CSRF対ç–ã®ã‚„ã‚Šæ–¹ã€ãã‚ãã‚アップデートã—ã¾ã›ã‚“ã‹ / Update your knowledge of CSRF protectionPHPerKaigi 2024 • Day 1ã§ã®ç™»å£‡è³‡æ–™ã§ã™ã€‚ https://phperkaigi.jp/2024/ https://fortee.jp/phperkaigi-2024/proposal/0d0f8507-0a53-46f6-bca6-23386d78f17f ※ Author…
本当ã«ã‚ã£ãŸ Web アプリケーションã®è„†å¼±æ€§
ã“ã®è¨˜äº‹ã®ç›®çš„ 今ã¾ã§ Web アプリケーション製作を行ã£ãŸçµŒé¨“ãŒç„¡ã„æ–¹ãŒã€Œã¡ã‚‡ã£ã¨å€‹äººé–‹ç™ºã§ä½•ã‹ä½œã£ã¦ã¿ã‚ˆã†ã‹ãªï¼ã€ã¨æ€ã£ãŸã¨ãã«ã†ã£ã‹ã‚Šè„†å¼±æ€§ã‚’作りã“ã‚“ã§ã—ã¾ã†ã“ã¨ã‚’å°‘ã—ã§ã‚‚防ã’ãŸã‚‰ã„ã„ãªã¨è€ƒãˆã¾ã—ãŸã€‚ ãã®ãŸã‚ã«ã¯ã¾ãšè„†å¼±æ€§ã‚’他人事ã ã¨è€ƒãˆãªã„ã“ã¨ãŒå¤§äº‹ã ã¨æ€ã£ãŸã®ã§ã€ç§ãŒéŽåŽ»ã®é–‹ç™ºç¾å ´ã«ãŠã„ã¦å®Ÿéš›ã«éé‡ã—ãŸã“ã¨ãŒã‚ã‚‹ Web アプリケーションã®è„†å¼±æ€§ã®äº‹ä¾‹ã‚’å¹¾ã¤ã‹ç´¹ä»‹ã—ã¾ã™ã€‚ 紹介ã®å‰ã«æ³¨æ„å–šèµ·ã‚’ã—ã¾ã™ã€‚ 自分ãŒç®¡ç†ã—ã¦ã„ã‚‹ã‚ã‘ã§ã¯ãªã„ Web アプリケーションã«å¯¾ã—ã€ä¾é ¼ã•ã‚Œã¦ã‚‚ã„ãªã„ã®ã«è„†å¼±æ€§ã‚’探ã™è¡Œç‚ºã¯çµ¶å¯¾ã«ã—ãªã„ã§ãã ã•ã„。ãã®è¡Œç‚ºã®å†…容ã«ã‚ˆã£ã¦ã¯çŠ¯ç½ªã«ãªã‚‹å¯èƒ½æ€§ã‚‚ã‚ã‚Šã¾ã™ã€‚ 外部ã‹ã‚‰æ¸¡ã•ã‚ŒãŸãƒ‡ãƒ¼ã‚¿ã‚’何ã®å¯¾ç–ã‚‚ãªã—ã« SQL ã«åŸ‹ã‚込んã§ã„ã‚‹ SQL インジェクション攻撃ã®èª¬æ˜Žã§ã‚ˆãã¿ã‚‰ã‚Œã‚‹ä¾‹ã§ã™ãŒã€ãƒã‚°ã‚¤ãƒ³å‡¦ç†ã§ãƒ¦ãƒ¼ã‚¶ãƒ¼ãŒå…¥åŠ›ã—㟠ID ã¨ãƒ‘スワードã«ä¸€è‡´ã™ã‚‹ãƒ¦ãƒ¼ã‚¶ãƒ¼æƒ…å ±
