画像データから不要なメタデータを一発で削除できる「JPEG＆PNG Stripper」
JPEG画像やPNG画像をドラッグ＆ドロップするだけで、データに含まれるメタデータをサクッと削除してくれるフリーソフトが「JPEG & PNG Stripper」です。スマートフォンやデジタルカメラで撮影した画像データに含まれるEXIF情報などを削除し、画質に一切影響を与えることなく容量の削減を行うことも可能です。 JPEG & PNG Stripper - www.SteelBytes.com http://www.steelbytes.com/?mid=30 JPEG & PNG StripperはWindows版が公開されており、インストールや使い方は以下のとおりとなっています。 ◆ソフトのダウンロード 「JPEG & PNG Stripper」はインストールが不要で、実行ファイルを開くだけですぐ使うことが可能です。まずは上記サイトの「Download」をクリックしてファイルをダウン
プレス発表 「安全なウェブサイトの作り方 改訂第7版」を公開：IPA 独立行政法人 情報処理推進機構
IPA（独立行政法人情報処理推進機構、理事長：藤江一正）は、ウェブサイトの開発者や運営者向けの「安全なウェブサイトの作り方」にパスワードリスト攻撃への悪用防止対策等を新たに追加した改訂第7版を2015年3月12日（木）からIPAのウェブサイトで公開しました。 URL：https://www.ipa.go.jp/security/vuln/websecurity.html IPAでは、必要な技術的配慮が不足していたために起こるウェブサイトの情報漏えいや改ざん等、意図しない被害を防ぐため「安全なウェブサイトの作り方」を2006年から発行しており、これまでに6版を数えています。その内容には、IPAへの届出件数が多く攻撃による影響度が大きいソフトウェア製品やウェブアプリケーションに関する脆弱性関連情報を取り上げ、適切なセキュリティが考慮されたウェブサイト作成のためのポイントをまとめています。 7版
ブログをパクられた！手口と著作権侵害申告など、気付いたらやるべき対処方法についてまとめました - アナザーディメンション
パクリサイトの手口（プログラムの仕様） まず、犯人は盗用したいサイトを見つけたら、パクリサイト側のプログラムに対象サイトのドメインを登録するようだ。そして、自身のサイト（パクリサイト）と対象サイト（今回では当サイト）の関連付けを行う。 こんな感じだ。 【当サイト】 https://estpolis.com/ 【パクリサイト】 http://www.advieshoreca.nl/6s/csctccase.asp 【当サイト記事ページ】 https://estpolis.com/2015/02/17103.html 【パクリサイト記事ページ】 http://www.advieshoreca.nl/6s/csctccase.asp?2015/02/17103.html そうすると、以下のように動作する。 パクリサイトを閲覧した人がアクセスすると（Googleのクローラーも含む）、対象サイトのド
ブログやサイトのパフォーマンス改善やセキュリティ向上のためによく使う.htaccessの設定のまとめ
ブログやWebサイトのパフォーマンスの改善やSEO、セキュリティの向上に役立つ.htaccessの設定を紹介します。 ドメインをwww有り・無しに統一、新ドメインに引っ越した時のリダイレクト、URLをクリーンなものにしたり、共有サーバーでのPHPのバージョンを指定したりなど、すぐに利用できるものばかりです。 .htaccess Snippets -GitHub 元記事には有用な.htaccessのスニペットがPublic Domainでまとめられおり、それら全部に加えて.htaccessファイルの作成と使い方を加えました。 .htaccessファイルの作成と使い方 リライトとリダイレクトの設定 セキュリティの設定 パフォーマンスの設定 その他のいろいろ有用な設定 .htaccessファイルの作成と使い方 「.htaccess」ファイルを作成することは非常に簡単です。 テキストベースのアプリ
第9回 文字コードが引き起こす表示上の問題点［前編］ | gihyo.jp
文字コードが引き起こす問題点は、これまで説明したような比較の一致・不一致といったソフトウェアの処理上のものだけでなく、人間に対する視覚的な効果という点でも強く影響を与え、攻撃者にとっての強力な道具となることがあります。 今回および次回で、そのような文字コードが引き起こす視覚的な問題点を紹介します。 視覚的に似た文字 見かけのよく似た文字は、フィッシングなどによく利用されます。典型的な例としては、アルファベット小文字のl（エル）と数字の1などがあります。たとえば、http://bank1.example.jp/ というURLのオンラインバンクがあったとすると、攻撃者は http://bankl.example.jp/ というURLを使ってフィッシングを企むということは容易に想像できると思います。 もちろん、収録している文字数が増えれば増えるだけ、このように見かけのよく似た文字が存在する率も高
