何故パスワードをハッシュ化して保存するだけでは駄目なのか？ - NRIネットコムBlog
不正アクセスによるIDとパスワードの漏洩を受けて、MD5によるハッシュ化について話題になっていました。システムを作る上で、パスワードの管理や認証はどう設計すべきかを考えるために、少し整理をしてみます。もし事実誤認があれば、どしどしご指摘ください。 == 2023/8/21追記 == この記事は、ハッシュの保存の仕方一つとっても、沢山の対策方法が必要であるということをお伝えするために記載しています。そして、これから紹介する手法を取れば安全とお勧めしている訳ではないので、その点をご留意いただければと思います。攻撃手法に応じての対応策の変遷を知っていただくことで、セキュリティ対策は一度行えば安全というものではないことを知って頂くキッカケになれば幸いです。 == 追記終わり == パスワードのハッシュ化 まず最初にパスワードの保存方法です。何も加工しないで平文で保存するのは駄目というのは、だいぶ認
OAuth認証とは何か?なぜダメなのか - 2020冬 - r-weblife
こんばんは。ritouです。 Digital Identity技術勉強会 #iddance Advent Calendar 2020 1日めの記事です。 qiita.com 初日なのでゆるふわな話をしましょう。 何の話か もうだいぶ前ですね。9月のお話です。こんなTweetを見かけました。 社内Slackにいる「OAuth認証」と書くと訂正してくれるbotが丁寧な解説をするようになっていた 認証(Authentication)と認可(Authorization)は間違えやすいわりにミスると甚大な被害をもたらしがちなので、常日頃から意識を高めていきたいですね pic.twitter.com/oVQxBgZcHS— greenspa (@greenspa) 2020年9月28日 このbotに対する思うところはもう良いです。 今回は、「OAuthの仕様に沿ってID連携を実装するいわゆる"OAut
Masato Kinugawa Security Blog: DiscordデスクトップアプリのRCE
数か月前、ゲームのコミュニティなどで人気のチャットアプリ「Discord」のデスクトップ用アプリケーションに任意のコードを実行可能な問題を発見し、Bug Bounty Programを通じて報告しました。発見したRCEは、複数のバグを組み合わせることによって達成される面白いものだったので、この記事では、その詳細を共有したいと思います。なお、現在脆弱性は修正されています。 調査のきっかけElectronアプリの脆弱性を探したい気分だったので、Electronアプリで報奨金が出るアプリを探していたところ、Discordが候補にあがりました。Discordは自分自身が利用者で、自分が使うアプリが安全かどうかをチェックしたいという思いもあったので、調査をすることにしました。 発見した脆弱性私は主に次の3つのバグを組み合わせることでRCEを達成しました。 contextIsolationオプションの
CTF初心者が考えるCTF入門 - きなこもち。
2023/07/22 『初めてのマルウェア解析』を追加しました。 2022/12/25 『実践バイナリ解析』を追加しました。 2021/8/22 『詳解セキュリティコンテスト ~CTFで学ぶ脆弱性攻略の技術』を追加しました。 2021/2/20 Web Security Academyの紹介を追記しました。 2021/1/1 一部の参考書を刷新いたしました。 2020/5/3 記事を書いて1年以上経ったので、大幅に加筆&修正いたしました。 どうも、きなこです(´・ω・`) 先日ツイートしたCTF初心者についての内容がちょっとばかり反響があったこと、そして、私自身がCTFに関して右も左も分からない状態から、ある程度経験を積んだことにより、簡単な問題なら解けるようになったので、今日はCTF初心者から考えた、CTF初心者向けの学習の道筋を書こうと思います(´・ω・`) ちなみに私はSECCON等
セキュリティ完全初心者がCTF入門して半月が経ちました - ぴーよメモ
記事を開いてくださったみなさんようこそ。 ぴーよです(*- -)(*_ _)ペコリ 年末年始にかけて異様になぜかモチベーションが高くて勢いで前から気になっていたCTFを始めてしまいました。 初心者だった時の気持ちは脱初心者すると忘れてしまうとよく聞くので、覚えているうちにわかったこととか参考にしたものとかを時系列順でまとめておこうと思います。 CTFとは おそらくこの記事を目にしている方の大半は知っていると思いますが一応。 CTFは"Capture The Flag"の略で、『与えられた問題からFlag(旗)をゲットすることを目的とした競技です』みたいなことがググると出てきます。 旗ってなに.....？？？ 旗っていうのはほんとに旗があるわけじゃなくて、決まった形の答えの文字列*1がいろんな方法で隠されててそれを旗と呼ぶっぽいです。 例えば"FLAG{～}"みたいな形式の文字列がどこかに隠
WordPressのXML-RPCの設定見直し
これで防げると思ってたんだけど 実際 pingback.ping は呼び出せた。WordPressのソースを確認したら xmlrpc_enabled フィルタでチェックしているのは認証が必要なパターンのときだった。pingback.pingは防げない・・・ というわけでPinbackを無効にするにはやっぱりxmlrpc_methodsフィルタを使うのが良い。 if ( function_exists( 'add_filter' ) ) { add_filter( 'xmlrpc_methods', 'remove_xmlrpc_pingback_ping' ); } function remove_xmlrpc_pingback_ping($methods) { unset($methods['pingback.ping']); return $methods; } しかしながら xmlr
