第7回 いまさらながらクロスサイトスクリプティングの基礎の基礎 | gihyo.jp
今回はWebアプリケーションを作ったことがない方でも分かるようクロスサイトスクリプティング脆弱性を解説します。 クロスサイトスクリプティングとは？ 初めてクロスサイトスクリプティングと聞いて、どのような問題なのかすぐに理解できる人はいないと思います。サイトAに記述されたJavaScriptプログラムがサイトB上で実行されるために発生することが問題とされたので、「サイト間をまたがるスクリプトの実行」問題として、クロスサイトスクリプティング（XSS）と名前が付けられました。この命名では直感的に分かりづらい、サイト間にまたがらずHTMLメールなどにJavaScriptを挿入する攻撃でも同じ効果が得られることから、「JavaScriptインジェクション」とも呼ばれるようになっています。 図1 簡単なクロスサイトスクリプティング 例1 簡単な直接攻撃 掲示板サイトに投稿されたデータをエスケープ処
アンチウイルスソフトウェアの脆弱性
Breaking av software 市場に出回っているアンチウイルスソフトウェアの脆弱性についての研究発表のスライド資料が公開されている。 アンチウイルスソフトウェアは、セキュリティ向上のために重要だという意見があるが、このスライド著者は疑問を投げかけている。そもそも、ソフトウェアの追加は、攻撃できる箇所が増えるということだ。アンチウイルスソフトウェアは果たしてセキュアに作られているのか。 特に、多くのアンチウイルスソフトウェアは、カーネルドライバーを使ったりしている。もし脆弱性があればとんでもないことだ。 アンチウイルスソフトウェアの攻撃手段としては、細工されたファイルフォーマットをスキャンさせる事が大半だ。アンチウイルスソフトウェアは、様々なフォーマットのファイルをパースする必要がある。もし、そのパーサーにバッファーオーバーフローなどの不具合があれば任意のコードを実行させることが
AWSのセキュリティが気になるなら読んでおくべきAWSセキュリティのベストプラクティス - yoshidashingo
cloudpackエバンジェリストの吉田真吾（@yoshidashingo）です。 昨日、DevLOVE現場甲子園2014東日本大会に参加して現場目線でのAWSセキュリティあるある的な話をして来ました。 その際にAWSのセキュリティ全般について知りたい場合に何を読めばいいか質問されたので、こちらで紹介しておきたいと思います。 AWSセキュリティセンター 1. AWSセキュリティ概要 ストレージデバイスの廃棄**の章では、ストレージデバイスが製品寿命に達した場合に、DoD 5220.22-M または NIST 800-88 に記載されている技術を用いてサニタイズを行ってから廃棄されるということが書かれています。 2. AWSセキュリティのベストプラクティス AWSの共有責任モデルを知る (1) Infrastructure servicesにおける共有責任モデル (2) Container
2014年8月の”Windows Update”でトラブルが発生!?【Win8.1が起動しなくなる？】 - 何でも雑記板 （避難）
2014年08月14日 15:22 カテゴリWindowsトラブル 2014年8月の”Windows Update”でトラブルが発生!?【Win8.1が起動しなくなる？】 Posted by fs00r612 Tweet 2014年8月12日に”Windows Update”が実施されましたが、今回のアップデートで何件かトラブルが発生しているようです。 ・Windows8.1で”Windows Update”を実施するとWindowsが起動しなくなる、または起動するが動作が不安定になる（CPU使用率が安定しないなど） ・セキュリティソフト「avast!」を使用し、”Windows Update”を実施するとウイルス感染するおそれがある。 ・アップデートにかなり時間がかかる (現在、情報収集中で下に行くほど新しい情報になっています。) など2014年8月に実施される”Windows Upda
IE 6～11に未解決のゼロデイ脆弱性、Microsoftがアドバイザリ公開
米MicrosoftのInternet Explorer（IE）6～11に未解決の脆弱性が見つかった。Microsoftは4月26日（現地時間）、この脆弱性に関するアドバイザリーを公開し、注意を呼び掛けている。 対象となるのはほぼすべてのWindows OS（Windows 8.1、Windows Server 2012 R2などを含む）上のIE。なお、MicrosoftはWindows XPのサポートを終了している。 米セキュリティ企業のFireEyeは、この脆弱性を利用した攻撃を確認した。同社が「Operation Clandestine Fox」と名付けたこの攻撃の対象はIE 9～11という。 脆弱性は、削除されたメモリや適切に割り当てられていないメモリ内のオブジェクトにIEがアクセスする方法に存在する。悪用された場合、多数のユーザーが利用する正規のWebサイトを改ざんしたり、ユーザ
CVE-2014-0160 OpenSSL Heartbleed 脆弱性まとめ - めもおきば
必要な情報は http://heartbleed.com/ にまとまっているのですが、英語だし長いしって人のために手短にまとめておきます。 どうすればいいのか OpenSSL 1.0.1〜1.0.1fを使っていなければセーフ あてはまる場合には、一刻も早くバージョンアップして、サーバごと再起動(わかるひとはサービス単位でもOK、ただしreloadではだめなことも) SSL証明書でサーバを公開しているなら、秘密鍵から作り直して証明書を再発行し、過去の証明書を失効させる(末尾に関連リンクあり)。 サーバを公開していない場合も、外部へのSSL通信があれば影響を受けるので、詳しく精査する。 PFS(perfect forward secrecy)を利用していない場合、過去の通信内容も復号される可能性があるため、詳しく精査する。 漏洩する情報の具体例は、OpenSSLの脆弱性で想定されるリスクとして
