Webエンジニア向けセキュアコーディング学習サービス「KENRO」のトライアルを一般開放しました - Flatt Security Blog
こんにちは、Flatt Security執行役員の @toyojuni です。 弊社はWebエンジニア向けのセキュアコーディング学習プラットフォーム「KENRO(ケンロー)」を提供しています。この度、商談の中で限られたお客様にのみ提供していた「KENRO」のトライアル利用を 無償・期間無制限で一般開放 することとしましたので、そのお知らせも兼ねつつ一般開放に至った背景などをこちらのブログでお話ししようと思います。 「KENRO」とは？ 「KENRO」のトライアルとは？ トライアル一般開放の背景 トライアルはどのような人にオススメ？ トライアルの利用方法 最後に 「KENRO」とは？ 「KENRO」は、Web 開発に必要なセキュリティ技術のハンズオンの研修・学習を行うことができる、環境構築不要のクラウド型学習プラットフォームです。 https://flatt.tech/kenro これまでエ
Web アプリ開発者も他人事じゃない バッファオーバーフロー攻撃の概要と対策 | yamory Blog
バッファオーバーフローはメモリ上のバッファを超えて書き込みが行われる攻撃手法です。アプリ開発者の視点から解説しました。
_%25E3%2581%25AE%25E5%258E%259F%25E7%2590%2586%25E3%2581%25A8%25E6%2594%25BB%25E6%2592%2583%25E6%2589%258B%25E6%25B3%2595%25E3%2581%258A%25E3%2582%2588%25E3%2581%25B3%25E3%2581%259D%25E3%2581%25AE%25E5%25AE%259F%25E8%25A3%2585%25E3%2581%25AB%25E3%2581%25A4%25E3%2581%2584)
CSS Injection (+ Recursive Import) の原理と攻撃手法およびその実装について - Szarny.io
はじめに 注意 CSSiの原理と概要 クラシカルな手法 概要 動作デモ 実装 脆弱なWebアプリケーション(/classic/user/*) 攻撃用CSS生成スクリプト(/classic/attacker/exploit.py) 攻撃者用Webサーバ(/classic/attacker/server.py) Recursive Import を用いた手法 概要 CSSのインポートと攻撃の原理 攻撃フロー 動作デモ 実装 脆弱なWebアプリケーション(/recursive/user/*) 攻撃者用Webサーバ(/recursive/attacker/server.py) おわりに 参考文献 はじめに 本記事ではCSS Injection(以下，CSSi)について解説します． CSSiについて，その原理や攻撃手法の概要を示したあと，実際に攻撃環境を実装して，HTML上に存在する機密情報を窃取す
HTML5のLocal Storageを使ってはいけない（翻訳）｜TechRacho by BPS株式会社
概要 原著者の許諾を得て翻訳・公開いたします。 英語記事: Randall Degges - Please Stop Using Local Storage 原文公開日: 2018/01/26 著者: Randall Degges 日本語タイトルは内容に即したものにしました。 画像は元記事からの引用です。 初版公開: 2019/10/19 追記更新: 2024/04/05 -- リンク情報を記事末尾に移動しました 本気で申し上げます。local storageを使わないでください。 local storageにセッション情報を保存する開発者がこれほど多い理由について、私にはさっぱり見当がつきません。しかしどんな理由であれ、その手法は地上から消えてなくなってもらう必要がありますが、明らかに手に負えなくなりつつあります。 私は毎日のように、重要なユーザー情報をlocal storageに保存す
#3 teratailのQ&Aから学ぶWebセキュリティの現状 | gihyo.jp
ITエンジニア特化型Q&Aフォーラムteratailが主催となり、2018年3月24、25日の2日間に渡り開催された「MANABIYA -teratail Developer Days-」ではITエンジニアの問題解決カンファレンスをテーマに「疑問」を主題としたセッションが多く実施されました。その中から、徳丸 浩さんによる基調講演「teratailのQ&Aから学ぶWebセキュリティの現状」のレポートをお送りします。 徳丸氏による基調講演の模様 セキュリティのプロがteratailで回答し続ける理由 講演は徳丸さんの自己紹介から始まりました。セキュリティを仕事としてセキュリティの書籍『体系的に学ぶ安全なWebアプリケーションの作り方』（SBリエイティブ）や『徳丸浩のWebセキュリティ教室』（日経BP社）を執筆し、脆弱性診断やコンサルティング業務を行う徳丸さんが、無償でYahoo！知恵袋やt
新人研修でHardening! - freee Developers Hub
こんにちは、freeeのCSIRT専属エンジニアの杉浦英史です。 2018年4月、freeeは新卒3期生として27名もの新人さんをお迎えしました。 会社に入社すると、最初に待っているのは？ そう、新人研修ですね。 今年は、freee史上最も中身の濃い研修が行われていますが、 今回は、CSIRTが担当したセキュアコーディング研修について紹介します。 この研修は、4月中旬の3日間に渡って行われたものですが、8名の選りすぐりの新人達に参加してもらいました。 セキュアコーディング研修と聞くと、コーディングべからず集みたいなものを解説する座学を思い浮かべてしまうかもしれませんが、そんな生半可なものではありません。 Hardening! Hardeningと呼ばれるトレーニングをみっちりやってもらいました。 スケジュールはこんな感じです。 Hardening実習スケジュール 最初の半日で、OWASP
Androidのセキュア開発について考えてみた(明日、敗訴しないためのセキュアコーディング.ver2)
Why and How should you approach to Android Security in architecting phase, implementation phase, and operation phase. This includes what type of secure planning should be considered in term of business domain, what type of universal secure coding should be done. It also talks about how should you store keystores and its password in safe manner.
