PHPサーバーサイドプログラミングパーフェクトマスターのCSRF対策に脆弱性 | 徳丸浩の日記

2019/07/29 217 users CSRF対策 CSRF 脆弱性 アルゴリズム 日記

サマリPHPサーバーサイドプログラミングパーフェクトマスターには、PHP入門書としては珍しくクロスサイト・リクエストフォージェリ(CSRF)対策についての説明があるが、その方法には問題がある。アルゴリズムとして問題があることに加えて、実装上の問題があり、そのままコピペして用いると脆弱性となる。 はじめに古庄親... 続きを読む

[書評]噂の学園一美少女な先輩がモブの俺に惚れてるって、これなんのバグですか? | 徳丸浩の日記

2019/05/07 368 users モブ 書評 パク JNSA 先輩

瓜生聖（うりゅうせい）の近著「噂の学園一美少女な先輩がモブの俺に惚れてるって、これなんのバグですか? 」を読んだので紹介したい。本書は、JNSA（特定非営利活動法人 日本ネットワークセキュリティ協会）が主催したサイバーセキュリティ小説コンテストにて大賞を受賞した作品「目つきの悪い女が眼鏡をかけたら美少女... 続きを読む

鈴木常彦先生の「共用レンタルサーバにおけるメールの窃盗」の話を聴講した | 徳丸浩の日記

2019/04/29 277 users 窃盗 output ssmjp ＤＮＳ 鈴木常彦

4月23日（火）に開催された 「#ssmjp 2019/04 ～DNSの話を聞く会～」に「Outputなら任せてください枠」で参加しましたので、講演内容からとくにやばい(?)内容と思われる@tss_ontap（鈴木常彦=浸透言うな先生）の「黒塗りの DNS (萎縮編)」から、「共用レンタルサーバにおけるメールの窃盗」について紹介します。スライド... 続きを読む

bcryptの72文字制限をSHA-512ハッシュで回避する方式の注意点 | 徳丸浩の日記

2019/02/24 335 users bcrypt 方式 日記 注意点

宅ふぁいる便から平文パスワードが漏洩した件を受けて、あらためてパスワードの安全な保存方法が関心を集めています。現在のパスワード保存のベストプラクティスは、パスワード保存に特化したハッシュ関数（ソルトやストレッチングも用いる）であるbcryptやArgon2などを用いることです。PHPの場合は、PHP5.5以降で使用で... 続きを読む

SSRF(Server Side Request Forgery)徹底入門 | 徳丸浩の日記

2018/12/05 565 users SSRF GCE 徹底入門 SSRF脆弱性 AWS CLI

SSRF(Server Side Request Forgery)という脆弱性ないし攻撃手法が最近注目されています。以下は、ここ3ヶ月にSSRFについて言及された記事です。 EC2上のAWS CLIで使われている169.254についてSSRF脆弱性を利用したGCE/GKEインスタンスへの攻撃例SSRFを利用したメール送信ドメインの乗っ取り「CODE BLUE 2018」参加レポー... 続きを読む

ECサイトからクレジットカード情報を盗み出す新たな手口 | 徳丸浩の日記

2018/10/15 941 users 手口 漏洩 ガイドライン 従来 改正割賦販売法

エグゼクティブサマリ聖教新聞社が運営する通販サイト「SOKAオンラインストア」から2,481件のクレジットカード情報が漏洩した。リリースによると、漏洩に使われた手口は従来とは異なるもので、改正割賦販売法の実務上のガイドラインである「クレジットカード情報非保持化」では対策できないものであった。 はじめに今年... 続きを読む

PHPの脆弱性 CVE-2018-17082 によるキャッシュ汚染についての注意喚起 | 徳丸浩の日記

2018/09/24 268 users PHP XSS 注意喚起 Apache 日記

エグゼクティブサマリPHPの脆弱性CVE-2018-17082はXSSとして報告されているが、現実にはXSSとしての攻撃経路はない。一方、Apacheのmod_cacheによるキャッシュ機能を有効にしているサイトでは、キャッシュ汚染という攻撃を受ける可能性がある。 概要PHPの現在サポート中のすべてのバージョンについて、XSS脆弱性CVE-2018... 続きを読む

