これぐらいやっとけ 〜Linuxサーバのセキュリティ設定〜 - nabeの雑記帳
管理中のサーバで行っているセキュリティ設定を公開します。本当はこういうことを公開するのはよろしくないのですが、脆弱サーバが氾濫している現状そこが踏み台となってsshアタックされるのも迷惑極まりないので、最低限やっとけという内容でまとめました。*1 起動サービスと概要 iptables/Firewallの設定 iptablesの中身 limit-burstについて hashlimitについて hosts.allow/hosts.deny(TCP Wrapper)の設定 sshdの設定 その他の設定 Apacheの設定 Postfixの設定 Dovecotの設定 まとめ はてブさんは #の切り分けやめてくれないかな……。 起動サービスと概要 Apache (www) sshd smtp/pop bind (DNS) ntpd いくつかの注意点。 sftpで十分なのでftpdは使わない。WinS
脆弱性体験学習ツール AppGoat | 情報セキュリティ | IPA 独立行政法人 情報処理推進機構
脆弱性体験学習ツール AppGoat AppGoatに関する不審メール確認のお知らせ（2023/08/04 公開） AppGoatの設定確認の連絡を装った不審メールを確認しています。 AppGoatの利用者に対してAppGoatの窓口からAppGoatの設定確認や変更を依頼することはございません。 不審メールを受け取った際にはメールの内容に従わず（URL内のリンクをクリックしない等）メールの削除をお願いします。 不審メールの見分け方や事例については以下もご参考ください。 ○安心相談窓口だより：メールの見かけ上の送信元情報を安易に信じないで ○安心相談窓口だより：URLリンクへのアクセスに注意 脆弱性体験学習ツール AppGoatとは 脆弱性体験学習ツール「AppGoat」は、脆弱性の概要や対策方法等の脆弱性に関する基礎的な知識を実習形式で体系的に学べるツールです。利用者は、学習テーマ毎に用
formタグを利用したtoken奪取 - ma<s>atokinugawa's blog
スクリプトの実行はできない（XSS対策されている）し、tokenは導入されている（CSRF対策されている）のに、tokenを奪取され、不本意な操作をされてしまう例というのを1つ、やってみたいと思います！ 実証だニャン！ http://d.hatena.ne.jp/kinugawamasanyan/20101012/nyan 原理 こういうフォームがあったら、submitボタンを押下した時にtokenの値がA、Bどっちにポストされるでしょうか。 <form action="A" method="post"> <form action="B" method="post"> <input type="hidden" name="token" value="123123123"> <input type="submit"> </form> 答えはAです。 つまり本来設置されたフォームより前に別のf
文字コードに起因する脆弱性を防ぐ「やや安全な」php.ini設定
補足 この記事は旧徳丸浩の日記からの転載です（元URL、アーカイブ、はてなブックマーク1、はてなブックマーク2）。 備忘のため転載いたしますが、この記事は2010年9月27日に公開されたもので、当時の徳丸の考えを示すものを、基本的に内容を変更せずにそのまま転載するものです。 補足終わり PHPカンファレンス2010にて「文字コードに起因する脆弱性とその対策」というタイトルで喋らせていただきました。プレゼンテーション資料をPDF形式とslideshare.netで公開しています。 文字コードのセキュリティというと、ややこしいイメージが強くて、スピーカーの前夜祭でも「聴衆の半分は置いてきぼりになるかもね」みたいな話をしていたのですが、意外にも「分かりやすかった」等の好意的な反応をtwitter等でいただき、驚くと共に喜んでいます。土曜にPHPカンファレンスに来られるような方は意識が高いというの
WebAppSec - WebAppSec Wiki - IEのexpressionとurl
IEのexpressionとurl † Internet Explorer では、スタイルシート中に expression(JavaScript?の文) や background:url(JavaScript?の文) という記法を行うことで、よりダイナミックなHTMLドキュメントを作成することが可能です。 <style>input { left:expression( alert('expression!') ) }</style> <style>div { background:url(alert('URL!') ) }</style> もちろん、インラインで記述することもできます。 <div style="{ left:expression( alert('expression!') ) }"> <div style="{ background:url( alert('URL!') )
ノート PC の無線機能が外出先で自宅住所をバラす危険 | スラド
もし、自宅の無線LANアクセスポイントのSSIDが、無線側MACアドレスと同一、ないしその連番、ないし、それを一部に含むものである場合、家でそれに接続するのに使用したことのあるノートPCを、家の外で無線LANの電源を入れていると、その近くに居る人は、probe requestとして放送されるSSIDを傍受することができるので、傍受したSSIDを元に、その人の自宅無線LANアクセスポイントのMACアドレスを推定し、それを元にPlaceEngineを使って自宅の場所を突き止めることができてしまう。 ギャーこれはヤバい。 とのこと。長いので分けて書くと、 無線 AP の SSID から MAC アドレスを推測することができることがある 自宅で使った無線 AP の SSID を、ノート PC が外で probe request として放送することがある SSID は簡単に傍受することができる Pl
マイクロソフト、スパマー撃退のために猫画像を活用
受信したメールを子猫がねこぱんちしながら次々と高速で選別することによって、どれがスパムメールかを判定する禁断の最先端テクノロジーをマイクロソフトがついに開発に成功、スパム判定されたメールには自動的に猫画像が付加されることによってメールソフト上では猫アイコンが表示され、全世界の猫大好きメールユーザー大感激というわけではなく、Hotmailのアカウントを作成する際にスパマーが全自動アカウント作成プログラムを走らせることができないようにするために猫画像を使うという仕組みです。 どういうことかという詳細は以下の通り。 Kittens Could Solve Spam - Yahoo! News 現在、Hotmailのアカウントを作成しようと思うと以下のようなくにゃくにゃ曲がりくねった文字を入力する必要性があります。 これは俗に「Captcha」（キャプチャ）と呼ばれている認証方法で、人間であれば簡
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
