ImageMagickを使うWebアプリのセキュリティ - 1. 既知の脆弱性、システム情報の漏洩 | MBSD Blog
MBSDトップページ> MBSD Blog> ImageMagickを使うWebアプリのセキュリティ - 1. 既知の脆弱性、システム情報の漏洩 Webサイトの診断でImageMagickを使ったアップロード画像の処理を見ることがあります。診断の結果、特有の興味深い挙動が見つかることもあるため、今回時間を取って検証してみました。 その結果を3回に分けて記事にします。1回目の本記事では、既知の脆弱性、システム情報の漏洩の問題を取り上げます。2回目はDoS、最後の3回目はアクセス制御やXSSを中心としたいわゆるWebアプリのセキュリティを取り上げます。 検証ではRailsとCarrierWaveを使ったWebアプリを使用しました（詳細は末尾）。CarrierWaveはRailsなどで古くから使われているファイルアップロード処理用のgemライブラリです。これらを選んだのは、筆者の経験上、Imag
ウェブサイトにキャプチャを導入する方法【reCAPTCHAの使い方】
ウェブサイトにCAPTCHA機能を実装してスパムロボットを防ぐ方法。GoogleのreCaptureの使い方。
Webデベロッパのためのセキュリティ・チェックリスト | POSTD
安全で堅牢なWebアプリケーションをクラウドで開発するのは 非常に困難 です。それを簡単だと思っているような人は、例えばとんでもない頭脳をお持ちというなら別ですが、遠からず痛い目を見ることになるでしょう。 もし MVP（Minimal Viable Product：必要最低限の機能を備えた製品） のコンセプトを鵜呑みにして、有益かつ安全な製品を1ヶ月で作成できると考えているようなら、プロトタイプを立ち上げる前に一度考え直した方がいいと思います。以下に挙げたチェックリストをご覧いただければ、セキュリティに関するクリティカルな問題の多くをスキップしていることが分かるはずです。あるいは少なくとも、潜在的なユーザに対しては 誠実 であるように心がけ、製品が完全ではないこと、そしてセキュリティが不十分な製品を提供していることを伝えるようにしてください。 このチェックリストはシンプルなもので、決して完
CakePHP Security コンポーネントのまとめ | Sun Limited Mt.
トークンが一致しないと SecurityComponent の blackHole メソッドが実行されます。このメソッドでは header('HTTP/1.0 404 Not Found'); を出力して exit します。（画面は空白） 任意の処理を実行したい場合は blackHoleCallback でコールバック関数を指定します。 設定できるのは同じコントローラ内のアクションのみになります。 function beforeFilter() { $this->Security->blackHoleCallback = "securityError"; $this->Security->requireAuth('login'); } function securityError() { die("security error!"); } トークンチェックをするアクションを複数指定するとき
高木浩光＠自宅の日記 - CSRF対策に「ワンタイムトークン」方式を推奨しない理由
水色の四角は画面を表し、白抜き実線枠の四角はボタンを表す。 これを、Webアプリという実装手法を選択する場合に特化すると、図2のような遷移図が描ける。 実線矢印はブラウザが送信するHTTPのrequest（ヘッダおよび、POSTの場合はボディを含む）を表し、黄色の丸がサーバ側での1アクセスの処理を表し、点線がその処理結果を返すHTTPのresponse（ヘッダおよび、HTML）を表す。responseの上の文はHTMLの内容を説明するものである。黄色の丸の中の文は処理内容の説明であり、ここから複数のresponse矢印が出ている場合、処理の結果によって遷移先の画面が異なる場合であることを表し、破線の白抜き四角がその分岐の条件を概説している。 この図で例に用いているのは、ECサイトやblogサービスなどに見られる典型的な「登録個人情報変更」の機能である。「メインメニュー」画面の「登録情報変更
第28回 フォーム送信とブラウザ・ボタンと使い勝手（前編）～PRGパターンをご存じですか
皆さん，こんにちは。筆者は先日，アメリカはシリコンバレーに出張に行ってきまして，行きの飛行機の中で映画，ダイハード4.0を観ました。この映画，「4.0」という邦題もなかなかいい感じ（原題は「Live Free or Die Hard」）なのですが，題材はサイバーテロで，「ハッカー」がたくさん出てきます。Nokiaのスマートフォンを使ったり，新しさは随所にあるものの，どこかに侵入に成功するとでっかく「Access Granted」という緑色の文字が出てきたりして，この連載の第15回で取り上げたような，映画における古風なハッカーの表現手法がきちんと守られていてよかったです。 とは言っても，映画自体はテンポのいいアクションと，何人もの悪者が登場して，それぞれの悪者に対するムカツキ度が最大値に達したころにやっつけられるタイミングの良さで，かなりおもしろかったです。古風なハッカーの表現方法が知りたい
さいきょうの二重サブミット対策 - Qiita