ソフトウェア開発者が知っておくべきセキュリティの定義／標準／ガイド
(Last Updated On: 2018年8月4日)単純にこういった定義や標準があります、と紹介してもなかなか原文を参照することは敷居が高いです。このブログでも色々紹介できてきたので、ソフトウェア開発者が知っておくべきセキュリティの定義／標準／ガイドなどをまとめて紹介します。 セキュリティ対策の定義 そもそも定義を間違えていたら、ボタンの掛け違いは止まりません。まず、正しい定義を理解しなけばなりません。ソフトウェアのセキュリティといっても、他のセキュリティ対策の定義と基本は同じです。ISO 27000では広範囲なITセキュリティの対策を定義しています。勿論、用語の定義もあります。 ISO 27000のセキュリティ対策の定義 標準と基本概念から学ぶ正しいセキュリティの基礎知識 ざっくり言うと、基本的にはセキュリティ対策の本質は緩和策である、と理解していれば良いでしょう。 ISO 2700
セキュアプログラミング（防御的プログラミング）の歴史をざっと振り返る
(Last Updated On: 2019年2月12日)キュアプログラミング（防御的プログラミング）の歴史をざっと振り返ってみたいと思います。セキュアプログラミングは防御的プログラミングとも言われるプログラミングの原則の１つ※です。古くからある概念ですが、誤解または理解されていない概念の１つではないでしょうか？ ※ Defensive Programmingとして記載されています。 何故、一般に広く常識として理解されていないのか？その理由は防御的プログラミングの歴史にあるのかも知れません。 参考： セキュアプログラミングの７つ習慣 「出力対策だけのセキュリティ設計」が誤りである理由 セキュアプログラミングの必要性が認識された事件 コンピュータセキュリティの基礎的概念は60年代から研究されていました。その成果も踏まえ、インターネットの前身であるARPANETは1969年から稼働を開始しまし
Cross-site scripting in millions of web sites | Weblog | Sijmen Ruwhof
In August 2014 I found a severe cross-site scripting security vulnerability in the latest version (1.13.0) of the ‘jQuery Validation Plugin‘ during a security penetration test for a customer. This jQuery plugin which adds easy form validation functionality to a web site, is written by a core developer of the highly popular jQuery JavaScript framework. As of speaking this vulnerability still exists
$http | AngularJS 1.2 日本語リファレンス | js STUDIO
AngularJS 1.2 API ガイド TIPS ngモジュール ディレクティブ フィルター サービス $anchorScroll $animate $animateProvider $cacheFactory $compile $compileProvider $controller $controllerProvider $document $exceptionHandler $filter $filterProvider $http $httpBackend $interpolate $interpolateProvider $interval $locale $location $locationProvider $log $logProvider $parse $parseProvider $q $rootElement $rootScope $rootScopeProvid
クロスサイトリクエストフォージェリ（XSRF）に対するAngularJSの保護策: Angular、Bootstrapなどの学習備忘録
クロスサイトリクエストフォージェリ（XSRF）に対してAngularJSがどのように対応しているか確認しました。下記公式サイトを参考にしました。 http://docs.angularjs.org/api/ng/service/$http ・XSRF（クロスサイトリクエストフォージェリ）攻撃によって意図していないサイトにユーザーのプライベートデータが取得されてしまうことがある。 ・Angularでは、XSRFに対する保護策を用意している。 XHR（XMLHttpRequest）リクエストを取り扱う際、$httpサービスはクッキーからトークン（デフォルトでは、XSRF-TOKEN）を読み取り、それをHTTPヘッダー（X-XSRF-TOKEN）としてセットして送信する。 自分のドメイン上で実行しているJavaScriptのみがそのクッキーを読むことが出来るのでサーバーはそのXHRが自分のドメイ