XML-RPC and WordPress | MBSD Blog
2015.11.12 Alice, Special Cyber Service Team XML-RPC is a remote procedure call over HTTP formatted with XML. WordPress exposes XML-RPC APIs via xmlrpc.php. Some of the APIs have been abused in various ways by attackers. This entry is about the security of the implementation of XML-RPC by WordPress. First, let's see a simple example of XML-RPC call. Below is an XML-RPC request and response that li
RubyやRubyのOSSの脆弱性を見つけた話 - ooooooo_qの日記
この記事はRuby Advent Calendar 2018 - Qiitaの23日目です。 今年はRubyやOSSの脆弱性をいろいろ探していたので、その感想を。 Ruby (Cruby) Tmpでのディレクトリトラバーサル DirでのNUL文字の扱いの問題 UNIX ドメインソケットでのNUL文字 Ruby 2.6での挙動変更 Dir[]でのNUL文字について Rubygems rubygems 65534倍効率的なブルートフォース minitarでのKernel.open*2 geminabox Discourse Heroku Rails pgでのNUL文字 Active StorageでのXSS 報奨金 感想 Rubyに詳しくなった 脆弱性としての判定 自分が使うものを安全にする まずはRubyから Ruby (Cruby) techlife.cookpad.com 昨年公開された
Hacking the PS4, part 1 - Introduction to PS4's security, and userland ROP
Initial publication: June 29th, 2015 Note: This article is part of a 3 part series: Hacking the PS4, part 1 - Introduction to PS4's security, and userland ROP Hacking the PS4, part 2 - Userland code execution Hacking the PS4, part 3 - Kernel exploitation See also: Analysis of sys_dynlib_prepare_dlclose PS4 kernel heap overflow Since there haven't been any major public announcements regarding PS4 h
Ansible Vault を賢く使う - Qiita
Ansible でパスワードやAPIキーなどの機密情報を扱う場合には ansible-vault を使うことで暗号化されたファイルとして変数を保存できます。 簡単な使い方は以前書きました Ansible Vault を試す しかしながら、ansible-vault はファイル単位での暗号化であるため、暗号化の不要な項目までまるっと暗号化され、どんな変数が定義されているのかすらわからなくなってしまうという問題がありました。 これは結構不便です。 そんなことをずっと思っていたのですが、ふとドキュメントを読んでいたらこの問題の解決策が書いてありました。 Splitting Out Host and Group Specific Data なんと、バージョン 1.4 という ansible-vault 登場(1.5)以前からある機能でした！！ が、 As an advanced use-case,
複数のパスワードを復号できるようになったAnsible Vault - Qiita
はじめに Ansible 2.4からAnsible Vaultで、あるファイルはパスワードA、またあるファイルはパスワードB、……と別々のパスワードを使って暗号化した場合でも1つのコマンドで復号できるようになった。 これは公式ドキュメント（ http://docs.ansible.com/ansible/2.4/vault.html ）の「Use encrypt_string to create encrypted variables to embed in yaml」、「Vault Ids and Multiple Vault Passwords」、「Providing Vault Passwords」辺りに説明されている。 要約 2.4からも従来の--vault-password-fileオプションは使えるが、代わりに--vault-idオプションで置き換えることもできる。 --vau
ミニキャンプ愛媛でのコンテナ編を実行してみた - script day.log
