クリックジャッキングとは？その攻撃の概要と対策方法を解説
クリックジャッキングとは、ユーザーが利用するWebブラウザを悪用して、ユーザーに不利益をもたらすサイバー攻撃の一種で、具体的な特徴としては、ボタンやリンクなどを透明で見えない状態にして、通常のWebページの上にかぶせてしまうというもの。最近はこういった攻撃の一つ一つが巧妙化し、私たちコンピュータの利用者や企業、官公庁などにとって、脅威となっています。はじめて検索してこのページにたどり着いた方も多いかと思います。聞きなれない名前に対策方法などが気になりますよね。 その攻撃方法も多様になってきているので、脅威に思っている方も多いかと思いますが、ちゃんとその概要や攻撃方法を把握し、対策方法を知っていれば怖がる必要はありません。この記事ではクリックジャッキングの概要や攻撃方法から、その対策方法を整理しましたので、しっかりとチェックして対策をしておきましょう。 クリックジャキングとは？ クリックジャ
中国がアメリカとの「サイバー協定」締結後も繰り返しサイバー攻撃を行っていることが発覚
By Bill Smith 中国政府や大企業による産業スパイは、アメリカでのトウモロコシ泥棒につながるほどにさまざまな分野で行われているようですが、そんな中国とアメリカの間で2015年9月25日に歴史的なサイバー協定が結ばれました。これは、「両国家が競合企業などの持つ企業秘密などの知的財産をインターネット経由で盗み出すようなサイバー犯罪を行わない、また、故意にそういった行いをサポートしないことに合意する」という内容のものだったのですが、協定が結ばれてから3週間以上が経過した現在も中国からの攻撃が多数検知されていることが明らかになっています。 The Latest on Chinese-affiliated Intrusions into Commercial Companies » Adversary Manifesto http://blog.crowdstrike.com/the-la
専門家が泣く、セキュリティ9つの誤解と現実
専門家が泣く、セキュリティ9つの誤解と現実2015.03.15 10:006,423 satomi 脆弱性、ウイルス、不正侵入で人生台無し、国が危ない…というニュースの連続ですが、現実のリスクはいかほどのものなのか？ 専門家にセキュリティのウソ&ホントをずばり訊ねてみました。以下が回答集。小見出しは全部｢ホント｣の方です。 1. 強いパスワードで世のほとんどの攻撃は追っ払える 米Yahoo情報セキュリティ最高執行責任者のAlex Stamosさんは脆弱性を見つけ、ソフトウェアの穴をどう悪用するのか考えるのが仕事。極悪ハックから単純なソーシャルエンジニアリングによる詐欺まで、あらゆる手口のものを見てきました。そのキャリアでわかったのは、大体どのユーザーにも通用する簡単なソリューションがふたつあることです。ひとつは強いパスワード、あとひとつは2段階認証です。 マスコミは最もディープで最も高度な
ウェブアプリにおけるBash脆弱性の即死条件 #ShellShock - めもおきば
条件1. /bin/shの実体がbashのディストリビューション RHEL CentOS Scientific Linux Fedora Amazon Linux openSUSE Arch Linux (自ら設定した場合: Debian, Ubuntu) 条件2. 動作環境 CGI (レンタルサーバでありがちなCGIモードのPHP等も含む) Passenger(Ruby) 条件3. プログラム内容 Passengerは全死亡 *1 systemや `command`、 '| /usr/lib/sendmail' などで外部コマンド実行 *2 PHPのmailやmb_send_mail、その他フレームワーク等を介したメール送信 *3 以下は条件1が不要 明示的にbashを呼ぶ 先頭で #!/bin/bash や #!/usr/bin/env bash しているプログラムを実行 (rbenv
www\.google\.com に存在する文字エンコード切り替えによるSelf-XSS - A602
First published Sat Aug 23 23:57:12 2014 +0900 ; substantive revision Sat Feb 14 12:41:39 2015 +0900 Tags : Security XSS まとめ 密かに細工されたページやGoogleの検索結果画面で、文字化けを直すためにエンコーディングを切り替えるとログインしているGoogleアカウントから情報が漏れる脆弱性がある。 Googleのセキュリティチームは、ユーザーは手動でエンコーディングを切り替えるべきではないと考えているので、この脆弱性は修正されない。 概要 以下のページでエンコーディングをShift_JISに切り替えると www\.google\.co\..* 上でXSSが発動します。 PoC 1: Googleマップのiframe埋め込み http://www.tsg.ne.jp/n