5分でわかる正しい Web サイト常時 SSL 化のための基礎知識
Web サイトを常時 SSL 化する場合に、最低限知っておかなければならない知識や、注意点、実際の設定方法まで、ひと通りまとめてみました。メリットやデメリット、証明書の種別からリダイレクト設定などについても解説しています。 HTTPS をランキングシグナルに使用しますと Google が公式に発表したあたりから、Web サイトの SSL 対応、特に Google が推奨している Web サイトをすべて HTTPS で配信する、所謂 「常時 SSL 化」 についての話を聞いたり、実際にお客様から相談されたりするケースが増えてきました。 そこで、いい機会だしその辺に関する情報をまとめておこうかな～ と思って書いてみた、恒例の （？） 5分でわかるシリーズ。書き終わって見たところ絶対に 5分じゃ無理っていう文章量になっててどうしようかなぁとも思ったんですが、気にせず公開してみます。 常時 SSL
SQLインジェクション対策もれの責任を開発会社に問う判決
ポイントは下記の通りです。 X社（原告）はセキュリティ対策について特に指示はしていなかった 損害賠償について個別契約に定める契約金額の範囲内とする損害賠償責任制限があった 当初システムはカード決済を外部委託し直接カード情報を扱っていなかった X社が「カード会社毎の決済金額を知りたい」とY社に依頼をして、その結果カード情報をいったんDBに保存する仕様となった（2010年1月29日） X社からの問い合わせに対してY社は、カード情報を保持しない方式に変更することが可能で、そのほうが安全となり、費用は20万円程度である旨を伝えた（2010年9月27日）が、その後X社は改良の指示をしなかった 以下の脆弱性その他が認められた システム管理機能のIDとパスワードが admin/password であった 個人情報が記載されたお問い合わせログファイルの閲覧が可能（ディレクトリリスティングと意図しないファイ
PHPの脆弱性への攻撃名称と対策メモ - Qiita
自分用メモ。ごちゃごちゃすると忘れるので、なるべくシンプルにまとめたい。 誤り、不備などあれば、随時追加修正します（ご指摘ありがとうございます）。 クロスサイトスクリプティング（cross site scripting、XSS） 概要 訪問者に目的のサイトとは別の罠サイトを踏ませて不正な処理を実行させる行為。 原因 フォームから受け取った値を、エスケープせずに画面に出力するために発生 （偽のフォームを作成する手法も有るので、JavaScriptの対策だけでは不足） HTMLの実体参照を用い、& を & に、< を < に、> を > に、" を " に、それぞれ置換する。 PHPではhtmlspecialchars関数を用いれば、一括で対策できる （ただしENT_QUOTESを設定しないとシングルクォーテーションはエスケープされない）
ハッカー（クラッカー）の気持ちで考えるWordPressのセキュリティー対策 | 無料WordPressテーマ BizVektor [ ビズベクトル ]
WordPressのセキュリティ設定に関するブログ記事は山ほど見かけますが、今回はよく発生する改ざんについて「効果が高い」「比較的カンタンに出来る」「費用がかからない」という視点でピンポイントに対策したいと思います。 不正アクセスの目的と手口 そもそも何が目的で不正アクセスをしようとしてくるのか？ 自分も含めいろいろな改ざん報告を見ると、 改ざん者が関連しているウェブサイトへ誘導するスクリプトをこっそり書いていく 投稿の本文の文中にサイトへの誘導リンクを書き込む メールを自動送信するプログラムが書いてあるファイルをテーマディレクトリ内に置かれる というケースが多いようです。 効率良く改ざんするための手順 それでは、上記の事を達成するのに効率が良いのはどんな方法か？ 現実的に考えて、人間が手動で一つ一つのサイトにハッキングを試みるのはどう考えても効率が悪いです。そんな事をするくらいなら時給で