安全なWebアプリケーションの作り方改訂のお知らせ | 徳丸浩の日記

2018/03/06 742 users xxE デシリアライゼーション Webアプリケーション 日記

徳丸本こと、「 体系的に学ぶ 安全なWebアプリケーションの作り方 」は、2011年3月の発売以降大変多くの方に読んでいただきました。ありがとうございます。 ただ、発売から既に7年が経過し、内容が古くなってきた感は否めません。たとえば、クリックジャッキングの説明はほとんどないですし、OWASP Top 10 2017で選入された安全でないデシリアライゼーションやXXEの説明もありません。なにより、... 続きを読む

[書評]サイバー攻撃 ネット世界の裏側で起きていること | 徳丸浩の日記

2018/01/30 183 users 書評 近著 体裁 自費 サイバー攻撃

中島明日香氏の近著『 サイバー攻撃 ネット世界の裏側で起きていること 』を読んだので紹介したい。本書は、一見すると入門者向けの初歩的なセキュリティ解説書の体裁をとっているが、その内部に著者の恐ろしい野望が秘められていると感じた。 重要事項説明 著者と評者には特筆すべき利害関係はない 評者は本書を自費で購入した（献本等ではない） この記事のリンクにはアフィリエイトが含まれる はじめに 本書は、ブルー... 続きを読む

Adobeサイトから漏えいした暗号化パスワードはなぜ解読されたか | 徳丸浩の日記

2017/10/24 152 users 暗号化パスワード 日記

Adobe社のサイトの不正アクセス（ 参照 、 参照 ）によって、少なくとも3800万人のIDと暗号化されたパスワードが漏えいしたと言われています。 既に報告したように 、私のアカウントも漏えいしていました。 その後、『 Adobeの情報流出で判明した安易なパスワードの実態、190万人が「123456」使用 』というニュースが流れてきました。安易なパスワードが使われている統計は今までもあり、「パス... 続きを読む

著名PHPアプリの脆弱性に学ぶセキュアコーディングの原則

2017/10/08 109 users セキュアコーディング 原則 脆弱性 KCCS 徳丸

著名PHPアプリの脆弱性に学ぶセキュアコーディングの原則 1. 著名PHPアプリの脆弱性に学ぶ セキュアコーディングの原則 EG セキュアソリューションズ株式会社 徳丸 浩 2. 徳丸浩の自己紹介 • 経歴 – 1985年 京セラ株式会社入社 – 1995年 京セラコミュニケーションシステム株式会社(KCCS)に出向・転籍 – 2008年 KCCS退職、HASHコンサルティング株式会社(現社名:E... 続きを読む

オブジェクトインジェクション入門 | 徳丸浩の日記

2017/09/25 116 users 日記

先日のブログ記事 にて、Welcartのオブジェクトインジェクション脆弱性について説明しましたが、オブジェクトインジェクションという脆弱性自体の情報源があまりないので、入門記事を書こうと思い立ちました。 以下、「そんなプログラムあり得るか?」という現実性についてはあまり気にしないで、原理的にオブジェクトインジェクションがどのようなものかについて順を追って説明していきます。以下、PHP言語のケースを... 続きを読む

ウェブアプリケーションセキュリティ超入門 | Slideshare

2017/09/18 529 users SlideShare KCCS 徳丸 転籍 出向

ウェブアプリケーションセキュリティ超入門 1. ウェブアプリケーションセキュリティ超入門 EG セキュアソリューションズ 徳丸 浩 2. 徳丸浩の自己紹介 • 経歴 – 1985年 京セラ株式会社入社 – 1995年 京セラコミュニケーションシステム株式会社(KCCS)に出向・転籍 – 2008年 KCCS退職、HASHコンサルティング株式会社設立 • 経験したこと – 京セラ入社当時はCAD、計... 続きを読む