更新：Internet Explorer の脆弱性対策について(CVE-2014-1776)：IPA 独立行政法人 情報処理推進機構
Microsoft 社の Internet Explorer に、悪意のある細工がされたコンテンツを開くことで任意のコードが実行される脆弱性が存在します。 この脆弱性が悪用された場合、アプリケーションプログラムが異常終了したり、攻撃者によってパソコンを制御され、様々な被害が発生する可能性があります。 Microsoft 社は「脆弱性を悪用しようとする限定的な標的型攻撃を確認しています。」と公表しており、今後被害が拡大する可能性があるため、至急、修正プログラム(MS14-021)を適用して下さい。 Microsoft 社は、5 月 2 日より、Windows Update で本脆弱性に対する修正プログラムの配信を開始しました。 以下の Microsoft 製品が対象です。 Internet Explorer 6 Internet Explorer 7 Internet Explorer 8
Microsoftの脆弱性緩和ツール「EMET」はこう使う - ゼロデイ攻撃から身を守る有効な手段
我々が毎月適用しているWindows OSの更新プログラムは、発見された脆弱性を狙って攻撃するソフトウェアからOSを守るため、穴(脆弱性)をふさいだファイルに置き換えるものだ。他方で、未修正の脆弱性が存在する場合、更新プログラムがリリースされるまで、攻撃から身を守る手立ては限られてしまう。未修正の脆弱性を悪用した攻撃は「ゼロデイ攻撃」と呼ばれ、最近ではInternet Explorerが抱えていた未修正の脆弱性を突いたゼロデイ攻撃が発生し、大きなインパクトを与えた(この脆弱性は10月の月例アップデートで対処済み)。 ■一太郎と日本ユーザーを狙ったゼロデイ攻撃が発生していた - シマンテック ■Microsoft OfficeやWindows Vistaに脆弱性 - 標的型のゼロデイ攻撃も確認 ■IEゼロデイ脆弱性を発見したラックの「水飲み場型攻撃」説明会 - 犯人が不運だった理由とは? ■
Part4 クロスサイト・スクリプティングと強制ブラウジング
Part4では，ユーザーのWebブラウザにスクリプトを送り込み，それを実行させるクロスサイト・スクリプティングの手口と対策，および強制ブラウジングの手口と対策を詳しく見ていこう。 クロスサイト・スクリプティングは，ユーザーのWebブラウザにスクリプトを送り込み，それを実行させる攻撃手法である（図1）。セッションIDを盗むのに使われることが多い。セッションIDを盗むほかの手口はWebサイトとブラウザの間の通信をSSLで暗号化していれば防げるが，クロスサイト・スクリプティングはSSLを使っていても防げない。 ほとんどのWebアプリはCookie（クッキー）というテキスト形式のデータでセッションIDを管理している。クロスサイト・スクリプティングが標的にするのはこのCookieだ。盗んだCookieをクラッカが使えば，どのパソコンからでも正規ユーザーになりすまして狙ったWebサイトに不正アクセスで
脆弱性を利用した攻撃手法（3） --- ディレクトリ・トラバーサルとOSコマンド・インジェクション
ポイント ●ディレクトリ・トラバーサルとは，「../」のような文字列を使ってWebサーバーのディレクトリ・パスをさかのぼり（横断して），公開されていないディレクトリにアクセスする手法のことである ●OSコマンド・インジェクションは，ディレクトリ・トラバーサルの手法を用いてOSコマンドがあるディレクトリにアクセスし，OSコマンドを実行する手法のことである ●どちらの手法も，Webアプリケーションの脆弱性，具体的には「入力される可能性のあるデータに対する考慮不足」を悪用する攻撃手法である 前回は，Webアプリケーションの脆弱性の大枠を確認しました。今回は「ディレクトリ・トラバーサル」と「OSコマンド・インジェクション」の詳細を学びます。いずれもWebアプリケーションの脆弱性＝「入力される可能性のあるデータに対する考慮不足」を狙った攻撃手法です。 ディレクトリ・トラバーサルのカラクリ ディレクト
websec-room.com - websec room リソースおよび情報
This webpage was generated by the domain owner using Sedo Domain Parking. Disclaimer: Sedo maintains no relationship with third party advertisers. Reference to any specific service or trade mark is not controlled by Sedo nor does it constitute or imply its association, endorsement or recommendation.
