正規表現の落とし穴（ReDoS - Regular Expressions DoS） - Qiita
過去にWordPressを題材にしていろいろな脆弱性のケーススタディを取り上げました。 Webアプリケーションの脆弱性ケーススタディ（WordPress編） Webアプリケーションの脆弱性ケーススタディ（WordPress編その２） 今回は、ReDoS（Regular Expressions DoS）について取り上げてみたいと思います。ReDoSとはOWASPによると以下のように記載されています。 The Regular expression Denial of Service (ReDoS) is a Denial of Service attack, that exploits the fact that most Regular Expression implementations may reach extreme situations that cause them to wor
GLitch - vusec
What is GLitch? GLitch is one part of our series of Rowhammer attacks. We started by breaking the EDGE browser and the cloud. Then we moved towards Android devices showing how to root them with bit flips. This time we wanted to show that also mobile phones can be attacked remotely via the browser. Meet GLitch: the first instance of a remote Rowhammer exploit on ARM Android devices. This makes it p
長くて覚えやすくて複雑なパスワードとemojiの話
すみだセキュリティ勉強会2018その1での発表資料です。 http://ozuma.sakura.ne.jp/sumida/2018/03/22/38/
サイバー攻撃大辞典
[ホーム] ＞ [サイバー攻撃大辞典 トップ] サイバー攻撃大辞典 | 攻撃例と対策 サイバー攻撃の説明、攻撃例、対策などを紹介したページです。 システムに脆弱性が無いか確認が必要です。攻撃に対する対策も参考にしてください。 01.Web ■ EVAL インジェクション(eval injection) ■ HashDOS ■ HTMLコメント情報漏えい ■ HTTPヘッダ・インジェクション ■ HTTPレスポンス分割 ■ JSON ハイジャック ■ proxy.pac書き換え ■ SQLインジェクション ■ SSIインジェクション ■ アドレスバー偽装(Address Bar Spoofing) ■ エラーコードからの漏えい ■ オープンリダイレクトの脆弱性 ■ クライアント入力値改ざん ■ クリックジャッキング(click jacking) ■ クロスサイト トレーシング ■ クロスサイ
マイネットへの不正アクセスについてまとめてみた - piyolog
2018年3月1日頃、マイネットグループの株式会社マイティゲームスのサーバーに対し不正アクセスが行われ、運営する複数のゲームサービスでシステム障害が発生しました。 ここでは関連情報をまとめます。 公式発表 2018年3月2日 マイネットグループが運営する一部ゲームタイトルのサーバー障害のお知らせとお詫び（3/4 17:30更新 ） 2018年3月5日 当社サーバーへの不正アクセスの発生と対応について 2018年3月5日 （3/10 11:10更新）当社サーバーへの不正アクセスによる一部運営ゲームタイトル障害発生のお知らせとお詫び 2018年3月15日 （3/22 16:00更新）当社サーバーへの不正アクセスによる一部運営ゲームタイトル障害発生のお知らせとお詫び 2018年3月23日 当社サーバーへの不正アクセスに関する概要、経緯及びサービス再開状況 2018年3月26日 当社サーバーへの不
Pre-Installed Malware Found On 5 Million Popular Android Phones
Security researchers have discovered a massive continuously growing malware campaign that has already infected nearly 5 million mobile devices worldwide. Dubbed RottenSys, the malware that disguised as a 'System Wi-Fi service' app came pre-installed on millions of brand new smartphones manufactured by Honor, Huawei, Xiaomi, OPPO, Vivo, Samsung and GIONEE—added somewhere along the supply chain. All
Kali Linux for Windows 10 now available in Microsoft Store
It still seems unreal, but yes, you can install Linux distributions from the Microsoft Store on Windows 10. This remains shocking for many people (including me), as Microsoft was a longtime enemy of both open source and Linux. Of course, that is no longer true, as the Windows-maker embraces both nowadays. Today, yet another Linux distribution comes to the Microsoft Store for Windows 10, joining su
security.txt: Proposed standard for defining security policies
security.txt A proposed standard which allows websites to define security policies. Summary “When security risks in web services are discovered by independent security researchers who understand the severity of the risk, they often lack the channels to disclose them properly. As a result, security issues may be left unreported. security.txt defines a standard to help organizations define the proce
memcached を悪用したDDoS攻撃についてまとめてみた - piyolog
2018年2月下旬にPort 11211に対するアクセス増加がみられるとしてJPCERT/CCが注意喚起を行いました。11211/udpポートはmemcachedでデフォルトで利用されているもので、JPCERT/CCは先の注意喚起で「memcached を踏み台として悪用したとみられる DDoS 攻撃の報告を受け取っています。」と攻撃への悪用についても報告しています。ここでは関連情報をまとめます。 タイムライン 日時 出来事 2018年2月21日頃 JPCERT/CCが11211/udpへのアクセス増加を確認。 同日頃から memcachedを用いたとみられるDoS攻撃が観測。 2018年2月28日 JPCERT/CCが11211/udpのアクセス制御に対する注意喚起を発表。 2018年3月1日 2時21分頃 Githubを対象にしたピーク時 1.35Tbps規模のDDoS攻撃が発生。（1
Exploiting Electron RCE in Exodus wallet