徳丸浩の日記: 秀丸マクロを生成する秀スクリプトという言語処理系を作った

2017/08/12 323 users 秀丸マクロ エグゼクティブサマリ 言語処理系 日記 コンパイラ

エグゼクティブサマリ 秀スクリプトという小さな言語処理系を開発した。秀スクリプトは、TypeScriptを大幅に縮小した文法を持ち、コンパイラによって秀丸マクロに変換され、秀丸上で実行される。秀スクリプトコンパイラは秀スクリプト自身により記述される。 秀スクリプトの主な特徴は下記のとおり。 TypeScriptに似た文法を持ち、コンパイラも秀スクリプトで記述されている 秀丸マクロを生成し、秀丸上で... 続きを読む

秀丸マクロを生成する秀スクリプトという言語処理系を作った | 徳丸浩の日記

2017/08/12 323 users 秀丸マクロ エグゼクティブサマリ 言語処理系 日記 コンパイラ

エグゼクティブサマリ 秀スクリプトという小さな言語処理系を開発した。秀スクリプトは、TypeScriptを大幅に縮小した文法を持ち、コンパイラによって秀丸マクロに変換され、秀丸上で実行される。秀スクリプトコンパイラは秀スクリプト自身により記述される。  秀スクリプトの主な特徴は下記のとおり。 TypeScriptに似た文法を持ち、コンパイラも秀スクリプトで記述されている 秀丸マクロを生成し、秀丸上... 続きを読む

セキュリティの都市伝説を暴く

2017/06/09 573 users セキュリティ 都市伝説 autocomplete アジェンダ

セキュリティの都市伝説を暴く 1. セキュリティ対策の都市伝説を暴く EGセキュアソリューションズ株式会社 徳丸 浩 2. アジェンダ • セキュリティの都市伝説とは • セキュリティの都市伝説さまざま – パスワードのマスク表示 – IDまたはパスワードが違います – パスワードの有効期間 – autocompleteの停止 – 戻るボタンの問題 • まとめ 2 3. 徳丸浩の自己紹介 • 経歴... 続きを読む

徳丸浩の日記: teratailに投稿されたメールフォームにCSRF脆弱性が残存した理由

2017/04/11 248 users teratail 雑魚 PHP CSRF脆弱性 エンジニア

teratailに以下のような投稿がありました。 PHPでメールフォームを作成したので、脆弱性がないかアドバイスいただけないでしょうか。 エンジニアでもなければ、PHPもろくに書けない雑魚ですが、「php メールフォーム 作り方」でググって表示されるサイトを見ると、「んんんんん？？？」と思うところがあります。 これらを参考にしたり、コピペする方は、記述されているコードの良し悪しは判断できないかと思... 続きを読む

teratailに投稿されたメールフォームにCSRF脆弱性が残存した理由 | 徳丸浩の日記

2017/04/11 248 users teratail 雑魚 PHP CSRF脆弱性 エンジニア

teratailに以下のような投稿がありました。 PHPでメールフォームを作成したので、脆弱性がないかアドバイスいただけないでしょうか。 エンジニアでもなければ、PHPもろくに書けない雑魚ですが、「php メールフォーム 作り方」でググって表示されるサイトを見ると、「んんんんん？？？」と思うところがあります。 これらを参考にしたり、コピペする方は、記述されているコードの良し悪しは判断できないかと思... 続きを読む

徳丸浩の日記: WordPress 4.7.1 の権限昇格脆弱性について検証した

2017/02/05 610 users 権限昇格脆弱性 日記

エグゼクティブサマリ WordPress 4.7と4.7.1のREST APIに、認証を回避してコンテンツを書き換えられる脆弱性が存在する。攻撃は極めて容易で、その影響は任意コンテンツの書き換えであるため、重大な結果を及ぼす。対策はWordPressの最新版にバージョンアップすることである。 本稿では、脆弱性混入の原因について報告する。 はじめに WordPress本体に久しぶりに重大な脆弱性が見... 続きを読む

