3分でわかるXSSとCSRFの違い - Qiita
みなさんこんにちは。 FUJITSU その2 Advent Calendar 2018 17日目の記事担当は私 ゆきはらです。 前回14日目はkeiya-nobutaさんのSphinxの導入とLinux Kernelドキュメントのビルドで、 18日目はhasunumaさんの富士通サイバーセキュリティーワークショップ(FCSW)2018参戦記となっています。 はじめに なぜこのテーマにしたか Webアプリケーションに対する代表的な攻撃手法としてXSS（クロスサイトスクリプティング）とCSRF（クロスサイトリクエストフォージェリ）というものがあります。 しかしこの二つ、名前だけでなく攻撃手法も似ていて違いがとてもわかりづらいです。かつて私がセキュリティを勉強していたときもよく混同していました。 そこで、この記事ではXSSとCSRFの仕組みとそれらの違いについてまとめることにしました。 対象とす
How I found a $5,000 Google Maps XSS (by fiddling with Protobuf)
A few months ago, I used Google Maps. Or maybe Google Street View, I love Street View, it’s like a retrofuturistic way to teleport. Routinely, I looked at the address bar. Since sometime in 2014, parameters are not the mere query string they used to be. Instead, it’s a weird mash of alphanumeric characters separated by exclamation points. It’s abstruse, it has no public documentation whatsoever, i
続 Yahoo広告配信用 s.yimg.jp ドメインでのXSSの解説(JSONP XSS編)
zoku_yimg_jp_dom_xss.md 2/7 malaさんの記事を読む https://gist.github.com/mala/1d30e42e9e99520b7a501e9d2458eb49 確かに (*.)yahoo.co.jp には制限されている。 (*.)yahoo.co.jpは知恵袋からヤフオクまで大量のページを持っている。 どこがスクリプトとしてロードされてもXSSが起きない？そんな訳なさそう。 そのときのぼやき： https://twitter.com/kinugawamasato/status/828846516882116608 2/8 JSONPを使ったXSSの発見・報告 (*.)yahoo.co.jpにcallback名を指定できるJSONPをみつける。 callback名はバリデーションがなく、好きな文字列を書ける。 (現在はcallbackパラメータ自
Introducing Content Security Policy - MDC Doc Center
HTTP ガイド リソースと URI ウェブ上のリソースの識別 データ URL MIME タイプ入門 よくある MIME タイプ www 付きと www なしの URL の選択 HTTP ガイド HTTP の基本 HTTP の概要 HTTP の進化 HTTP メッセージ 典型的な HTTP セッション HTTP/1.x のコネクション管理 プロトコルのアップグレードの仕組み HTTP セキュリティ Content Security Policy (CSP) HTTP Strict Transport Security (HSTS) X-Content-Type-Options X-Frame-Options X-XSS-Protection Mozilla web security guidelines Mozilla Observatory HTTP アクセス制御 (CORS) HTTP
Shibuya.XSS techtalk #8 (2016/11/14 19:00〜)
こんにちはこんにちは！ Shibuya.XSS テクニカルトーク#8 を2016年11月14日(月)に開催します！ 今回はドイツより Dr.-ing Mario Heiderich 氏(@0x6D6172696F)をお招きしての開催になります！ タイムテーブル 18:50-19:10 開場、受付 19:10-19:15 Introduction@hasegawayosuke 19:15-19:25 nishimunea, A Slack team for security testers and bug hunters 19:25-19:40 @kinugawamasato, 非HTMLコンテンツからのXSS Attack / XSS Attacks via non-HTML Contents 19:40-19:55 tanakayu, DOM Based XSS の自動検出の話 19:5
CORS 対応時の注意点などメモ - Qiita
同じオリジンのAPIと非同期で通信、という場合は xhr で普通にこなしてますが、別ドメインのAPIと非同期で、となると割とつまづくポイントがあったのでメモ。 こちらのサイトが大変分りやすかったです。 CORSではまったこと http://inside.pixiv.net/entry/2014/12/16/181804 xhr2 を使う 特に何かしなくても、ブラウザがxhr2対応しているものであればxhr2を使うことになります。 逆にいうと、xhr2 対応していないブラウザだとダメ。 とりあえず普通に実装する 特にクロスドメインであることを気にかけず、クライアントサイド、サーバサイドそれぞれをまずは実装します。 Origin 許可する サーバサイドでアクセス元となるOriginを意識して設定する必要があります。 サーバサイドのレスポンスヘッダの追加 クライアントサイドはモダンブラウザなら特
Cross Site Scripting (XSS) | OWASP Foundation
Author: KirstenS Contributor(s): Jim Manico, Jeff Williams, Dave Wichers, Adar Weidman, Roman, Alan Jex, Andrew Smith, Jeff Knutson, Imifos, Erez Yalon, kingthorin, Vikas Khanna. Grant Ongers Overview Cross-Site Scripting (XSS) attacks are a type of injection, in which malicious scripts are injected into otherwise benign and trusted websites. XSS attacks occur when an attacker uses a web applicati
オリジン間リソース共有 (CORS) - HTTP | MDN
HTTP ガイド リソースと URI ウェブ上のリソースの識別 データ URL MIME タイプ入門 よくある MIME タイプ www 付きと www なしの URL の選択 HTTP ガイド HTTP の基本 HTTP の概要 HTTP の進化 HTTP メッセージ 典型的な HTTP セッション HTTP/1.x のコネクション管理 プロトコルのアップグレードの仕組み HTTP セキュリティ Content Security Policy (CSP) HTTP Strict Transport Security (HSTS) X-Content-Type-Options X-Frame-Options X-XSS-Protection Mozilla web security guidelines Mozilla Observatory HTTP アクセス制御 (CORS) HTTP
Cross-origin resource sharing - Wikipedia
Cross-origin resource sharing (CORS) is a mechanism that allows restricted resources on a web page to be accessed from another domain outside the domain from which the first resource was served. A web page may freely embed cross-origin images, stylesheets, scripts, iframes, and videos.[1] Certain "cross-domain" requests, notably Ajax requests, are forbidden by default by the same-origin security p
H5SC Minichallenge 3: "Sh*t, it's CSP!"