Googleグループがあまりにも情報ダダ漏れ状態で失神した - Hagex-day info
ゲスッ子Hagexも今回は「ためいきロ・カ・ビ・リー」を思わず熱唱しました。 ためいき♪ ロカビリー♪ 心を乱す南風♪♪ よくわからない導入になってしまいましたが、みなさんは、Googleグループというサービスをご存じでしょうか？ その名の通り、Googleが運営しているサービスで、メーリングリスト的なサービスを簡単に始めることができます。手軽に利用できる反面大きな問題もあり、なんと初期設定では「投稿されたメールがすべて第三者でも見られてしまう」のです。 先日、官公庁や病院がGoogleグループを利用し、情報がダダ漏れ状態なのを読売新聞にスッパ抜かれ、ニュースになりました。 ・内部メール誰でも閲覧「グーグルグループ」利用（読売新聞） そして、昨日はECサイトがGoogleグループを利用し、顧客情報が漏れているという指摘のエントリーが注目されました ・EC サイトの使用を即刻辞めろ！！！（s
［はまちちゃんのセキュリティ講座］ここがキミの脆弱なところ…！ 記事一覧 | gihyo.jp
運営元のロゴ Copyright © 2007-2024 All Rights Reserved by Gijutsu-Hyoron Co., Ltd. ページ内容の全部あるいは一部を無断で利用することを禁止します。個別にライセンスが設定されている記事等はそのライセンスに従います。
PHPでGnuPGを使ってみる
<?php // 暗号化用フィンガープリント（相手の鍵）、署名用のフィンガープリント（自分の鍵）、パスフレーズ $crypt_fp = 'xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx'; $sign_fp = 'xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx'; $passphrase = 'fugafuga'; $plain_text = 'hogehoge'; $gnupg = new gnupg(); // 暗号化用の鍵を追加 $gnupg->addencryptkey($crypt_fp); $gnupg->addsignkey($sign_fp, $passphrase); // 暗号化のみ行う場合 $ecrypted_text = $gnupg->encrypt($plain_text); // 署名を行う場
WIRESHARK（ワイアシャーク）
EtherealがWireshark（ワイアシャーク）という名前になりました。 Etherealの頃からずっとお世話になっています。便利なツールなので、使いこなしてみてください。 PR 目次 ダウンロード インストール 初期設定を変更しよう キャプチャスタート方法 フィルタ フローグラフ リンク 更に詳しく １．ダウンロード http://www.wireshark.org/ のGet Wireshark Now をクリック。 SOURCEFORGE.NETにつながります。ブラウザにセキュリティのポップアップが出る場合は、ファイルのダウンロードを選択して先に進んでください。 InternetExplorer7の場合、以下のようにブラウザ上部にポップアップバーが表示されます。これを右クリックし、ファイルのダウンロードを選択してください。 ２．インストール ダウンロードしたファイルをダ
スケジュール機能が充実、KUNAI Lite for Android的ワークスタイル
「サイボウズモバイル KUNAI Lite」は、通勤などの“すき間時間”を仕事に使う有力ツールの一つだ。無償提供が開始されたAndroid版は他人の予定確認や施設予約にも対応し、より活用シーンが広がった。ここでは、「KUNAI Lite for Android」がいかに効率化を図れるかをビジネスマンの1日の行動を追いながら検証する。 AM9:00、商談に向かう駅のホーム。N氏は客先での重要な商談に向かうため、一日のスケジュールを確認しながら発車時刻を待っていた。突然震える左手のAndroid端末。自社からの電話だ。 顔をしかめながらN氏は、通話を始めた。どうやら社内でトラブルがあったらしい。しかし商談の時間もせまっており、電車に乗り込まなくてならない・・・。 出先からであっても、社内情報のマメなチェックは必要。今や当然のビジネススタイルだ。だがiPhoneやAndroid搭載機器といったス
PHPで簡単に配列の値をエスケープ処理する方法 - ぷぎがぽぎ
PHPとクロスサイトスクリプティング クロスサイトスクリプティング(XSS)を発生しないようにするには出力時に適切にエスケープ処理させるというのはウェブアプリケーションを開発する人たちにとっては今は常識となっています。 しかし、PHPのように、HTMLに埋め込んで利用できるような言語ではつい「うっかり」エスケープ処理を忘れてしまいXSSが..ということがあります。 CakePHPやsymfonyなどのフレームワークを使っていればフレームワーク側で適切に処理させる事が可能ですが、そういったフレームワークを使っていないときにできるだけ簡単にエスケープ処理する方法の１つを紹介したいと思います。 最終的なサンプル どうやって実現するかは後にして実際のサンプルでどのような動作になるかをみてみましょう。 <?php $str = '<script>alert("test")</script>'; $t
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
被害の前に！Macを買ったら絶対にやるべき10の無料セキュリティ対策
TechCrunch
WebView の脆弱性編 - Android セキュリティ勉強会
PC