高木浩光＠自宅の日記 - 「NoScript」をやめて「RequestPolicy」にした
■ 「NoScript」をやめて「RequestPolicy」にした セキュリティ屋が、Firefoxユーザに「NoScript」の使用を推奨することがしばしばあるが、私は賛同しない。 JPCERT/CC、技術メモ「安全なWebブラウザの使い方」を公開, INTERNET Watch, 2008年11月4日 *1 技術メモ − 安全なWebブラウザの使い方, JPCERT/CC, 2008年11月4日 IV. 各 Web ブラウザに共通する設定上の注意事項 1. スクリプト等の実行を制限する JavaScript 等のスクリプトや（略）は（略）Ajax に代表されるインタラクティブなインターフェースが実現できるなど、高い利便性が得られます。反面、PC 上の重要なファイルを削除・変更するなど、悪意を持った処理が行われる可能性もあります。従って無制限にスクリプト等を実行できるようにしておくのは
「ブラッディ・マンデイ」を考察する:高校生サーバー管理者の考察日誌 - CNET Japan
追記(10/13 16:52) すみません。色々反響があったので追記しておきます。羅列ってことで。 この記事の内容はほぼネタバレですのでこれから読まれる方はご注意下さい。HP2133はVistaですね。HP2133はどんなにカスタムしてもそこら辺のサーバーと「比べ物にならないくらい」高いってわけでは無いと思います。中高生のみなさん，Pythonを勉強してもクラックするには別途知識が必要です。 Pythonスクリプトの中身は実質無意味な動きばかりでしたが，たまにポートの指定やオーバーフローを起こす為の計算式が登場しました。日景先生のPCをリモート操作する時のvncviewerを実行したとき時間が表示されましたが結構朝方でした。たしか3時か4時くらい。時計がズレている・時差がある・JST+09:00のタイムゾーンに設定されていないなど色々あるかもです。いや実際は単に画面の撮影を朝方にやってしま
ふと今日は・・・・・・ IE 使ってたらトロイ食わされた
02«|12345678910111213141516171819202122232425262728293031|»04 文字サイズ Firefox 43 より、署名なしの拡張が無効化されることとなりました。 その為、使用できなくなるこのブログ上のすべての拡張は今後更新されることがありません。 動画に ActiveX 使ってるものを見るために IE 使ってちょっとブラウジングしてたら、突然ポップアップが出現。 見てみると Critical error! というタイトルで、英文で 「XP のシステムにスパイウェアが感染してます。ただちにアンチスパイウェアソフトで駆除してください。アンチスパイウェアソフトをダウンロードしてもよろしいですか？」というやつ。 これはトロイ食ったなと思い、ポップアップを×ボタンで消そうとしたらグレーアウトしてあった。 これは「はい」と「いいえ」がどちらも「はい」の
続: そろそろUTF-7について一言いっとくか - 葉っぱ日記
史上空前のEUC-JPブームはとりあえずおいておいて、今日も最強の文字コードであるUTF-7について。 これまで私の中では、UTF-7によるXSSを避けるためには、Shift_JISやUTF-8といった、IEが受け入れ可能なcharsetをHTTPレスポンスヘッダまたは<meta>で明記してやればよいという理解でした。 具体的には、HTTPレスポンスヘッダで Content-Type: text/html; charset=Shift_JIS とするか、生成するHTML内で <meta http=equiv="Content-Type" content="text/html; charset=Shift_JIS"> とすれば、UTF-7によるXSSは防げると思っていました。ところが、後者の<meta>によるcharsetの指定では、条件によってXSSが防げないことがあるということに気付きま
高木浩光＠自宅の日記 - ユビキタス社会の歩き方(3) 無線LANのSSIDを不用意に明かさない
■ デイリーポータルZ 記者の家を探しに行く 5月27日の日記「PlaceEngineのプライバシー懸念を考える」では次のように書いた。 つまり、家庭の無線LANアクセスポイントのMACアドレスを誰かに知られることは、住所を知られることに等しい。そのような事態をPlaceEngineサービス（および類似のサービス）が新たに作り出したことになる。 「MACアドレスは個人を特定するものではない」と言えるだろうか？もし、別のネットサービスで、何らかの目的で家庭の無線LANのMACアドレスを登録して使うサービスが始まったとする。そのサービスもまた、「MACアドレスから個人が特定されることはありません」と主張するだろう。このとき、PlaceEngineとこのサービスの両者が存在することによって、わからないはずの住所が特定されてしまう事態が起きてくる。 PlaceEngineなどのサービスが存在する現
