高木浩光＠自宅の日記 - 「NoScript」をやめて「RequestPolicy」にした
■ 「NoScript」をやめて「RequestPolicy」にした セキュリティ屋が、Firefoxユーザに「NoScript」の使用を推奨することがしばしばあるが、私は賛同しない。 JPCERT/CC、技術メモ「安全なWebブラウザの使い方」を公開, INTERNET Watch, 2008年11月4日 *1 技術メモ − 安全なWebブラウザの使い方, JPCERT/CC, 2008年11月4日 IV. 各 Web ブラウザに共通する設定上の注意事項 1. スクリプト等の実行を制限する JavaScript 等のスクリプトや（略）は（略）Ajax に代表されるインタラクティブなインターフェースが実現できるなど、高い利便性が得られます。反面、PC 上の重要なファイルを削除・変更するなど、悪意を持った処理が行われる可能性もあります。従って無制限にスクリプト等を実行できるようにしておくのは
「ブラッディ・マンデイ」を考察する:高校生サーバー管理者の考察日誌 - CNET Japan
追記(10/13 16:52) すみません。色々反響があったので追記しておきます。羅列ってことで。 この記事の内容はほぼネタバレですのでこれから読まれる方はご注意下さい。HP2133はVistaですね。HP2133はどんなにカスタムしてもそこら辺のサーバーと「比べ物にならないくらい」高いってわけでは無いと思います。中高生のみなさん，Pythonを勉強してもクラックするには別途知識が必要です。 Pythonスクリプトの中身は実質無意味な動きばかりでしたが，たまにポートの指定やオーバーフローを起こす為の計算式が登場しました。日景先生のPCをリモート操作する時のvncviewerを実行したとき時間が表示されましたが結構朝方でした。たしか3時か4時くらい。時計がズレている・時差がある・JST+09:00のタイムゾーンに設定されていないなど色々あるかもです。いや実際は単に画面の撮影を朝方にやってしま
ふと今日は・・・・・・ IE 使ってたらトロイ食わされた
02«|12345678910111213141516171819202122232425262728293031|»04 文字サイズ Firefox 43 より、署名なしの拡張が無効化されることとなりました。 その為、使用できなくなるこのブログ上のすべての拡張は今後更新されることがありません。 動画に ActiveX 使ってるものを見るために IE 使ってちょっとブラウジングしてたら、突然ポップアップが出現。 見てみると Critical error! というタイトルで、英文で 「XP のシステムにスパイウェアが感染してます。ただちにアンチスパイウェアソフトで駆除してください。アンチスパイウェアソフトをダウンロードしてもよろしいですか？」というやつ。 これはトロイ食ったなと思い、ポップアップを×ボタンで消そうとしたらグレーアウトしてあった。 これは「はい」と「いいえ」がどちらも「はい」の
TechCrunch Japanese アーカイブ » Wordpressのセキュリティ問題で大量のハッキングが発生。次はあなたのブログ？
Millions of personal injury cases are settled in the U.S. every year, as few go to trial — but the vast majority are kept under wraps. This leaves lawyers guessing what they should propose as a Hello and welcome back to Equity, a podcast about the business of startups, where we unpack the numbers and nuance behind the headlines. This is our Wednesday (Thursday, this week) show where we niche
続: そろそろUTF-7について一言いっとくか - 葉っぱ日記
史上空前のEUC-JPブームはとりあえずおいておいて、今日も最強の文字コードであるUTF-7について。 これまで私の中では、UTF-7によるXSSを避けるためには、Shift_JISやUTF-8といった、IEが受け入れ可能なcharsetをHTTPレスポンスヘッダまたは<meta>で明記してやればよいという理解でした。 具体的には、HTTPレスポンスヘッダで Content-Type: text/html; charset=Shift_JIS とするか、生成するHTML内で <meta http=equiv="Content-Type" content="text/html; charset=Shift_JIS"> とすれば、UTF-7によるXSSは防げると思っていました。ところが、後者の<meta>によるcharsetの指定では、条件によってXSSが防げないことがあるということに気付きま