見ã¦ã„るサイト上ã«éœ²å‡ºã—ã¦ã„ã‚‹æ©Ÿå¯†æƒ…å ±(APIトークンã€IPアドレスãªã©)を見ã¤ã‘るブラウザ拡張を作りã¾ã—ãŸ
見ã¦ã„るサイト上ã«éœ²å‡ºã—ã¦ã„ã‚‹æ©Ÿå¯†æƒ…å ±(APIトークンã€IPアドレスãªã©)を見ã¤ã‘るブラウザ拡張を作りã¾ã—㟠Secretlintã¨ã„ã†APIトークンãªã©ã®æ©Ÿå¯†æƒ…å ±ãŒãƒ•ã‚¡ã‚¤ãƒ«å†…ã«å«ã¾ã‚Œã¦ã„ã‚‹ã‹ã‚’ãƒã‚§ãƒƒã‚¯ã§ãるツールを書ã„ã¦ã„ã¾ã™ã€‚ Secretlintã¯ã‚³ãƒžãƒ³ãƒ‰ãƒ©ã‚¤ãƒ³ãƒ„ールã¨ã—ã¦å‹•ãã®ã§ã€ä¸»ã«CIã‚„Gitã®pre-commit hookを利用ã—ã¦ã€ãƒªãƒã‚¸ãƒˆãƒªã«æ©Ÿå¯†æƒ…å ±ãŒå…¥ã‚‹ã®ã‚’防æ¢ã§ãã¾ã™ã€‚ Secretlintã§APIトークンや秘密éµãªã©ã®ã‚³ãƒŸãƒƒãƒˆã‚’防æ¢ã™ã‚‹ | Web Scratch 一方ã§ã€å®Ÿéš›ã®ã‚¦ã‚§ãƒ–サービスãªã©ã¯æ©Ÿå¯†æƒ…å ±ãŒãƒ•ã‚¡ã‚¤ãƒ«ã«ãƒãƒ¼ãƒ‰ã‚³ãƒ¼ãƒ‰ã•ã‚Œã¦ã„ã‚‹ã‚ã‘ã§ã¯ãªã(Secrelint自体ãŒã“ã†ã„ã†ãƒãƒ¼ãƒ‰ã‚³ãƒ¼ãƒ‰ã‚’防ãツールã§ã™)ã€ç’°å¢ƒå¤‰æ•°ã‚„Databaseã«ä¿å˜ã—ã¦ã„ã‚‹ã¨æ€ã„ã¾ã™ã€‚ ã“ã®ã‚ˆã†ãªå ´åˆã«ã‚‚ã€ã‚³ãƒ¼ãƒ‰ã®ãƒŸã‚¹ãªã©ã«ã‚ˆã£ã¦å…¬é–‹ã™ã‚‹ã¹ãã§ã¯ãªã„æƒ…å ±(秘密éµã€APIトークンã€Sl
ã¡ã‚‡ã£ã¨ã§ã‚‚ã‚»ã‚ュリティã«è‡ªä¿¡ãŒãªã„ãªã‚‰ã€ Firebase Authentication を検討ã—よã†
note ã®ã‚„らã‹ã—ã®ã‚ã®ã¸ã‚“ã«ã¤ã„ã¦ã€‚ èªè¨¼è‡ªä½œã€ Rails 〠Devise - Diary パーフェクト Rails 著者ãŒè§£èª¬ã™ã‚‹ devise ã®ç¾ä»£çš„ãªãƒ¦ãƒ¼ã‚¶ãƒ¼èªè¨¼ã®ãƒ¢ãƒ‡ãƒ«æ§‹æˆã«ã¤ã„㦠- joker1007’s diary