『徳丸浩の日記』 の新着エントリー
-
CGI版PHPにリモートからスクリプト実行を許す脆弱性(CVE-2012-1823) ... blog.tokumaru.org
2012年5月7日月曜日 CGI版PHPにリモートからスクリプト実行を許す脆弱性(CVE-2012-1823) CGI環境でPHPを動作させているサイトには、リモートからスクリプト実行を許してしまう脆弱性があります。php.netから提供されている修正リリース(PHP 5.3.12 / PHP... 続きを読む
-
情報処理試験問題に学ぶJavaScriptのXSS対策 | 徳丸浩の日記 blog.tokumaru.org
2012年4月16日月曜日 情報処理試験問題に学ぶJavaScriptのXSS対策 平成24年度春期の情報処理技術者試験の問題と解答（一部）が公開されていますね。情報セキュリティスペシャリスト試験（SC）の午後Ⅰ（全4問中2問を選択）では、問1と問2がWebアプリケーションに関する問題でした。... 続きを読む
-
徳丸浩の日記: 「クロスサイトスクリプティング対策」でGoogle検索し... blog.tokumaru.org
2012年4月11日水曜日 「クロスサイトスクリプティング対策」でGoogle検索して上位15記事を検証した 昨年の11月にブログエントリ『「SQLインジェクション対策」でGoogle検索して上位15記事を検証した』という記事を書いたところ、非常に好評で、「次はXSSについて書いてください」と... 続きを読む
-
徳丸浩の日記: PHPのescapeshellcmdを巡る冒険 blog.tokumaru.org
2012年4月9日月曜日 PHPのescapeshellcmdを巡る冒険 以前、ブログ記事「PHPのescapeshellcmdの危険性」にて、escapeshellcmd関数の「余計なお世話」によって危険性が生まれていることを指摘しましたが、その後大垣さんによって修正案が提示され、結局「それ... 続きを読む
-
徳丸浩の日記: PHP5.4.0でheader関数の脆弱性が修正された blog.tokumaru.org
2012年4月5日木曜日 PHP5.4.0でheader関数の脆弱性が修正された PHPのheader関数にはHTTPヘッダインジェクション脆弱性がありましたが、PHP5.4.0で修正されていることを確認しましたので報告します。 PHPのheader関数はHTTPレスポンスヘッダを送信するため... 続きを読む
-
徳丸浩の日記: PHPの組み込み関数で例外を発生させる方法 blog.tokumaru.org
2012年4月5日木曜日 PHPの組み込み関数で例外を発生させる方法 このエントリではPHPの組み込み関数でエラー時に例外を発生させる方法を紹介します。デフォルト状態では、PHPの組み込み関数の大半はエラー時に例外を発生させません。 前のエントリで、PHPのheader関数は戻り値を返さず、エ... 続きを読む
-
徳丸浩の日記: 悪いサニタイズ、良い(?)サニタイズ、そして例外処理 blog.tokumaru.org
2012年4月3日火曜日 悪いサニタイズ、良い(?)サニタイズ、そして例外処理 先日のエントリ「処理開始後の例外処理では「サニタイズ」が有効な場合もある」は、素材の消化不足、私の表現の未熟等から、一部で誤解を招いてしまったようで申し訳ありません。アプローチを変えて、サニタイズについてもう一度考... 続きを読む
-
徳丸浩の日記: 処理開始後の例外処理では「サニタイズ」が有効な場合... blog.tokumaru.org
2012年3月30日金曜日 処理開始後の例外処理では「サニタイズ」が有効な場合もある このエントリでは、脆弱性対処における例外処理について、奥一穂氏(@kazuho)との会話から私が学んだことを共有いたします。セキュアプログラミングの心得として、異常が起これば直ちにプログラムを終了することが推... 続きを読む
-
徳丸浩の日記: 処理開始後の例外処理では「サニタイズ」が有効な場合... blog.tokumaru.org
このエントリでは、脆弱性対処における例外処理について、奥一穂氏(@kazuho)との会話から私が学んだことを共有いたします。セキュアプログラミングの心得として、異常が起これば直ちにプログラムを終了することが推奨される場合がありますが、必ずしもそうではないというのが結論です。 はじめに Webア... 続きを読む
-
徳丸浩の日記: はてなブックマークボタンを外しました blog.tokumaru.org
2012年3月11日日曜日 はてなブックマークボタンを外しました この数日間問題になっている「はてなブックマークボタン」ですが、当日記およびHASHコンサルティングオフィシャルブログにも、当該ボタンがついていました。何が問題であるかは以下が詳しいですが、要は「はてなの管理下でないサイトで、はて... 続きを読む
-