高木浩光＠自宅の日記 - ユビキタス社会の歩き方(3) 無線LANのSSIDを不用意に明かさない
■ デイリーポータルZ 記者の家を探しに行く 5月27日の日記「PlaceEngineのプライバシー懸念を考える」では次のように書いた。 つまり、家庭の無線LANアクセスポイントのMACアドレスを誰かに知られることは、住所を知られることに等しい。そのような事態をPlaceEngineサービス（および類似のサービス）が新たに作り出したことになる。 「MACアドレスは個人を特定するものではない」と言えるだろうか？もし、別のネットサービスで、何らかの目的で家庭の無線LANのMACアドレスを登録して使うサービスが始まったとする。そのサービスもまた、「MACアドレスから個人が特定されることはありません」と主張するだろう。このとき、PlaceEngineとこのサービスの両者が存在することによって、わからないはずの住所が特定されてしまう事態が起きてくる。 PlaceEngineなどのサービスが存在する現
Winny、Shareネットワーク内ウイルスの検出結果
実施：2006/07/24、25、26 86体のWinny、Shareネットワーク内に存在するウイルスにおける検出結果 すべての拡張子を検査。その他初期設定。結果はすべてオンデマンド検査によるもの。検出は懐疑含む ■使用したウイルス一覧 ■各ソフト未検出ウイルス一覧 （※リスト作成にFileInfoListを使用しています） Winny、Share内部に流通しているウイルスに主眼を置いたテストです Winny、Shareと直接リンクするウイルスだけではなく、単にファイルに混入しただけのトロイなども含まれています 以上の他、どのアンチウイルスも検出せず名称の付けようが無く今回検体の中に含めなかったウイルスが３体ありました 検体が少なくあまり幅の広い結果にはなりませんでしたが参考にでもなれば幸いです また他の人が行ったテスト Hacker Japan7月号のWinny・Sha
Unicodeで拡張子を偽装された実行ファイルの防御方法 - 葉っぱ日記
「それ Unicode で」などで紹介されている、Unicode の U+202E (RIGHT-TO-LEFT OVERRIDE; RLO)を使って拡張子を偽装された exe ファイルの実行を抑止する方法を思いついた。 メモ帳を開いて、"**"と入力する(前後の引用符は不要)。 "*"と"*"の間にキャレット(カーソル)を移動させる 右クリックで「Unicode 制御文字の挿入」から「RLO Start to right-to-left override」「RLO Start of right-to-left override」を選択 Ctrl-A で全て選択、Ctrl-C でクリップボードにコピー。 ローカルセキュリティポリシーを開く 画面左側の「追加の規則」を右クリック 「新しいパスの規則」を選択 「パス」欄で Ctrl-V をして、メモ帳の内容を貼り付ける。 セキュリティレベルが「
それ Unicode で
UTF-7 を使ってスクリプトを記述 +ADw-SCRIPT+AD4-alert(\'XSS\');+ADw-+AC8-SCRIPT+AD4- IE は、文字エンコーディングが不明で UTF-7 っぽい文字列があれば、自動判別で UTF-7 となる。
Ajaxはセキュアか？
Ｑ：Ajax（Asynchronous JavaScript and XML）とマイクロソフトの「Atlas」（開発コード名）を自社のWebサイトで使うつもりでしたが，マネージャが「Ajaxはセキュアではない」と思っています。マネージャは，セキュリティ上の制限の例として，「マイクロソフトのAtlasが『WSE（Web Services Enhancements）3.0』をサポートしていないことを挙げています。Atlasやその他のAjaxツールがWSEをサポートする計画があるかどうかご存知ですか。またこれらの技術の互換性はどうでしょうか？ Ａ：まず，Ajaxのセキュリティを心配しているのは，あなたのマネージャだけではないことを説明しよう。例えば米国eWeekのMatt Hines氏は「Ajax Vulnerabilities Could Pose Serious Risks（深刻なリスクとな
ウノウラボ Unoh Labs: 無料でここまでできる！OS毎のセキュリティ対策まとめ
こんにちは sato です。 個人情報が流出する事件が多発していまが、みなさんはどうしていますか？ 今回は僕が家で使用しているツールについて紹介したいと思います。 ウィルス対策 AVG Anti-Virusの Freeを使っています。これでウィルスサーチや メールの添付ファイルチェックなど、大抵のことはやってくれます。 使用しはじめて、半年以上経ちますがまだウィルスに感染したことはありません。 Windows,Linuxは http://free.grisoft.com/doc/avg-anti-virus-free/lng/us/tpl/v5よりDLすることができます。 以下のサイトに使用方法が詳しく書いてあるので、参照させていただきました。 http://eazyfox.homelinux.org/SecuTool/AVG7/AVG701.html Mac用には clamxa
