GIFを隠れ蓑に悪性Javaを勝手に実行
クライアント・パソコンを狙った攻撃が巧妙さを増し，対策はますます難しくなってきている。中でもJavaScriptやFlashのぜい弱性を悪用した，スクリプトを使う攻撃は極めて厄介である。スクリプトは静的なWebページだけでなく，動的コンテンツ，画像，ファイルに含まれていることがあり，攻撃を受けた時期の特定が難しいからだ。 そんな中で，今後大きな脅威になると見られている攻撃手法の一つに，「GIFAR」がある。2008年8月に報告された攻撃手法で，2009年2月にホワイトハット・セキュリティのCTOであるジェレミア・グロスマンをはじめとするWebセキュリティの専門家が選ぶ「Top Ten Web Hacking Techniques of 2008」の1位に選ばれた。日本ではあまり話題になっていないが，いつやって来るか分からない。今後の影響範囲を考えると，特にWebアプリケーション開発者は知っ
Webアプリケーションテスト手法 - 葉っぱ日記
適当に買ってきた本をナニゲに開いたら、参考文献がきちんと記載されてて笑った!! セキュリティだけに関するテストの本ではないので、あんまりページは割かれていない。「サニタイズ」という語は意図して(かどうかは知らないけど)避けてるものの、「XSSを防ぐためには、(略)入力された文字列の中から(略)無害化することが必要となります。」みたいな記述がチラホラあって残念。あと、UTF-7のXSSについてAtomやRSSを組み合わせた手法などにも触れているのに、認識できないcharsetを避けるといった話題がないのも残念。 上記のImageFightについても、現状のIEではBMPにしか影響がないので、PNGに変換するのが現実的な対策なのですが、それにも触れていない。全体に、網羅する範囲が広いだけに個々の話題の細部が甘いなというのが読んだ感想です。 Webアプリケーションテスト手法 作者: 水野貴明,石
わっふるわっふる：ぁゃιぃ(*ﾟーﾟ)NEWS 2nd
http://society6.2ch.net/test/read.cgi/gline/1215809383/ 6 ：名無しさん＠八周年：2007/09/22(土) 18:41:10 ID:B6GAMyAY0 昔半角板で馬鹿にだけ画像を配布するって奴がいてな。 「画像が欲しければお前ら全員が馬鹿であると宣言しろ」 って流れになって、本当の馬鹿が、 We are fool. って英語で書こうとしたらしいんだが、 何を間違えたか、 Our fool. って書き込んじまって、 「画像欲しけりゃOur fool.って書けよ。」 っていうのが2ch語になって、 「～が見たい方はわっふるわっふると書き込んでください。」 に変化したんだよ。 半角板では伝説かつ常識だ。覚えとけ。
アンチ「サニタイびんぷ」: 画像版サニタイズ言うな(2) - 徳丸浩の日記(2007-08-21)
_ 画像版サニタイズ言うな(2) 前回のエントリーの後、mod_imagefightのコマンドライン版を作ったりして、検証してみました。まだ検証途中ですが、今回はBMP形式についてのアンチmod_imagefightについて紹介します。 まず、BMP形式のヘッダは以下のようになります(カッコ内はバイト数)。 0000:MARK(2) ='BM' 0002:ファイルサイズ(4) 0006:予約1(2) =0 0008:予約2(2) =0 000A:ビットマップ開始位置(4) 000E:ヘッダサイズ(4) =0x28 0012:イメージ横幅(4) 0016:イメージ高さ(4) 001A:プレーン数(2) =1 001C:ピクセルあたりのビット数(2) 1,4,8,24 001E:圧縮形式(4) =0,1 0022:圧縮後のイメージサイズ 0026:水平解像度(4) 002A:垂直解像度(4)
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
処理を実行中です
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
스크립트 언어를 숨긴 이미지 파일을 업로드해서 원격 실행되도록 하는 공격
http://openmya.hacker.jp/hasegawa/test/hoshikuzu20070925.html