この記事はシステムエンジニア Advent Calendar 2015 - Qiitaの記事です。 弊社アーキ部で@kawasimaさんに教えてもらったさいきょうの二重サブミット対策について書いていきます！ 二重サブミットが発生するケース 不正な更新リクエストが発生するケースとして、以下のものが考えられます。 サブミットボタンをダブルクリックする 戻るボタンで戻って、再度保存ボタンを押す 完了ページでブラウザリロードする CSRF攻撃による不正な更新リクエスト 1. サブミットボタンをダブルクリックする 確定ボタンをダブルクリックすることによって、ユーザが意図していないリクエストが発生してしまうケース。 2. 戻るボタンで戻って、再度保存ボタンを押す 処理完了画面から戻るボタンで前の画面に遷移し、再び確定ボタンを押すケース。 本来は入力➡︎確認➡︎完了の画面遷移が適切だが、その画面遷移にな
Digest認証を使ったアクセス制限を行う
AuthType ディレクティブでは認証方式を選択します。設定可能な値は None, Basic, Digest, Form の 4 つで今回は Digest 認証を使用するので Digest を指定します。 AuthName ディレクティブでは認証領域を選択します。一度認証が通ったあと同じ認証領域の名前が設定されている Digest 認証が必要なページへアクセスしたときに認証が不要となります。パスワードファイルでユーザーを作成するときに使用した領域名と一致する必要があります。 AuthDigestDomain ディレクティブではアクセス制限の保護の対象となる URI を指定します。 AuthDigestProvider ディレクティブでは認証プロバイダを選択します。デフォルトは file となっており今回のようにパスワードファイルを使用する場合は設定は不要です。 dbm 形式のパスワード
Digest認証のやりかた
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47
PHPのbasename関数でマルチバイトのファイル名を用いる場合の注意
まずは以下のサンプルをご覧ください。サーバーはWindowsで、内部・外部の文字エンコーディングはUTF-8です。UTF-8のファイル名を外部から受け取り、Windowsなのでファイル名をShift_JISに変換してファイルを読み込んでいます。basename関数を通すことにより、ディレクトリトラバーサル対策を施しています。 <?php header('Content-Type: text/plain; charset=UTF-8'); $file_utf8 = basename($_GET['file']); $file_sjis = mb_convert_encoding($file_utf8, 'cp932', 'UTF-8'); $path = './data/' . $file_sjis; var_dump($path); readfile($path); しかし、ディレクトリト
CakePHP セキュリティ対策について考える（SQLインジェクション、XSS、CSRF） | hijiriworld Web
Posted on: 2011/11/18 CakePHP セキュリティ対策について考える（SQLインジェクション、XSS、CSRF） 概要 SQLを使って不正にデータベースを操作する攻撃 攻撃例 ユーザー名とパスワードを入力してログインする処理があるとする。 username と password の組み合わせが、データベースのものと一致すれば認証するという仕組みだとする。 SELECT * FROM users WHERE username='$username' AND password='$password' ここで、（$username: admin, $password: ' OR 'a'='a）と入力すると、SQLは以下のようになる。 SELECT * FROM users WHERE username='admin' AND password='' OR 'a'='a' こ
セキュリティ - 2.x
セキュリティ¶ class SecurityComponent(ComponentCollection $collection, array $settings = array())¶ Security コンポーネントを使うと、アプリケーションにさらに堅牢なセキュリティを導入できます。 このコンポーネントは、以下の様々なタスクのためのメソッドを提供します。 アプリケーションが受け付ける HTTP メソッドの限定 CSRF 防御 フォーム改ざん防止 SSL の利用を要求 コントローラ間の通信制限 全てのコンポーネントと同様に、いくつかの設定できるパラメータがあり、 これら全てのプロパティは、直接設定したり、コントローラの beforeFilter の中で、 プロパティと同じ名前のセッターメソッドで設定できます。 Security コンポーネントを使用することで、自動的に CSRF とフォーム
Security - 2.x
This document is for a version of CakePHP that is no longer supported. Please upgrade to a newer release!