3分で分かるAngularJSセキュリティ - teppeis blog
先日のng-mtg#4 AngularJS 勉強会でLTしようと思ったけど申し込みが間に合わなかったのでブログに書きます。 先月リリースされたAngularJS 1.2はセキュリティがんばってる的なことを聞いたので、セキュリティ周りの仕組みを調べてみました。 お題は以下です。 CSRF JSON CSP (Content Security Policy) Escaping CSRF ユニークなトークンをHTTPリクエストに載せてサーバーでチェックする対応が世の中では主流（最近はカスタムヘッダのチェックによる対策も） AngularJSでは、XSRF-TOKEN Cookieにトークンが載っていると、$httpを使ったHTTPリクエストのヘッダに自動的にX-XSRF-TOKENヘッダーが付く。 XSRF-TOKEN CookieはもちろんNot HttpOnlyで。 Angular界ではCS
[ThinkIT] 第3回：パラメータからの情報流出 (4/4)
HTTP Cookieは、Webサーバが同一のWebクライアントからのリクエストを追跡するために使う小さな目印のデータである。 CookieはまずWebサーバがHTTPレスポンスを通じて発行し、Webブラウザがそれを保持する。WebサーバへHTTPリクエストを送るたびにWebブラウザは預かったCookieをリクエストに含めて送信する。Webサーバはブラウザから送り返されてきたCookieの値を使って処理のコントロールを行うことができる。 Cookieはいわば、Webサーバ側からブラウザにデータを預けておけるポケットのような存在である。Webサーバ側にデータベースやセッション変数（後述）のための資源を用意しなくても、ユーザごとのデータをそれぞれ置いておくことができるので、Perlで書かれたCGIなどでは多用されることがある。 Cookieは一見便利な存在だが、他のWebサーバや同じサーバ上の
WEBセキュアプログラミング
WEBセキュアプログラミング 11月 2, 2009 Posted by hyhy in 技術情報. Tags: セキュリティ trackback WEBセキュリティー SecurityFocus セキュアWebプログラミング入門１ HTTP通信の基礎 【クライアント側の入力制限とセキュリティ】 GET送信、POST送信のどちらが安全ということではない。 HTML上のSELECTボックスやラジオボタンの入力制限の意味はない。 なぜなら、不正行為者はWebブラウザが送信したHTTPリクエスト・メッセージ自体 を任意に改変して攻撃を仕掛けてくる。 【CGIプログラムから見たGETとPOSTの違い】 クエリ文字列もPOSTされるデータもRequestオブジェクトとして提供される 【クエリ文字列とReferer情報による漏洩】 Referer情報はリンク元のURL情報＋クエリ文字列が含まれる その
[ThinkIT] 第3回：パラメータからの情報流出 (1/4)
これまで、Webアプリケーションの脆弱性は大きく5つのカテゴリーに分けられることを説明し、第2回では第1のカテゴリー「ファイル流出」を紹介した。今回はカテゴリーの2番目「パラメータからの情報流出」を解説する。 ※注意： この記事にはWebアプリケーションの脆弱性を解説する必要上、攻撃手口に関する情報が含まれています。これらの手口を他者が運営するWebサイトに向けて仕掛けると、最悪の場合刑事罰および損害賠償請求の対象となります。脆弱性の調査・検証は、必ずご自身の管理下のコンピュータシステムおよびローカルエリアネットワークで行ってください。この記事を参考にした行為により問題が生じても、筆者およびThinkIT編集局は一切責任を負いません。 「パラメータからの情報流出」とは、あるページから次のページへと場面を切り替える際に受け渡されるパラメータがもとで、別人の個人情報が読み出されるなどの問題が起
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
脆弱性から学ぶ
Webセキュリティ/study-web-security-from-vulnerability1
CSRF対策についての疑問
脆弱性事例に学ぶセキュアコーディング「SSL/TLS証明書検証」編 (KOF2014)
IPA セキュア・プログラミング講座：Webアプリケーション編