グーグルが収集しているユーザーデータの秘密／グーグルのダークサイド?（前編） | Moz - SEOとインバウンドマーケティングの実践情報
グーグルは、何といってもデータ企業だ。グーグルはかつて、公平な競争の場で、一般に公開されているデータを競合相手よりも巧みに利用することを武器として戦った。そうすることで、空前の大成功を収めたんだ。 Web 2.0の時代に入ると、ハードディスク、プロセッサ、通信帯域、果ては労働力まで、比較的安価に入手できるようになった。そのおかげで、検索分野への参入障壁は急激に低くなった。競合相手がグーグルに追い付き始め（MSN画像検索とか）、新規参入者も現れる（Cuill）に至って、グーグルは、何らかの優位性を探し求めている。 インターネット上のコンテンツについては、誰もがほぼ対等にアクセスできるようになったから、先行している企業はあの手この手で個人データを入手しようとしている。検索エンジンにとっていちばん費用効率がいいのは、すでに自社のサービスを利用しているユーザーからデータを集めることだ。グーグルは、
グーグルが収集している280項目以上のユーザーデータ一覧／グーグルのダークサイド?（後編） | Moz - SEOとインバウンドマーケティングの実践情報
訪問したウェブサイトのコンテンツ分析Googleアカウント個人ユーザーに関する情報を集めるためのリソースとして使われる登録情報登録した日付ユーザー名パスワード予備のメールアドレス住所（国）顔写真利用情報友人グーグルサービスの利用状況ログイン回数Googleツールバー訪問したすべてのウェブサイト固有のアプリケーション番号404エラーとなったページを全部グーグルに送信ツールバー同期機能グーグルのアカウントに自動入力情報を保存ウェブフォームの構造をグーグルに送信セーフブラウジングセキュリティに関する警告への応答を保存自動入力フォームデータを保存スペルチェックはグーグルサーバーにデータを送信ウェブの履歴グーグルの検索結果ページから閲覧した全ウェブサイト日付時刻検索クエリクリックした広告利用したサービスGoogle翻訳グーグルのサーバーに送ったテキストすべてGoogle Finance株式のポートフ
情報処理推進機構：情報セキュリティ：脆弱性対策：安全なウェブサイトの作り方
「安全なウェブサイトの作り方」は、IPAが届出(*1)を受けた脆弱性関連情報を基に、届出件数の多かった脆弱性や攻撃による影響度が大きい脆弱性を取り上げ、ウェブサイト開発者や運営者が適切なセキュリティを考慮したウェブサイトを作成するための資料です。 「安全なウェブサイトの作り方」改訂第7版の内容 第1章では、「ウェブアプリケーションのセキュリティ実装」として、SQLインジェクション 、OSコマンド・インジェクション やクロスサイト・スクリプティング 等11種類の脆弱性を取り上げ、それぞれの脆弱性で発生しうる脅威や特に注意が必要なウェブサイトの特徴等を解説し、脆弱性の原因そのものをなくす根本的な解決策、攻撃による影響の低減を期待できる対策を示しています。 第2章では、「ウェブサイトの安全性向上のための取り組み」として、ウェブサーバの運用に関する対策やウェブサイトにおけるパスワードの取扱いに関す
SQLインジェクションについてのスライドを作成した - Kentaro Kuribayashi's blog
社内で、SQLインジェクションについてあらためて原理・原則から議論したいねという風潮がにわかに起こったので、ひとまずは叩き台として僕の方でまとめて皆で議論しましょうというわけで、以下のような資料を作成した。 社内勉強会用の資料なのだけど、僕は別にセキュリティに詳しいわけでもないし、ましてやPHPのことは素人なので、外部の識者にレビューしていただいて、できるだけ正しい知識に基づいて議論できればと思い、まずスライドを先行公開することにした。そうしたところ、Twitter上で多数の識者よりいろいろとご指摘いただいて、少くとも決定的におかしな内容にはなっていないものになったようだ。ありがとうございます。 僕らの職務のひとつに「セキュリティ関連」というものも謳われているので、そのあたりの知識普及・基盤整備についても、仕事のひとつとして行っている。先にも書いた通り、僕自身がその点についてよく理解できて
IPAテクニカルウォッチ 『Androidアプリの脆弱性』に関するレポート：IPA 独立行政法人 情報処理推進機構
IPA（独立行政法人情報処理推進機構、理事長：藤江 一正）は、IPAに届け出られるAndroidアプリの脆弱性関連情報が2011年後半から増加していることを踏まえ、それらを分析して脆弱性を作り込みやすいポイントをまとめ、技術レポート「IPAテクニカルウォッチ」として公開しました。 近年、Android端末の利用者の増加に伴い、多くのAndroidアプリが提供されるようになりました。そのような状況の中、2011年後半からIPAに届け出られるAndroidアプリの脆弱性関連情報も増加しており、2012年5月末までの累計で42件の届出がありました。届出を分析した結果、その7割超が「アクセス制限の不備」の脆弱性であることがわかりました。 「アクセス制限の不備」の脆弱性は、制限が適切に実施されていないために、非公開または公開を限定すべき情報や機能に対するアクセスを第三者に許してしまう問題です。 An
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
他人事ではないWebセキュリティ
ウェブサイトの攻撃兆候検出ツール iLogScanner | 情報セキュリティ | IPA 独立行政法人 情報処理推進機構
Bitcoinを技術的に理解する
AWSのセキュリティについて
OSセキュリティチュートリアル
Microsoft、セキュリティツール「EMET 4.1」の日本語版ユーザーガイドを無償公開
PHPでセキュリティを真面目に考える
就活生のみなさんへ ～文系？理系？～ « サーバーワークス社長ブログ