徳丸浩の日記: 難読化していないAndroidアプリケーションは脆弱性か blog.tokumaru.org
2012年2月20日月曜日 難読化していないAndroidアプリケーションは脆弱性か このエントリでは、Androidアプリケーションにおいて、難読化が施されていない場合、脆弱性にあたるかについて議論します。 はじめに Androidアプリケーションは主にJava言語で記述され、DEX形式のフ... 続きを読む
-
徳丸浩の日記: スマートフォンアプリケーションでSSLを使わないのは... blog.tokumaru.org
このエントリでは、スマートフォンアプリケーションの通信暗号化の必要性について議論します。 はじめに 先日、スマートフォンアプリケーションのセキュリティに関するセミナーを聴講しました。この際に、スマートフォンアプリケーションの脅威に対する共通認識がまだないという課題を改めて感じました。その課題を... 続きを読む
-
徳丸浩の日記: スマートフォンアプリケーションでSSLを使わないのは... blog.tokumaru.org
2012年2月6日月曜日 スマートフォンアプリケーションでSSLを使わないのは脆弱性か このエントリでは、スマートフォンアプリケーションの通信暗号化の必要性について議論します。 はじめに 先日、スマートフォンアプリケーションのセキュリティに関するセミナーを聴講しました。この際に、スマートフォン... 続きを読む
-
徳丸浩の日記: ModSecurityをソースからビルドしてhashdos対策に活用... blog.tokumaru.org
2012年1月23日月曜日 ModSecurityをソースからビルドしてhashdos対策に活用する このエントリではModSecurityをソースからビルドする方法を説明した後、hashdos専用のチューニングを施す流れを説明します。 はじめに既にModSecurityについては、CentO... 続きを読む
-
徳丸浩の日記: Cookieによるhashdos攻撃と対策 blog.tokumaru.org
2012年1月19日木曜日 Cookieによるhashdos攻撃と対策 このエントリでは、Cookieを用いたhashdos攻撃の可能性について検討し、実証結果と対策について報告します。 はじめに既に当ブログで報告の通り、hashdosと呼ばれる攻撃手法が公表されています。HTTPリクエストの... 続きを読む
-
徳丸浩の日記: hashdos攻撃をmod_securityで防御する(Ubuntu+apt-get... blog.tokumaru.org
2012年1月5日木曜日 hashdos攻撃をmod_securityで防御する(Ubuntu+apt-get編) このエントリでは、hashdos対策としてのmod_securityの導入と設定の方法を説明します。Ubuntu環境でapt-getによりApacheを導入しているサイトに対して... 続きを読む
-
徳丸浩の日記: hashdos攻撃をmod_securityで防御する(CentOS+yum編) blog.tokumaru.org
2012年1月4日水曜日 hashdos攻撃をmod_securityで防御する(CentOS+yum編) このエントリでは、hashdos対策としてのmod_securityの導入と設定の方法を説明します。CentOS環境でyumによりApacheを導入しているサイトに対して、yumによりm... 続きを読む
-
徳丸浩の日記: Webアプリケーションに対する広範なDoS攻撃手法(hashd... blog.tokumaru.org
28C3(28th Chaos Communication Congress)において、Effective Denial of Service attacks against web application platforms（Webプラットフォームに対する効果的なサービス妨害攻撃）と題する発... 続きを読む
-
徳丸浩の日記: Webアプリケーションに対する広範なDoS攻撃手法(hashd... blog.tokumaru.org
2011年12月30日金曜日 Webアプリケーションに対する広範なDoS攻撃手法(hashdos)の影響と対策 28C3(28th Chaos Communication Congress)において、Effective Denial of Service attacks against web... 続きを読む
-
徳丸浩の日記: KDDIの新GWで「かんたんログイン」なりすましの危険性... blog.tokumaru.org
2011年11月29日火曜日 KDDIの新GWで「かんたんログイン」なりすましの危険性あり直ちに対策された au/KDDIの2011年秋冬モデル（現時点ではF001のみ）にてEZwebとPCサイトビューア（以下PCSV）のゲートウェイが統合されたことに伴い、かんたんログインを実装しているサイト... 続きを読む
はてなブックマーク
