以下は、WEBプログラマー用のWEB脆弱性の基礎知識の一覧です。 WEBプログラマーの人はこれを読めばWEB脆弱性の基礎をマスターしてWEBプログラムを書くことができるようになっているかもです。 また、WEB脆弱性の簡易リファレンスとしても少し利用できるかもしれません。 WEBアプリケーションを開発するには、開発要件書やプログラム仕様書通りに開発すれば良いというわけにはいきません。 そう、WEB脆弱性を狙う悪意のユーザにも対処しないといけないのです。 今回、WEBアプリケーションを開発にあたってのWEB脆弱性を、以下の一覧にまとめてみました。 このまとめがWEBアプリケーション開発の参考になれば幸いです。 インジェクション クロスサイト・スクリプティング セッション・ハイジャック アクセス制御や認可制御の欠落 ディレクトリ・トラバーサル(Directory Traversal) CSRF（

今日話題になった Gumblar の亜種によって FFFTP の設定情報から FTP 情報が漏れる件で、FTP 自体の危険性と FFFTP 自体の特性、さらに Gumblar 対策という点で少し情報が混乱している状況が見受けられます。そこでその点を簡単にまとめてみました。 去年あたりから、「Gumblar （ガンブラー）」 に代表されるような、FTP のアカウント情報を何らかの手段で盗み出して Web サーバにアクセスし、Web サイトを改竄して被害を広めていくタイプのウィルスが問題になっていますが、今日になって広く利用されているフリーの FTP クライアントである 「FFFTP」 にアカウント情報漏洩の危険性が見つかったということで話題になっていました。 「FFFTP」のパスワードが"Gumblar"ウイルスにより抜き取られる問題が発生 ： 窓の杜 ただ、この問題で、FTP 自体の危険性

中国のサイバー攻撃に対し、中国市場撤退もありえるとの対抗姿勢を示したGoogle。国際NGO「国境なき記者団」によると、中国のほか、ミャンマー・エジプト・朝鮮民主主義人民共和国・サウジアラビア・ベトナムなどの国々でもオンライン上のコミュニケーションを厳しく監視する「インターネット検閲」が行われているそうです。 さて、このような国々に旅行する際、オンライン上で自分の身を守るためにどうすればよいでしょうか？　こちらでは、バックパッカーで米Lifehackerの読者・匿名希望さんが旅先でのネットサバイバル術を紹介してくれました。「旅行先でのオンラインコミュニケーションはもっぱらインターネットカフェ」というバックパッカー派のためのサバイバルツールは以下の10つです。 1: Gmail / Google Apps いつでもどこからでもデータにアクセスできる「クラウドソーシング」の雄Google。カレ

XSSにCSRFにSQLインジェクションにディレクトリトラバーサル……Webアプリケーションのプログラマが知っておくべき脆弱性はいっぱいあります。そこで本連載では、そのようなメジャーなもの“以外”も掘り下げていきます （編集部） JSONPだって、セキュリティを気にしてほしい 皆さんこんにちは、はせがわようすけです。今回は、JSONPを使用する場合のセキュリティについて解説しましょう。 JSONPとは、JSON with Paddingの名称が示しているとおり、JSON形式のデータにコールバック関数の呼び出しのためのコードを付加することで、クロスドメインでデータの受け渡しを実現するためのデータ形式です。JavaScriptからクロスドメインでのデータが簡単に扱えることなどを理由に、多数のWebアプリケーションでAPIの一部としてJSONP形式でデータの提供が行われています。 具体的な例を見

MobsterWorldは、ユーザーはマフィアの1人となってお金を増やすゲーム。ほかのユーザーを敵として戦いを挑み、勝利すれば資金や経験値が得られる。ためた資金を使って武器を買い、攻撃力を高めたりできる。ゲームはTwitterのアカウントと連携しており、ゲーム上での行動がTwitter上でつぶやきとして発言される。 OAuthとは　アカウントへのアクセス権を安全に渡せる仕組み Twitterはこの3月からOAuthを導入。ユーザーのアカウントのほぼすべての機能を、ID・パスワードを渡さずに、第三者のサービスから利用できるようにした。 アカウントへのアクセスを提供するだけなら、IDとパスワードを渡すだけでもいい。実際、TwitterのAPIを使ったサービスで、IDとパスワードを入力して利用するものは多い。 ただ、外部サービスにIDとパスワードを渡すとセキュリティ面で不安がある上、パスワードを

ハードディスクのデータが吹っ飛ぶというのは誰にとっても非常事態。慌てて業者を探したりもするのですが、データ復旧業界というのは不透明な部分が多く「物理障害の復旧技術はなく他社に外注する、仲介のような実態の業者」や「別の復旧業者が復旧させると信用が落ちるため、復旧できないよう破壊してから返却する業者」など悪質な業者の存在もあると聞きます。 そんなグレーなデータ復旧業界において「すべてを見せることで顧客に安心してもらいたい」という信条から唯一社内見学を実施しているオープンな会社日本データテクノロジーで、データ復旧の現場を見学させてもらい、業界一位の秘密やデータ復旧についてまことしやかにささやかれているうわさの真偽についてインタビューしてきました。 詳細は以下から。日本データテクノロジー データ復旧サービスならデータ復旧.com 日本データテクノロジーが入っているのは銀座・並木通りにある東京朝日ビ