![ハッカー（クラッカー）の気持ちで考えるWordPressのセキュリティー対策 | 無料WordPressテーマ BizVektor [ ビズベクトル ]](https://cdn-ak-scissors.b.st-hatena.com/image/square/f766f5261227a22c288258afdfb88c6481b833da/height=288;version=1;width=512/https%3A%2F%2Fbizvektor.com%2Fwp-content%2Fuploads%2Fsec1-1024x538.jpg)
そこそこセキュアなlinuxサーバーを作る - Qiita
先日「サーバーのセキュリティ設定がなにすればいいかわからない」と相談をうけまして。 自分も初心者の時どこまでやればいいかわからず手当たりしだいにやって沼に入っていたのを思い出しながら自鯖構築したときのメモを元にまとめてみました。 注意 セキュリティ対策は用途や場合などによって違います。 自分で理解したうえで自己責任でおねがいします。 対象読者 Linuxのサーバーを建て慣れていない人 Linuxはある程度さわれる人(自分でパッケージを入れたり、サービスを止めたりできる) ラインナップ ☆は導入の重要度と導入の容易さから個人的偏見からつけた値です。 4つ以上が"最低限やること"だと思ってください。 sshd
WordPress、深刻な脆弱性を修正 XSS攻撃の恐れ
WordPress 4.0.1ではXSSの脆弱性などが修正された。悪用された場合、Webサイトをハッキングされたり、クロスサイトリクエストフォージェリ（CSRF）攻撃を仕掛けられたりする恐れがある。 ブログ作成ソフトの更新版となる「WordPress 4.0.1」が11月20日に公開された。クロスサイトスクリプティング（XSS）などの深刻な脆弱性が修正されており、ユーザーに対して自分のWebサイトを直ちに更新するよう呼び掛けている。 WordPressのブログによると、WordPress 4.0.1では3件のXSSの脆弱性を含め、計8件の脆弱性を修正した。悪用された場合、Webサイトをハッキングされたり、クロスサイトリクエストフォージェリ（CSRF）攻撃を仕掛けられたりする恐れがある。脆弱性は3.9.2までのバージョンに存在する。 更新版は、自動更新を有効にしていれば自動的に配信される。脆
「君は新人だから知らないと思うけどセッション変数が改竄されることもある。その対策は安全ではない」
noon @n00nw0rks 日本人はリスク管理ができない、リスクはゼロにできないということを受容れられない、とよく言われるけど、日本人だからどうこうというより、リスクを管理できるだけの知識と論理的思考能力がない人は「怯える＝意識高い」と考えているんだと思っていて、その話のたびに前の会社のことを思い出す 2014-11-13 11:12:30 noon @n00nw0rks 前の会社でCSRF発見して「hiddenなinputとセッション変数にランダムトークンを保存して照合し正当なページからのリクエストか判別する」のを提案したら「君は新人だから知らないと思うけどセッション変数が改竄されることもある。その対策は安全ではない」と呆れた顔で言われて、 2014-11-13 11:12:50 noon @n00nw0rks 確かにOSやミドルウェアに脆弱性があればそういうこともあるかもだけど、セ
WordPress初心者が導入時にやっておきたい10のこと | aucfan Engineers' blog
こんにちは。 開発部エンジニア見習いの渡辺です。 今回はこれから、WordPressでブログ構築してみたいという方はサラッと目を通してみてください。 そんなん「アタリマエダYO！」ということや「普通やん！」という内容もあるかも知れませんが備忘録の一部として残します。 はじめに WordPressとは世界中でたくさんのユーザーが利用しているオープンソースのブログソフトウェアです。 2014年8月現在バージョン3.9.1の配布を行っています。 GPLライセンスの元で無料で利用でき拡張性・カスタマイズ性ともに高く、さまざまなWebサイトで利用されています。 このブログもWordPressを利用しているので構築の際に行ったことを書きたいと思います。 1.最新のWordPressで構築する 最新バージョンに対応していないプラグインなどもありますが、リビルドでなくゼロから構築する場合は極力
信頼性あるドメイン名とは？ infoやcomが危険度ランキングに入る理由 | 知って得するドメイン名のちょっといい話
