã«ã‚ˆã£ã¦ãƒ¦ãƒ¼ã‚¶ãƒ¼è‡ªèº«ãŒæ°—付ã‹ãªã„ã†ã¡ã«å¼•ãèµ·ã“ã•ã‚ŒãŸç¾è±¡ãªã®ã§ã‚る。ãã®ä»•æŽ›ã‘ã¨ã¯ã€CSRF（Cross-Site Request Forgeries）ã¨å‘¼ã°ã‚Œã‚‹æ”»æ’ƒæ‰‹æ³•ã®ä¸€ç¨®ã 。 編集部注： ç¾åœ¨ã€ã€Œã¯ã¾ã¡ã¡ã‚ƒã‚“ã€ãƒˆãƒ©ãƒƒãƒ—ã¯ã€mixié‹å–¶è€…ã«ã‚ˆã‚Šå¯¾ç–ã•ã‚Œã¦ã„ã¾ã™ã€‚上記ã®ã‚µãƒ³ãƒ—ルã¯ã€mixi風ã«å†æ§‹æˆã—ãŸã‚‚ã®ã§ã™ã€‚ 本稿ã®å†…容を検証ã™ã‚‹å ´åˆã¯ã€å¿…ãšå½±éŸ¿ã‚’åŠã¼ã•ãªã„é™ã‚‰ã‚ŒãŸç’°å¢ƒä¸‹ã§è¡Œã£ã¦ä¸‹ã•ã„。ã¾ãŸã€æœ¬ç¨¿ã‚’利用ã—ãŸè¡Œç‚ºã«ã‚ˆã‚‹å•é¡Œã«é–¢ã—ã¾ã—ã¦ã¯ã€ç†è€…ãŠã‚ˆã³ã‚¢ã‚¤ãƒ†ã‚£ãƒ¡ãƒ‡ã‚£ã‚¢æ ªå¼ä¼šç¤¾ã¯ä¸€åˆ‡è²¬ä»»ã‚’è² ã„ã‹ãã¾ã™ã€‚ã”了承ãã ã•ã„
Tomcatã®ã‚»ã‚ュリティã¨ãƒªã‚¹ã‚¯ã®åŸºæœ¬åˆ†ã‹ã£ã¦ã‚‹ï¼Ÿ
Tomcatã«ã‚ã‚ŠãŒã¡ãªã‚»ã‚ュリティリスクã®æ”¹å–„ ã“ã®é€£è¼‰ã®ç¬¬1回ã«æ²¿ã£ã¦ã‚¤ãƒ³ã‚¹ãƒˆãƒ¼ãƒ«ã—ã¦ã„ãªã„åˆæœŸçŠ¶æ…‹ã®ã¾ã¾ã®Tomcatã§ã¯ã„ãã¤ã‹ã®ã‚»ã‚ュリティリスクãŒæ®‹ã£ã¦ã„ã‚‹å ´åˆãŒã‚ã‚Šã¾ã™ã€‚今回ã€é€£è¼‰ç¬¬1回ã©ãŠã‚Šã«ã‚¤ãƒ³ã‚¹ãƒˆãƒ¼ãƒ«ã—ã¦ã„ãªã„人ã¯æ¬¡ã®ç‚¹ã‚’確èªã—ã¦ã„ãã¾ã—ょã†ï¼ˆé€£è¼‰ç¬¬1回ã©ãŠã‚Šã«ã‚¤ãƒ³ã‚¹ãƒˆãƒ¼ãƒ«ã—ã¦ã„る人ã¯è¨å®šã™ã‚‹å¿…è¦ã¯ä¸€åˆ‡ã‚ã‚Šã¾ã›ã‚“）。 åˆæœŸçŠ¶æ…‹ã§æ°—付ãã«ãã„ã‚»ã‚ュリティ・ホールã¨ãã®å¯¾å¿œ root権é™ã§å…¬é–‹ã‚¢ãƒ—リケーションを実行ã—ã¦ã„ã‚‹ã¨ã€ã‚¢ãƒ—リケーションã«ãƒãƒƒãƒ•ã‚¡ã‚ªãƒ¼ãƒãƒ¼ãƒ•ãƒãƒ¼ãŒå˜åœ¨ã—ãŸå ´åˆã€ãã®æ¨©é™ã§ä»»æ„ã®ã‚¢ãƒ—リケーションを実行ã•ã‚Œã¦ã—ã¾ã†æã‚ŒãŒã‚ã‚Šã¾ã™ã€‚ã—ã‹ã—ã€é€šå¸¸ã®Tomcatã¯$CATALINA_HOME/bin/startup.shã§èµ·å‹•ã—ã¦åˆ©ç”¨ã™ã‚‹ã‚ˆã†ã«è¨è¨ˆã•ã‚Œã¦ãŠã‚Šã€root権é™ã§å®Ÿè¡Œã™ã‚‹ã‚ˆã†ã«ãªã£ã¦ã„ã¾ã™ã€‚ ã“ã®ã‚ˆã†ãªå ´åˆã€Linuxã«å®Ÿè£…ã•ã‚Œã¦ã„ã‚‹suã‚„runuser