Winny、Shareネットワーク内ウイルスの検出結果
実施：2006/07/24、25、26 86体のWinny、Shareネットワーク内に存在するウイルスにおける検出結果 すべての拡張子を検査。その他初期設定。結果はすべてオンデマンド検査によるもの。検出は懐疑含む ■使用したウイルス一覧 ■各ソフト未検出ウイルス一覧 （※リスト作成にFileInfoListを使用しています） Winny、Share内部に流通しているウイルスに主眼を置いたテストです Winny、Shareと直接リンクするウイルスだけではなく、単にファイルに混入しただけのトロイなども含まれています 以上の他、どのアンチウイルスも検出せず名称の付けようが無く今回検体の中に含めなかったウイルスが３体ありました 検体が少なくあまり幅の広い結果にはなりませんでしたが参考にでもなれば幸いです また他の人が行ったテスト Hacker Japan7月号のWinny・Sha
それ Unicode で
UTF-7 を使ってスクリプトを記述 +ADw-SCRIPT+AD4-alert(\'XSS\');+ADw-+AC8-SCRIPT+AD4- IE は、文字エンコーディングが不明で UTF-7 っぽい文字列があれば、自動判別で UTF-7 となる。
Ajaxはセキュアか？
Ｑ：Ajax（Asynchronous JavaScript and XML）とマイクロソフトの「Atlas」（開発コード名）を自社のWebサイトで使うつもりでしたが，マネージャが「Ajaxはセキュアではない」と思っています。マネージャは，セキュリティ上の制限の例として，「マイクロソフトのAtlasが『WSE（Web Services Enhancements）3.0』をサポートしていないことを挙げています。Atlasやその他のAjaxツールがWSEをサポートする計画があるかどうかご存知ですか。またこれらの技術の互換性はどうでしょうか？ Ａ：まず，Ajaxのセキュリティを心配しているのは，あなたのマネージャだけではないことを説明しよう。例えば米国eWeekのMatt Hines氏は「Ajax Vulnerabilities Could Pose Serious Risks（深刻なリスクとな
hoshikuzu | star_dust の書斎 InternetExplorer6::base要素のstyle属性が全要素に効くのでJavaScriptも記述し放題
下のソースでローカルにHTMLファイルを作りIE6で開く。一行目はおまじないなので省略しない。img要素とかbr要素とかが泣ける。 <!-- saved from url=(0014)about:internet --> <html> <head> <title>nandakore</title> </head> <body> <base id="b00" style="width:expression(setTimeout(this.innerText,0))"> <pre> resizeTo (400, 400); </pre> <img> document.title='areare'; </img> <br> var hoge = 'foo'; </br> <blockquote> window.status = hoge; </blockquote> </body> </html
ドメイン認証の問題点
利用形態：ユーザが、複数のメールアドレスを持っている場合、 主となるメールアドレス(bob@example.com)を決め、 他のメールアドレス(bob@example.net)へ届いたメールを主のメールアドレスへ集める。 転送サーバでの SMTP レベルの転送は、以下のように実現される。 転送サーバ(example.net)は受信サーバ(example.com)との間に新たな SMTP コネクションを作る よって、始点の IP アドレスは変る(example.jp:192.0.2.1 → example.net:192.0.2.2) 一方、SMTP MAIL FROM (alice@example.jp)はリレーされる このような仕組みにより、以下の機能が実現されている。 受信サーバ(example.com)は、エラーメールを送信サーバ(example.jp)へ返すことが可能。 なぜなら