èªè¨¼ã‚µãƒ¼ãƒãƒ¼ã®å®Ÿè£…ã¯æœ¬è³ªçš„ã«é›£ã—ã„ã§ã™ã€‚ã‚»ã‚ュリティãŒçµ¡ã‚€ã‚‚ã®ã¯ã€Œç°¡å˜ãªå®Ÿè£…ã€ãªã©ãªãã€ãƒ—ãƒã‚¢ãƒžå€‹äººæ³•äººå•ã‚ãšã€å€‹äººæƒ…å ±ã‚’å®ˆã‚‹ã¨ã„ã†ç‚¹ã§ã€åŒã˜æ°´æº–ã‚’è¦æ±‚ã•ã‚Œã¾ã™ã€‚悪æ„ã‚ã‚‹ãƒãƒƒã‚«ãƒ¼ã¯å¸¸ã«ã‚«ãƒ¢ã‚’探ã—ã¦ã„ã¦ã€ã‚‚ã—èªè¨¼ãŒç ´ã‚‰ã‚ŒãŸå ´åˆã€è‡ªåˆ†ã ã‘ã§ã¯ãªã大多数ã«è¿·æƒ‘ãŒæŽ›ã‹ã‚Šã¾ã™ã€‚åˆå¿ƒè€…ã ã‹ã‚‰å…責ã•ã‚Œã‚‹ã¨ã„ã£ãŸã“ã¨ã‚‚ã‚ã‚Šã¾ã›ã‚“。全員ãŒåŒã˜åœŸä¿µã«ç«‹ãŸã•ã‚Œã¦ã„ã¾ã™ã€‚ ã¨ã¯ã„ãˆã€èªè¨¼åŸºç›¤ã‚’作らãªã„ã¨ã„ã‚ã‚“ãªã‚µãƒ¼ãƒ“スãŒæˆç«‹ã—ã¾ã›ã‚“。ãã†ã„ã†ã¨ãã«ã©ã†ã™ã‚‹ã‹ã€‚ Firebase Authentication ã§ã€ã‚¿ã‚¤ãƒˆãƒ«ã®ä»¶ãªã‚“ã§ã™ãŒã€ Firebase Authenticat
脆弱性ã®è¦‹ã¤ã‘方（åˆå¿ƒè€…å‘ã‘脆弱性検査入門）
WEBç³»ã®æƒ…å ±ã‚»ã‚ュリティ関連ã®å¦ç¿’メモã§ã™ã€‚メモãªã®ã§ä»–æƒ…å ±ã®ãƒã‚¤ãƒ³ã‚¿ã ã‘ã€ã¨ã‹ã®å‘怯ãªè¨˜äº‹ã‚‚ã‚ã‚Šã¾ã™ã€‚ ※2020.9 注記:本ブãƒã‚°ã®è§£èª¬è¨˜äº‹ã¯å†…容ãŒå¤ããªã£ã¦ãŠã‚Šã¾ã™ã€‚OWASP ZAPãªã©ã®ã‚½ãƒ•ãƒˆã‚¦ã‚§ã‚¢ã®è§£èª¬ã¯ç¾è¡Œãƒãƒ¼ã‚¸ãƒ§ãƒ³ã®ä»•æ§˜ã‹ã‚‰ä¹–離ã—ã¦ã„ã‚‹å¯èƒ½æ€§ãŒã‚ã‚Šã¾ã™ã€‚ EC-CUBEã§è„†å¼±æ€§ã‚’見ã¤ã‘ãŸã‚Šã€mixiã®è„†å¼±æ€§å ±å‘Šåˆ¶åº¦ã§æˆæžœã‚’挙ã’ãŸã‚Šã—ãŸã›ã„ã‹ã€ã€Œã©ã†ã‚„ã£ã¦è„†å¼±æ€§ã‚’見ã¤ã‘ã¦ã‚‹ã‚“ã§ã™ã‹ï¼Ÿã€ã¨ã„ã†è³ªå•ã‚’ã•ã‚Œã‚‹ã“ã¨ãŒæ™‚折ã‚ã‚Šã€ä¸€å¿œæ‰‹é †ã¯èª¬æ˜Žã™ã‚‹ã®ã§ã™ãŒã€ã„ã¤ã‚‚å£é