CMS四天王のバリデーション状況を調査したところ意外な結果になった
バリデーションでSQLインジェクション攻撃をブロックしないCMSが多い ログインIDにおける典型的なSQLインジェクション攻撃として、'OR 1=1# をバリデーションがブロックするかどうかを確認しました。ログインIDとして許容される文字を見る限り、WordPress、Joomla、Drupalはブロックしそうですが、結果は下記の通りです。 WordPress: ブロックしない Joomla: ブロックする Drupal: ブロックしない MovableType: ブロックしない ということで、意外なことに、バリデーションでSQLインジェクション攻撃を止めるのはJoomlaのみという結果でした。 ログインIDにヌルバイトや改行が使えるCMSがある テストをしていてもっともびっくりしたことの一つがこれです。JoomlaとMovableTypeはヌルバイトや改行など制御文字がログインIDとして
WordPressを狙った大規模な攻撃 - セキュリティは楽しいかね？ Part 2
一昨日あたりから WordPressを狙う大規模な攻撃が世界中で観測されていて、セキュリティベンダやホスティング事業者などが注意を呼び掛けています。*1 WordPressを狙った大規模なブルートフォース攻撃(?)が観測されているみたい。 CloudFlareの報告→ http://t.co/CVoxZ7nYIc Sucuriの報告→ http://t.co/Q5jw0JD92X— Masafumi Negishi (@MasafumiNegishi) April 12, 2013 攻撃の概要をまとめると、こんな感じです。 WordPressに対して無差別に行われている 'admin' 等のアカウントに対する辞書攻撃が行われている 攻撃元として 9万から 10万の IPアドレスが確認されており、攻撃者は Botnetを利用していると思われる 不正にログインされると、バックドアなどのスクリプ
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
処理を実行中です
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