electron - Build cross platform desktop apps with JavaScript, HTML, and CSS Basically, the code checks command line arguments against a blacklist. Based on that, it can be assumed that it is possible to inject command line arguments via URI handler. Electron based applications are basically bunch of Javascript and HTML files rendered by Chromium for front-end and nodejs for back-end. And Chromium
macOS High Sierra's App Store System Preferences Can Be Unlocked With Any Password [Updated]
macOS High Sierra's App Store System Preferences Can Be Unlocked With Any Password [Updated] A bug report submitted on Open Radar this week has revealed a security flaw in the current version of macOS High Sierra that allows the App Store menu in System Preferences to be unlocked with any password. MacRumors is able to reproduce the issue on macOS High Sierra version 10.13.2, the latest public rel
![macOS High Sierra's App Store System Preferences Can Be Unlocked With Any Password [Updated]](https://cdn-ak-scissors.b.st-hatena.com/image/square/4e2b22273f5797f2b1926f5d4772bf407f940878/height=288;version=1;width=512/https%3A%2F%2Fimages.macrumors.com%2Ft%2FCTdIb0mn_HxOowW1rnc5dWy2_PY%3D%2F1600x%2Farticle-new%2F2018%2F01%2Fmacos-high-sierra-app-store-system-preferences.jpg)
プロセッサ予測実行研究の開示
関連事項: CVE-2017-5715、CVE-2017-5753、CVE-2017-5754 更新時点: 2018/03/05 午後 3:00 (太平洋標準時) これは、この問題に関する更新です。 Amazon Linux の更新されたカーネルは、Amazon Linux リポジトリ内で利用可能です。2018 年 1 月 13 日以降にデフォルトの Amazon Linux 構成で起動された EC2 インスタンスには、カーネル内の CVE-2017-5715 に対処するための最新の安定したオープンソース Linux セキュリティの改善が組み込まれ、以前に組み込まれたカーネルページに基づいてビルドされる更新パッケージが自動的に含まれ、CVE-2017-5754 に対処した以前に組み込まれたテーブル分離 (KPTI) に基づいて構築されます。 お客様は、インスタンス内の CVE-2017-5
CPUの脆弱性 MeltdownとSpectreについてまとめてみた - piyolog
2018年1月3日にCPUに関連する3つの脆弱性情報が公開されました。報告者によるとこれらの脆弱性はMeltdown、Spectreと呼称されています。ここでは関連情報をまとめます。 脆弱性の概要 報告者が脆弱性情報を次の専用サイトで公開した。 Meltdown and Spectre (またはこちら) 3つの脆弱性の概要をまとめると次の通り。 脆弱性の名称 Meltdown Spectre CVE CVE-2017-5754（Rogue data cache load） CVE-2017-5753（Bounds check bypass） CVE-2017-5715（Branch target injection） 影響を受けるCPU Intel Intel、AMD、ARM CVSSv3 基本値 4.7(JPCERT/CC) 5.6(NIST) ←に同じ PoC 報告者非公開 論文中にx
Meltdown and Spectre
Meltdown and Spectre Vulnerabilities in modern computers leak passwords and sensitive data. Meltdown and Spectre exploit critical vulnerabilities in modern processors. These hardware vulnerabilities allow programs to steal data which is currently processed on the computer. While programs are typically not permitted to read data from other programs, a malicious program can exploit Meltdown and Spec
Phantom Squad を名乗る攻撃者からの DDoS 攻撃に関する情報
2017年9月19日頃より、Phantom Squad を名乗る攻撃グループから DDoS 攻撃の停止と引き換えに金銭を要求するメールが送られているとの情報を国内の組織から複数受け取っています。 提供頂いた情報によると、本攻撃の脅迫メールの文面は、2017年6月20日頃に Armada Collective を名乗る攻撃グループが発信した脅迫メールの文面と類似する箇所があるとのことです。異なる点として、文中では宛先や対象を直接指定しておらず、国内外の広い範囲に送付されていることが確認されています。 JPCERT/CC Armada Collective を名乗る攻撃者からの DDoS 攻撃に関する情報 https://www.jpcert.or.jp/newsflash/2017062901.html 2017年9月14日頃より、国内の複数の組織において DDoS 攻撃が発生したことが報じ
韓国で確認されたサイバー攻撃「OnionDog 作戦」を綿密調査 | トレンドマイクロ セキュリティブログ
本記事では、比較的小規模の標的型サイバー攻撃「OnionDog（オニオンドッグ）作戦」について解説します。この攻撃キャンペーンは、韓国の電力および輸送業界の重要人物を標的として3 年以上にわたって毎年実行されたとされており、報道機関からもある程度の注目を集めました。 近年、メディアやセキュリティ業界で注目を集めるワードの 1 つに「北朝鮮」があります。最近では、各国の銀行から多額の資金を窃取したサイバー犯罪者集団「Lazarus」と北朝鮮との関連が噂され、多くの関心を集めていますが、この OnionDog 作戦についても北朝鮮と関連付ける報道が見られています。しかし、OnionDog 作戦の攻撃手法についてトレンドマイクロが綿密に調査した結果、標的型サイバー攻撃だと考えられていた OnionDog 作戦が、実はサイバー攻撃演習だったという興味深い事実に到達しました。 ■OnionDog 作
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
セキュリティ入門
GitHub - maxchehab/CSS-Keylogging: Chrome extension and Express server that exploits keylogging abilities of CSS.
Oscar B on Twitter: "@kentcdodds Hi Kent, it looks like this npm package is stealing env variables on install, using your cross-env pack… https://t.co/X2r632wK2s"
セキュリティの都市伝説を暴く