安全ãªã‚»ãƒƒã‚·ãƒ§ãƒ³ç®¡ç†ã‚’実ç¾ã™ã‚‹ãŸã‚㫠― ï¼ IT
HTTPを使用ã—ãŸWebアプリケーションã«ãŠã„ã¦ã€å®‰å…¨ãªã‚»ãƒƒã‚·ãƒ§ãƒ³ç®¡ç†ã‚’è¡Œã†ã“ã¨ã¯é›£ã—ã„å•é¡Œã§ã‚る。タブブラウザã«ã‚ˆã‚‹ç”»é¢ã®è¤‡æ•°èµ·å‹•ã‚„ã€Webブラウザã®æˆ»ã‚‹ãƒœã‚¿ãƒ³ï¼æ›´æ–°ãƒœã‚¿ãƒ³ã®æŠ¼ä¸‹ã¨ã„ã£ãŸã€äºˆæœŸã—ãªã„ç”»é¢é·ç§»ã«èµ·å› ã™ã‚‹ãƒã‚°ã®ç™ºç”Ÿã«é ã‚’æ‚©ã¾ã›ã‚‹ã“ã¨ã¯å¤šã„ã ã‚ã†ã€‚ 大ããªå•é¡ŒãŒç™ºç”Ÿã—ãªã„ãªã‚‰ã°ã€ç”»é¢é·ç§»ã®ä»•æ§˜ä¸Šã®åˆ¶é™ã‚’クライアントã«è¨±å®¹ã—ã¦ã‚‚らã†é¸æŠžè‚¢ã‚‚ã‚ã‚‹ã ã‚ã†ãŒã€ä¸æ£ãªç”»é¢é·ç§»ã‚’利用ã—ãŸã‚»ã‚ュリティホールãŒå˜åœ¨ã™ã‚‹ãªã‚‰ã°ã€æ”¾ç½®ã—ã¦ãŠã„ã¦ã‚ˆã„å•é¡Œã§ã¯ãªããªã‚‹ã€‚今回ã¯ã‚»ãƒƒã‚·ãƒ§ãƒ³ç®¡ç†ã‚’安全ã«è¡Œã†ãŸã‚ã®åŸºæœ¬çš„ãªæ³¨æ„点ã«ã¤ã„ã¦è§£èª¬ã—ã¦ã„ã“ã†ã€‚ セッション固定攻撃ã¨ã¯ä½•ã‹ セッション固定攻撃（Session Fixation）ã¨ã„ã†è„†å¼±æ€§ã‚’耳ã«ã—ãŸã“ã¨ã¯ã‚ã‚‹ã ã‚ã†ã‹ã€‚脆弱性ãã®ã‚‚ã®ã®è©³ã—ã„解説ã¯æœ¬ç¨¿ã®è¶£æ—¨ã§ã¯ãªã„ãŸã‚割愛ã™ã‚‹ãŒã€ç°¡æ½”ã«èª¬æ˜Žã™ã‚‹ã¨ã€ä»¥ä¸‹ã®ã‚ˆã†ãªæ‰‹é †ã‚’è¸ã‚€ã“ã¨ã«ã‚ˆã‚Šã‚»ãƒƒã‚·ãƒ§ãƒ³æƒ…å ±ãŒãƒã‚¤ã‚¸ãƒ£
é«˜æœ¨æµ©å…‰ï¼ è‡ªå®…ã®æ—¥è¨˜ - ドコモã¯XMLHttpRequestã«iモードIDを載ã›ã‚‹ã®ã‚’æ¢ã‚ã‚‹ã¹ãã