Outline Outline 仮想化(virutalization) ハイパーバイザ/ホスト型仮想化の違い コンテナはどんなところに使われているだろうか？ コンテナのセキュリティ コンテナの実装 コンテナのメリット/デメリット メリット デメリット コンテナはどうやって実装されているのだろうか？ コンテナはプロセス 自作コンテナ by Haconiwa では，まずコンテナはプロセスなのでforkするところから始めます． Namespaceを分離します cgroupを設定 Capabilityを設定 コンテナへのAttack コンテナのセキュリティ機構 Attack Surfaces スイスチーズモデル AppArmor /sys/kernel/uevent_helper /proc/sysrq-trigger AppArmorの適用 AppArmorによる保護 seccomp secco
The Illustrated TLS Connection: Every Byte Explained
The session begins with the client saying "Hello". The client provides the following: protocol version client random data (used later in the handshake) an optional session id to resume a list of cipher suites a list of compression methods a list of extensions TLS sessions are broken into the sending and receiving of "records", which are blocks of data with a type, a protocol version, and a length.
WP-CLI で WordPress 本体の改ざんをチェックする | Firegoby
WP-CLI を使用すると以下のコマンドで、WordPress 本体のファイルが改ざんされていないかをチェックすることができます。 $ wp core verify-checksums ためしに WordPress の wp-settings.php を適当に書き換えてこのコマンドを実行してみると以下のようにファイルが書き換えられていることが検出できると思います。 $ wp core verify-checksums Warning: File doesn't verify against checksum: wp-settings.php Error: WordPress install doesn't verify against checksums. で、このコマンドにはコツというか正しい付き合い方があります。 もし、みなさんがなんらかの違和感を感じて、このコマンドを実行したいシチュ
NASA's 10 Coding Rules for Writing Safety Critical Program - RankRed
Large and complex software projects use various coding standards and guidelines. These guidelines establish the ground rules that must be followed while writing software. Usually, they determine: a) How should the code be structured? b) Which language feature should or should not be used? In order to be effective, the set of rules has to be small and must be specific enough that it can be easily u
CORSでハマったことまとめ - pixiv inside [archive]
こちらは ピクシブ株式会社 Advent Calendar 2014 の12/16の記事です。 こんにちは、エンジニアの@dnskimoです。 先日、はじめてCORSを実装する機会があったので、覚書がてらまとめておきたいと思います。 CORSとは Cross-origin resource sharingの略です。 読み方は「コルス」でいいんでしょうか？ Same-Origin Policyに弾かれずに、異なるドメイン間でリソースを共有する仕組みです。 2014年1月にW3C勧告になり、JSONPに替わる方法として徐々に普及してきているようです（要出典）。 アクセスコントロールの仕様も定義されているので、特定のサイトからのみ利用可能なAPIを作る際などに便利です。 JSONPのような「裏ワザ」的な方法ではないところも個人的に好みです。 詳しいことはネット上に素晴らしい記事がたくさんあるので
![CORSでハマったことまとめ - pixiv inside [archive]](https://cdn-ak-scissors.b.st-hatena.com/image/square/5f6a93da881857fccf6161c1a2f6935458bfbb97/height=288;version=1;width=512/http%3A%2F%2Fcdn-ak.f.st-hatena.com%2Fimages%2Ffotolife%2Fd%2Fdevpixiv%2F20141216%2F20141216151227.jpg)
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
楽しいPwn入門
http://www.ieice-hbkb.org/files/01/01gun_03hen_04.pdf
Pay What You Want: White Hat Hacker Bundle | StackSocial
JavaScriptプログラミング講座【クロスオリジンリソースシェアリングについて（CORS）】