危険なTLDと安全なTLDマカフィー社の発表は、「危険度ランキング」という形式になっています。危険度の高い方から10位までを抜き出したものが表1です。 「.com」や「.net」、「.info」などのgTLDは危険度が高いと評価されています。危険度ランキング1位の「.cm（カメルーン）」は、「.com」と1文字違いのTLDということもあり、入力間違いをしたユーザーを別のウェブサイトへ誘導する、いわゆるタイポスクワッティングを狙ったドメイン名が多いようです。また、そのウェブサイトも悪意あるものであることが多く、危険度が高いと評価された割合は実に69.7％もあったとのことです。 見方を変えて、危険度ランキングの最下位から10個のTLDを抜き出したものが表2です。つまりこれは「危険度が低いランキング」となっており、「安全なTLDランキング」といえます。 日本のccTLDである「.jp」は、危険度
初心者Webアプリケーション開発者がチェックすべき情報源2014 - ハニーポッターの部屋
毎年恒例の「初心者Webアプリケーション開発者がチェックすべき情報源」を集めているので、皆さんにもご紹介。 去年は手を広げすぎてかえって反応が悪かったので、最低限のものに絞ってみた。 上から重要な順。★の付いている「重点」がとりあえず読んどけ、の必須。 必須のポイントは、短期間で大雑把に網羅的にポイントが整理されているものを選択。 書籍としては、徳丸本「体系的に学ぶ 安全なWebアプリケーションの作り方」、「めんどうくさいWebセキュリティ」と「実践 Fiddler」を掲載。 「HTML5 を利用したWeb アプリケーションのセキュリティ問題に関する調査報告書」を追加。 ■重点 ★Webサイト構築 安全なウェブサイトの作り方 http://www.ipa.go.jp/security/vuln/websecurity.html LASDECなどで公開されていたウェブ健康診断仕様が別冊に加わ
脆弱性の見つけ方（初心者向け脆弱性検査入門）
WEB系の情報セキュリティ関連の学習メモです。メモなので他情報のポインタだけ、とかの卑怯な記事もあります。 ※2020.9 注記:本ブログの解説記事は内容が古くなっております。OWASP ZAPなどのソフトウェアの解説は現行バージョンの仕様から乖離している可能性があります。 EC-CUBEで脆弱性を見つけたり、mixiの脆弱性報告制度で成果を挙げたりしたせいか、「どうやって脆弱性を見つけてるんですか？」という質問をされることが時折あり、一応手順は説明するのですが、いつも口頭で細かくは説明できなくて申し訳ないので、自分のやり方をまとめてこのブログにアップしておきます。 標準的な脆弱性検査のやり方しか説明していないので、脆弱性検査のやり方を既に把握している人が読んでも得るものは少ないのではないかと思います。今回は脆弱性検査に興味があるが何をどうしたらいいか分からないような初心者向けコンテンツで
全てのWEBサービスでチェックすべきセキュリティ項目
WEBサービスにおけるセキュリティ対策の基礎 近年WEBサービスの脆弱性が騒がれておりますが、果たしてあなたが運用しているサイトのセキュリティは大丈夫でしょうか？以下、チェックしておくべきセキュリティ項目をあげました。 SSL証明書の利用 ユーザのプライベートな情報を送信してもらいサーバに保存するようなサービスではSSL認証は必須の機能と言えるでしょう。SSL認証を行っていないと、大切なユーザの情報が外部の悪いユーザに見られてしまう可能性があります。 ※ちなみにGozal-mediaではプライベートな情報のやり取りは行っていないためhttpで通信を行っています。 【確認方法】 ・ユーザ情報を送受信するページのURLが「https」から始まっている事を確認 ・「https」のページにアクセスした際に「セキュリティ証明書が信頼できない」という用な表示が出てこない事を確認 【導入方法】 導入
XPよりも難問？ IPAがサポート切れのWebサーバー関連ソフトに警鐘
XPよりも難問？ IPAがサポート切れのWebサーバー関連ソフトに警鐘：長期的な視点に基づく組織的なWebサイト管理を IPAは2014年4月25日、Webサーバーの適切な運用を呼び掛ける文書「サーバソフトウェアが最新版に更新されにくい現状および対策」を公開した。少なからぬ割合のWebサーバーで、サポートが終了したバージョンのサーバーソフトウェアやミドルウェアが使われているという。 情報処理推進機構（IPA）は2014年4月25日、少なからぬ割合のWebサーバーで、サポートが終了したバージョンのサーバーソフトウェアやミドルウェアが使われているという調査結果に基づき、Webサーバーの適切な運用を呼び掛ける文書「サーバソフトウェアが最新版に更新されにくい現状および対策」を公開した。 IPAでは情報セキュリティ早期警戒パートナーシップに基づき、クロスサイトスクリプティングをはじめとするWebアプ
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
連載：なぜPHPアプリにセキュリティホールが多いのか?｜gihyo.jp
IDEA * IDEA