WordPress 4.7.1 の権限昇格脆弱性について検証した | 徳丸浩の日記

2017/02/05 610 users 権限昇格脆弱性 日記

エグゼクティブサマリ WordPress 4.7と4.7.1のREST APIに、認証を回避してコンテンツを書き換えられる脆弱性が存在する。攻撃は極めて容易で、その影響は任意コンテンツの書き換えであるため、重大な結果を及ぼす。対策はWordPressの最新版にバージョンアップすることである。 本稿では、脆弱性混入の原因について報告する。 はじめに WordPress本体に久しぶりに重大な脆弱性が見... 続きを読む

徳丸浩の日記: GodaddyのSSL証明書にドメイン認証の脆弱性があり8850件の証明書が失効された

2017/01/11 218 users レジストラ GoDaddy ホスティング レンタルサーバー

エグゼクティブサマリ GoDaddy社の発行するドメイン認証SSL証明書に認証不備の脆弱性があり、予防的な処置として8850件の発行済証明書が失効された。これは同期間に発行された証明書の2%未満である。現在は脆弱性は解消されている。 概要 GoDaddy社は米国のホスティング（レンタルサーバー）やレジストラの大手で、認証局（CA）の事業も手がけています。 GoDaddyが発行するドメイン認証証明書... 続きを読む

GodaddyのSSL証明書にドメイン認証の脆弱性があり8850件の証明書が失効された | 徳丸浩の日記

2017/01/11 218 users レジストラ GoDaddy ホスティング レンタルサーバー

エグゼクティブサマリ GoDaddy社の発行するドメイン認証SSL証明書に認証不備の脆弱性があり、予防的な処置として8850件の発行済証明書が失効された。これは同期間に発行された証明書の2%未満である。現在は脆弱性は解消されている。 概要 GoDaddy社は米国のホスティング（レンタルサーバー）やレジストラの大手で、認証局（CA）の事業も手がけています。 GoDaddyが発行するドメイン認証証明書... 続きを読む

徳丸浩の日記: PHPMailerの脆弱性CVE-2016-10033について解析した

2016/12/28 154 users PHPMailer ウェブサーバー PoC 攻撃 外部

エグゼクティブサマリ PHPMailerにリモートスクリプト実行の脆弱性CVE-2016-10033が公表された。攻撃が成功した場合、ウェブシェルが設置され、ウェブサーバーが乗っ取られる等非常に危険であるが、攻撃成功には下記の条件が必要であることがわかった PHPMailer 5.2.17以前を使っている Senderプロパティ（エンベロープFrom）を外部から設定できる 現在出回っているPoCは... 続きを読む

PHPMailerの脆弱性CVE-2016-10033について解析した | 徳丸浩の日記

2016/12/28 154 users PHPMailer ウェブサーバー PoC 攻撃 外部

エグゼクティブサマリ PHPMailerにリモートスクリプト実行の脆弱性CVE-2016-10033が公表された。攻撃が成功した場合、ウェブシェルが設置され、ウェブサーバーが乗っ取られる等非常に危険であるが、攻撃成功には下記の条件が必要であることがわかった PHPMailer 5.2.17以前を使っている Senderプロパティ（エンベロープFrom）を外部から設定できる 現在出回っているPoCは... 続きを読む

PDOに複文実行を禁止するオプションが追加されていた | 徳丸浩の日記

2016/12/18 123 users PDO 複文 STATEMENTS SQLインジェクション

エグゼクティブサマリ PHP 5.5.21、PHP 5.6.5 以降、PHPにPDO::MYSQL_ATTR_MULTI_STATEMENTSというオプションが追加され、PDO+MySQLの組み合わせで、SQLの複文を禁止できるようになった。この設定はSQLインジェクションの緩和策として有効である。 はじめに 2013年12月に公開した  PHP+PDO+MySQLの組み合わせではSQLインジェク... 続きを読む