ã§ç´°ã‹ãã¯èª¬æ˜Žã§ããªãã¦ç”³ã—訳ãªã„ã®ã§ã€è‡ªåˆ†ã®ã‚„り方をã¾ã¨ã‚ã¦ã“ã®ãƒ–ãƒã‚°ã«ã‚¢ãƒƒãƒ—ã—ã¦ãŠãã¾ã™ã€‚ 標準的ãªè„†å¼±æ€§æ¤œæŸ»ã®ã‚„ã‚Šæ–¹ã—ã‹èª¬æ˜Žã—ã¦ã„ãªã„ã®ã§ã€è„†å¼±æ€§æ¤œæŸ»ã®ã‚„り方を既ã«æŠŠæ¡ã—ã¦ã„る人ãŒèªã‚“ã§ã‚‚å¾—ã‚‹ã‚‚ã®ã¯å°‘ãªã„ã®ã§ã¯ãªã„ã‹ã¨æ€ã„ã¾ã™ã€‚今回ã¯è„†å¼±æ€§æ¤œæŸ»ã«èˆˆå‘³ãŒã‚ã‚‹ãŒä½•ã‚’ã©ã†ã—ãŸã‚‰ã„ã„ã‹åˆ†ã‹ã‚‰ãªã„よã†ãªåˆå¿ƒè€…å‘ã‘コンテンツã§
脆弱性体験å¦ç¿’ツール AppGoat | æƒ…å ±ã‚»ã‚ュリティ | IPA 独立行政法人 æƒ…å ±å‡¦ç†æŽ¨é€²æ©Ÿæ§‹
脆弱性体験å¦ç¿’ツール AppGoat 脆弱性体験å¦ç¿’ツール AppGoatã¨ã¯ 脆弱性体験å¦ç¿’ツール「AppGoatã€ã¯ã€è„†å¼±æ€§ã®æ¦‚è¦ã‚„対ç–方法ç‰ã®è„†å¼±æ€§ã«é–¢ã™ã‚‹åŸºç¤Žçš„ãªçŸ¥è˜ã‚’実習形å¼ã§ä½“系的ã«å¦ã¹ã‚‹ãƒ„ールã§ã™ã€‚利用者ã¯ã€å¦ç¿’テーマ毎ã«ç”¨æ„ã•ã‚ŒãŸæ¼”ç¿’å•é¡Œã«å¯¾ã—ã¦ã€åŸ‹ã‚è¾¼ã¾ã‚ŒãŸè„†å¼±æ€§ã®ç™ºè¦‹ã€ãƒ—ãƒã‚°ãƒ©ãƒŸãƒ³ã‚°ä¸Šã®å•é¡Œç‚¹ã®æŠŠæ¡ã€å¯¾ç–手法ã®å¦ç¿’を対話的ã«å®Ÿæ–½ã§ãã¾ã™ã€‚ ウェブアプリケーションã®è„†å¼±æ€§å¯¾ç–ã«å¿…è¦ãªã‚¹ã‚ルを習得ã—ãŸã„開発者やウェブサイトã®ç®¡ç†è€…ã«ãŠã™ã™ã‚ã§ã™ã€‚
1
リリースã€éšœå®³æƒ…å ±ãªã©ã®ã‚µãƒ¼ãƒ“スã®ãŠçŸ¥ã‚‰ã›
最新ã®äººæ°—エントリーã®é…ä¿¡
j次ã®ãƒ–ックマーク
kå‰ã®ãƒ–ックマーク
lã‚ã¨ã§èªã‚€
eコメント一覧を開ã
oページを開ã
IPA-安全ãªã‚¦ã‚§ãƒ–サイトã®ä½œã‚Šæ–¹2021年改訂第7版.pdf
http://www.machu.jp/posts/20100416/p01/
{{#tags}}- {{label}}
{{/tags}}