おさかなラボ - strictなシステムに対するSession Fixation対策
Session Fixationについては話題になって久しいので今さら解説するまでもないと思う。……と思ったらそうでもなさそうなのでちょっと書いてみる。 Session Fixationとは何か 一般に、Session Fixationとして話題にのぼるのは、PHPなどにおける以下のような手法である。 http://www.example.com/index.php?PHPSESSID=abcde こうすることで、(対策の取られていない)PHPは、セッションIDを’abcde’と解釈してしまう。セッションIDは本来サーバーが発行するはずのものであるが、URIに埋め込むことでクライアント側からセッションIDを指定することが出来てしまうものである。 この「セッションIDが任意のものに設定可能である」ことを利用した攻撃をSession Fixation攻撃と呼ぶ……と解釈している人は以
リモートファイルの読み込みが可能なPHPアプリ多数
(Last Updated On: 2006年8月24日)PHPには require(‘http://example.com/script.php’); と外部のURLからデータを読み取りローカルのスクリプトとして実行する機能があります。以下のようなスクリプトが致命的であることは以前にも書きました。 require($_REQUEST[‘type’].’.php’); allow_url_fopen設定で読み取りの可否を変更できるようになっているのですが、ストリームのphp://inputは制限できないので、allow_url_fopenの設定に関わらずリモートスクリプトが実行できてしまう仕組みになっています。(「php://inputによりPHPスクリプトインジェクションが可能になる」とした方がより正しいですね） 最近、この不正なリモートスクリプトの読み取り・実行が行える脆弱性を調べてい
2006-08-03
強いはずの日差しが空々しく感じられてしまうのはどうしてかしら？ 久しぶりにちゃんとした技術ネタよ。特に、いわゆるWebアプリケーション*1を作ったり設計したりしている連中は耳かっぽじってお聞きなさい。よろしくってかしら？ なんていうか…なんとも言えず愚かなセキュリティホールを拝見いたしましたの私ったら。 そのサイトは、セブンアンドワイ株式会社さんの運営なさってらっしゃる セブンアンドワイ ( http://www.7andy.jp/ ) 。 あたくしったら、ここの会員になってみましたの。で………とても驚くものを拝見したわ？ 会員情報の変更画面があるの。 少なくとも今時点では、メールアドレスを変更する、住所/電話番号を変更する、ID/パスワードを変更する、の３つのメニューがあるわ*2 もちろんこの時点で「３つともURL一緒じゃん」とかいう突っ込みは置いておくとして。とりあえずその画面に伺って
PHPのmd5()などで作成されるランダム英数文字列（32桁）をキーに使った 場合の機密性について知りたいと思っています。…
PHPのmd5()などで作成されるランダム英数文字列（32桁）をキーに使った 場合の機密性について知りたいと思っています。 一説によると、８桁のランダム英数をつきとめるのに２～３週間かかると 聞いたのですが、例えば、ランダム英数文字列32桁を、現在最速のコン ピュータを使って解析した場合、どのくらいの早さでつきとめることが できるのでしょうか。 また、例えば使用しているキーが複数あった場合は、解析にかかる期間 としての考え方は、１件をつきとめる場合の期間を単純にキーの数で 割ればよいのでしょうか？ それとももっと違う考え方になりますでしょうか。 できれば個人のブログなどでなく、それなりに信頼できそうなサイトの 記述や文献などを提示していただけると嬉しいです。
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
http://www.machu.jp/posts/20080708/p01/
TechCrunch Japanese アーカイブ » Wordpressのセキュリティ問題で大量のハッキングが発生。次はあなたのブログ？
はてなダイアリーのヘルプ - はてなダイアリーXSS対策
http://www.kobe-np.co.jp/kobenews/sg/0000272539.shtml
SSHへのパスワードクラックに対して、安易なパスワードはやめましょう！以上・・・って、補足したい！
『【PHPカンファレンス2006】PHPで書かれた実際のアプリケーションに潜む危険なコード』へのコメント