URL The challenge website can be found here: https://html5sec.org/minichallenges/3 Rules Welcome to yet another XSS challenge. This time, you, the fellow contestant, are confronted with a powerful adversary: The Content Security Policy. CSP is cool. Even if the websites in scope are injectable, an attacker cannot do no nothing no more. Perfect. Let's throw escaping, encoding and filtering overboar
[PDF] A CDN that can not XSS you Using Subresource Integrity
A CDN that can not XSS you Using Subresource Integrity about:frederik Frederik Braun Security Engineer at Mozilla fbraun@mozilla.com https://frederik-braun.com @freddyb Why am I here? https://www.mozilla.org/en-US/about/manifesto/ Content Delivery Networks <script src="https://code.jquery.com/jquery-2.1.4.min.js"></script> <link href='http://fonts.googleapis.com/css?family=PT+Sans…' rel='styleshe
「LINE」に深刻な脆弱性 外部から全トーク履歴を抜き出される危険性あり - THE ZERO/ONE
全世界で5億人以上が利用しているメッセージ・アプリ「LINE」に深刻なセキュリティ脆弱性が存在していたことが判った。この脆弱性を悪意ある攻撃者に突かれると、利用者のスマートフォンに保存されているLINE内のトーク履歴や写真、友達リストなどを外部から不正に抜き出されたり、改竄される恐れがある。LINEは3月4日に、この脆弱性を修正したバージョンを緊急リリースしている。利用者は自身のアプリが最新版にアップデートされているかどうかを至急確認したほうがいいだろう。 この脆弱性はサイバーセキュリティ・ラボのスプラウト（本記事掲載の『サイバーインシデント・レポート』発行元）が発見し、1月30日にソフトウェア等の脆弱性情報を取り扱うIPA（独立行政法人情報処理推進機構）に報告したものだ。IPAから2月2日に脆弱性の通知を受けたLINEは、2月12日に脆弱性の一部についてサーバー側で対策。3月4日のアップ
XSSMas Challenge 2014
This is the writeup of the Cure53 XSSMas Challenge '14. Shown below is the source code of the challenge arena, a high-level explanation of what steps were necessary to solve it and a list of naughtiness we implemented to make the contestants lives a bit harder and wreak havoc, grief and misery upon all those who dared to participate. We will further of course show the submissions, crown the winner
ha.ckers.org web application security lab
web application security blog8 posts remaining Ryan Barnett has a new series he’s doing called Detecting Malice with ModSecurity that I wanted to spend a minute talking about. Firstly, it’s personally interesting, because he’s using the book and slicing and dicing a lot of the core ideas and figuring out how to implement them. But secondly, I like practical examples of solutions to concepts that
Securing Rails Applications — Ruby on Rails Guides
This manual describes common security problems in web applications and how to avoid them with Rails. After reading this guide, you will know: All countermeasures that are highlighted. The concept of sessions in Rails, what to put in there and popular attack methods. How just visiting a site can be a security problem (with CSRF). What you have to pay attention to when working with files or providin
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
GitHub - cagataycali/xss-listener: 🕷️ XSS Listener is a penetration tool for easy to steal data with various XSS.
Browser's XSS Filter Bypass Cheat Sheet
Yahoo広告配信用 s.yimg.jp ドメインでのXSSの解説
JavaScriptプログラミング講座【クロスオリジンリソースシェアリングについて（CORS）】
GitHub - yahoo/webseclab: set of web security test cases and a toolkit to construct new ones