■ドコモã¯XMLHttpRequestã«iモードIDを載ã›ã‚‹ã®ã‚’æ¢ã‚ã‚‹ã¹ãã （建è¨äºˆå®šåœ°ï¼‰ （27日追記）建è¨è¨ˆç”»å»ƒæ¢ã€‚XMLHttpRequestã ã‘æ¢ã‚ã¦ã‚‚効果ãŒãªã„ã“ã¨ã‚’ç†è§£ã—ãŸãŸã‚。 （29日追記）何ãŒè¨€ã„ãŸã‹ã£ãŸã‹ã€å¾Œæ—¥æ›¸ã。
æºå¸¯é›»è©±å‘ã‘Webアプリã®ã‚»ãƒƒã‚·ãƒ§ãƒ³ç®¡ç†ã¯ã©ã†ãªã£ã¦ã„ã‚‹ã‹ - ockeghem's blog
最近購入ã—ãŸPHP×æºå¸¯ã‚µã‚¤ãƒˆ 実践アプリケーション集をèªã‚“ã§ã„ã¦å¦™ãªæ„Ÿã˜ãŒã—ãŸã®ã§ã€ã“ã®æ„Ÿè¦šã¯ãªã‚“ã ã‚ã†ã¨æ€ã£ã¦ã„ãŸã‚‰ã€ãã®ç†ç”±ã«æ°—ã¥ã„ãŸã€‚本書ã«å‡ºã¦ãるアプリケーションã¯ã€PHPã®ã‚»ãƒƒã‚·ãƒ§ãƒ³ç®¡ç†æ©Ÿæ§‹ã‚’使ã£ã¦ã„ãªã„ã®ã 。ãã‚“ãªé¦¬é¹¿ãªã¨æ€ã£ãŸãŒã€ç›®æ¬¡ã«ã‚‚索引ã«ã‚‚「セッションã€ã‚„「sessionã€ã¨ã„ã†èªžã¯å‡ºã¦ã“ãªã„。サンプルプãƒã‚°ãƒ©ãƒ ã®CD-ROM上㧠session を検索ã—ã¦ã‚‚出ã¦ã“ãªã„ã®ã§ã€ã‚»ãƒƒã‚·ãƒ§ãƒ³ã¯ã©ã“ã§ã‚‚使ã£ã¦ã„ãªã„ã®ã ã‚ã†ã€‚ ãã†ã¯è¨€ã£ã¦ã‚‚ã€æœ¬æ›¸ã«ã¯ãƒ–ãƒã‚°ã‚„SNSãªã©èªè¨¼ãŒå¿…è¦ãªã‚¢ãƒ—ãƒªã‚±ãƒ¼ã‚·ãƒ§ãƒ³ã‚‚ç™»å ´ã™ã‚‹ã€‚本書ã§æŽ¡ç”¨ã—ã¦ã„ã‚‹èªè¨¼æ–¹å¼ã¯ã“ã†ã 。 æºå¸¯é›»è©±ã®å€‹ä½“è˜åˆ¥ç•ªå·ã‚’用ã„ãŸã€ã„ã‚ゆる「ã‹ã‚“ãŸã‚“ãƒã‚°ã‚¤ãƒ³ã€ã®ã¿ã‚’使ㆠèªè¨¼çŠ¶æ…‹ã‚’セッション管ç†æ©Ÿæ§‹ã§ç¶æŒã—ãªã„。全ã¦ã®ãƒšãƒ¼ã‚¸ã§æ¯Žå›žèªè¨¼ã™ã‚‹ ãã®ãŸã‚ã€ã€ŒiモードIDã€ãªã©ã€ãƒ¦ãƒ¼ã‚¶ã«ç¢ºèªã›ãšã«è‡ªå‹•çš„ã«é€ä¿¡ã•ã‚Œã‚‹IDを用ã„ã‚‹ ã¤ã¾ã‚Šã€å…¨ã¦
1
リリースã€éšœå®³æƒ…å ±ãªã©ã®ã‚µãƒ¼ãƒ“スã®ãŠçŸ¥ã‚‰ã›
最新ã®äººæ°—エントリーã®é…ä¿¡
j次ã®ãƒ–ックマーク
kå‰ã®ãƒ–ックマーク
lã‚ã¨ã§èªã‚€
eコメント一覧を開ã
oページを開ã
IPA-安全ãªã‚¦ã‚§ãƒ–サイトã®ä½œã‚Šæ–¹2021年改訂第7版.pdf
{{#tags}}- {{label}}
{{/tags}}