hoshikuzu | star_dust の書斎 InternetExplorer6::base要素のstyle属性が全要素に効くのでJavaScriptも記述し放題
下のソースでローカルにHTMLファイルを作りIE6で開く。一行目はおまじないなので省略しない。img要素とかbr要素とかが泣ける。 <!-- saved from url=(0014)about:internet --> <html> <head> <title>nandakore</title> </head> <body> <base id="b00" style="width:expression(setTimeout(this.innerText,0))"> <pre> resizeTo (400, 400); </pre> <img> document.title='areare'; </img> <br> var hoge = 'foo'; </br> <blockquote> window.status = hoge; </blockquote> </body> </html
ドメイン認証の問題点
利用形態：ユーザが、複数のメールアドレスを持っている場合、 主となるメールアドレス(bob@example.com)を決め、 他のメールアドレス(bob@example.net)へ届いたメールを主のメールアドレスへ集める。 転送サーバでの SMTP レベルの転送は、以下のように実現される。 転送サーバ(example.net)は受信サーバ(example.com)との間に新たな SMTP コネクションを作る よって、始点の IP アドレスは変る(example.jp:192.0.2.1 → example.net:192.0.2.2) 一方、SMTP MAIL FROM (alice@example.jp)はリレーされる このような仕組みにより、以下の機能が実現されている。 受信サーバ(example.com)は、エラーメールを送信サーバ(example.jp)へ返すことが可能。 なぜなら
おさかなラボ - strictなシステムに対するSession Fixation対策
Session Fixationについては話題になって久しいので今さら解説するまでもないと思う。……と思ったらそうでもなさそうなのでちょっと書いてみる。 Session Fixationとは何か 一般に、Session Fixationとして話題にのぼるのは、PHPなどにおける以下のような手法である。 http://www.example.com/index.php?PHPSESSID=abcde こうすることで、(対策の取られていない)PHPは、セッションIDを’abcde’と解釈してしまう。セッションIDは本来サーバーが発行するはずのものであるが、URIに埋め込むことでクライアント側からセッションIDを指定することが出来てしまうものである。 この「セッションIDが任意のものに設定可能である」ことを利用した攻撃をSession Fixation攻撃と呼ぶ……と解釈している人は以
Lucrezia Borgia の Room Cantarella - 2006/09/13
水澄む頃に竹の春、金木犀に曼珠沙華。 二十三夜に蕎麦の花。 たまにはこんな言葉遊びは如何かしら？ 今日は、ちょっと小ネタチックなものをたっぷりの接着剤でつなげてお送りしていくわ。よろしくってかしら？ 一片目のくず肉。まずはこちらからよ？ 株式会社ディノ ( http://www.dino.co.jp/ ) さまっていう会社さんがあるの。こちらのTop Pageにもあるんですけれども、PHPコード監査サービスっていうとっても素敵なサービスをやってらっしゃるらしいの。 http://www.dino.co.jp/business/solution/inspection.php より PHPコード監査サービス インターネットの普及により日々たくさんのウェブシステムが構築されています。中でもPHP言語はその習得の簡単さや生産性の高さから、ウェブシステム開発で広く利用されております。しかし、PHPは
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
http://www.machu.jp/posts/20080708/p01/
はてなダイアリーのヘルプ - はてなダイアリーXSS対策
http://www.kobe-np.co.jp/kobenews/sg/0000272539.shtml
SSHへのパスワードクラックに対して、安易なパスワードはやめましょう！以上・・・って、補足したい！
htmlspecialchars/htmlentitiesの正しい使い方 - Do You PHP はてブロ