横浜市の「ゴミ」と「個人情報」の事情について少し書きます。私以外の人も、横浜市在住の人は知っておいた方がよいと判断しましたので、以下経緯と情報をまとめておきます。 まず、先日ですが、画像で掲載しているようなチラシが、ビニール袋に入って、家のドアノブに掛かっていました。 文面を見て、何か新手の詐欺の類い（ローカル詐欺？）かと思い、「資源循環局 港北事務所」と「記載電話番号」が実在するかネットで調べてみたら、確かに存在していました。 そこで翌日電話を掛けました。ゴミの分別の仕方が間違っていたということなので、どこが間違っていたのか確認をしました。世の中、他人に指摘されないと気付かない部分もあるので、間違いを指摘されれば直します。分別を間違っていたのは、私が悪いので。（補足2009.08.08：普段から分別は行っていますが、一部の物品に関して、カテゴリーが違っていたということでした） 以下、この

苦しんできた就職氷河期世代を支えたい　ひきこもり、親の高齢化、心身不調の40－50代…官民連携で支援充実

最近購入したPHP×携帯サイト 実践アプリケーション集を読んでいて妙な感じがしたので、この感覚はなんだろうと思っていたら、その理由に気づいた。本書に出てくるアプリケーションは、PHPのセッション管理機構を使っていないのだ。そんな馬鹿なと思ったが、目次にも索引にも「セッション」や「session」という語は出てこない。サンプルプログラムのCD-ROM上で session を検索しても出てこないので、セッションはどこでも使っていないのだろう。 そうは言っても、本書にはブログやSNSなど認証が必要なアプリケーションも登場する。本書で採用している認証方式はこうだ。 携帯電話の個体識別番号を用いた、いわゆる「かんたんログイン」のみを使う 認証状態をセッション管理機構で維持しない。全てのページで毎回認証する そのため、「iモードID」など、ユーザに確認せずに自動的に送信されるIDを用いる つまり、全て

入力したパスワードは「****」で隠さずに、はっきり見えるようにした方がいいのではないか。そんな提案をめぐり研究者が賛否両論を展開している。 Webサイトなどでパスワードを入力する際、「****」を使って入力した文字が見えないようにする必要はないのではないか――。そんな提案をめぐり、研究者が賛否両論を展開している。 最初に問題を提起したのはWebユーザビリティ研究の第一人者ヤコブ・ニールセン氏。「パスワードを入力する際、画面に“****”としか表示されないのはユーザビリティ上問題がある。一般的に、パスワードを隠してもセキュリティは向上しない。それどころかログインに失敗してコストがかさむ」と指摘し、入力したパスワードの文字がはっきり見えるようにした方がいいと提言した。 著名なセキュリティ研究者のブルース・シュナイアー氏も、ブログでニールセン氏の意見に賛同を表明。「パスワードの文字を表示すれば

年間約50現場通うアイドルオタクが選ぶ2024年現場ベスト３！ こちらのブログでは初めまして。アイドルオタクブロガーのあややと申します。普段は「それは恋とか愛とかの類ではなくて」（https://moarh.hatenablog.jp/）というブログを書いています。この度、アイドルオタクの友人たちと4人で交換日記を始めることになりました！ …

Web アプリケーションとは切っても切れないセッション機構。DB ベースでセッション管理を行なって得られた知見と、それを元に考察した結果をまとめてみます。 セッションデータの特性 DB で管理される他のデータに比べ、セッションデータはかなり特殊です。主な特徴は次のような感じ。 データが増加するのが速い 定期的な削除が必要 頻繁に更新される リクエスト毎に読みに行く必要がある このデータを読めないとアプリケーション全体にアクセスできない アクセス頻度が高いということです。あと、1つ目の特徴からセッションデータについては意識的に管理してやる必要があります。 現在の環境 アプリケーションの領域が少し特殊で、セッションデータがやたらたまります(ユーザ数何百万のサービスとかそういうのではないです)。 RDBMS MySQL 4.0.22 ストレージエンジン InnoDB レコード数 6千万 テータサ

ヤフー株式会社は、2023年10月1日にLINEヤフー株式会社になりました。LINEヤフー株式会社の新しいブログはこちらです。LINEヤフー Tech Blog こんにちは、ショッピング事業部開発部の吉野と申します。 今回は「アプリケーションログの設計と監視」について、実際にYahoo!ショッピングで採用している方法を少し交えながらお話しさせていただきます。 1.ログ設計のポイント ログ設計は、以下のポイントに注意して行うとよいでしょう。 ・ログ出力のポイントが押さえられているか ⇒セッションの始まりと終わり、処理の過程、例外処理の中など。 フローチャートのような処理フロー図があれば、そこにログ出力ポイントを書き込むとわかりやすくなります。 ・出力する情報に過不足はないか ⇒「いつ(システム時間)」「だれが(プロセスID・IPアドレスなど)」 「どこで(パスなど)」「なにをした(実行コマン