PHP 値の受け渡しで気をつけること。 | テクニカルノート
$_GET、$_POST、$_COOKIE の値の受け取りは、セキュリティ上気をつけないといけないですが、 毎回コードを書くのも面倒なので。 class common{ public static function getGET($name){ $ret = filter_input(INPUT_GET, $name); if (isset($ret)){ $ret =str_replace("\0", "", $ret);//Nullバイト攻撃対策 return htmlspecialchars($ret, ENT_QUOTES, 'UTF-8'); } return ''; } public static function getPost($name){ $ret = filter_input(INPUT_POST, $name); if (isset($ret)){ $ret =st
シンプルに設置できる数字Captcha「MathCaptcha」
スパム防止などで利用されているCaptchaですが、数字版で使えるものがないか探してみました。この「MathCapthca」は非常にシンプルに設置できます。 ダウンロードはこちらから。 MathCaptcha Component for CakePHP 2. 解凍したCaptchaComponent.phpをコンポーネントディレクトリに配置して下さい。 app/Controller/Component/CaptchaComponent.php Controller var $components = array('MathCaptcha'); // captcha表示 function mathcaptcha(){ $this->set('mathCaptcha', $this->MathCaptcha->generateEquation()); } // captchaチェック func
Captchaプラグイン「Captcha Component & Helper」
Captchaプラグインを実装してみました。 ダウンロードはこちら 解凍して、このようになるようにそのままappディレクトリ下に置いてください。 app/Controller/Component/CaptchaComponent.php app/View/Helper/AppHelper.php app/View/Helper/CaptchaHelper.php app/webroot/cakecaptcha (webrootに関してはインストール環境によると思いますので読み替えてください。) コントローラ (Controllers) public $components=array( 'Security', 'Captcha', ); public $helpers=array( 'Captcha'); public function captcha() { $this->Captcha
「HTTP」前提が崩れる――早く「常時SSL」にすべき理由
本連載で以前から「常時SSL」（TOPページからのHTTPSであること）の必要性を取り上げてきた。最初と2回目は金融機関向けだったが、実は全ての企業、個人にとって必要になっている。今回はそのことを解説してみたい。 先日の「情報セキュリティEXPO」で情報処理推進機構（IPA）が、「SSL/TLS暗号設定ガイドライン」について解説するというので聴講した。残念ながらHTTPSの実装については全く触れられなかったが、それでも十分に参考になる内容であり、よく説明されていた。 「常時SSL」に関する過去2回の記事で金融機関に言及していたのは、筆者が銀行出身であることやコンサルティング先の多くが金融機関であることが理由だが、昨今のネット世界の動向をみるに、「金融機関」に限定せず、全ての企業のサイト、強いては個人を含む全てのWebサイトについて「常時SSLの是非」を考える必要性を強く感じざるを得ない状況
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
狠狠色噜噜狠狠狠狠97,你懂的在线视频,亚洲AV制服丝袜日韩高清
Web開発者の必須知識、Webアプリの不正遷移対策とは？
超絶技巧CSRF / Shibuya.XSS techtalk #7
