タグ「徳丸浩」 - はてブログ

タグ徳丸浩

新着順人気順 5 users 10 users 50 users 100 users 500 users 1000 users

(1 - 25 / 224件)

PHPサーバーサイドプログラミングパーフェクトマスターのCSRF対策に脆弱性 | 徳丸浩の日記

2019/07/29 217 users

サマリPHPサーバーサイドプログラミングパーフェクトマスターには、PHP入門書としては珍しくクロスサイト・リクエストフォージェリ(CSRF)対策についての説明があるが、その方法には問題がある。アルゴリズムとして問題があることに加えて、実装上の問題があり、そのままコピペして用いると脆弱性となる。はじめに古庄親... 続きを読む

2019年1月から5月に公表されたウェブサイトからのクレジットカード情報漏えい事件まとめ | 徳丸浩の日記

2019/05/30 93 users

株式会社ヤマダ電機の運営するECサイトから、最大37,832件のクレジットカード情報が漏洩したと昨日発表されました。ヤマダ電機のように日本を代表する家電量販店のサイトからクレジットカード情報が漏洩したことに私自身驚きました。弊社が運営する「ヤマダウエブコム・ヤマダモール」への不正アクセスによる個人情報流... 続きを読む

[書評]噂の学園一美少女な先輩がモブの俺に惚れてるって、これなんのバグですか? | 徳丸浩の日記

2019/05/07 368 users

瓜生聖（うりゅうせい）の近著「噂の学園一美少女な先輩がモブの俺に惚れてるって、これなんのバグですか? 」を読んだので紹介したい。本書は、JNSA（特定非営利活動法人日本ネットワークセキュリティ協会）が主催したサイバーセキュリティ小説コンテストにて大賞を受賞した作品「目つきの悪い女が眼鏡をかけたら美少女... 続きを読む

鈴木常彦先生の「共用レンタルサーバにおけるメールの窃盗」の話を聴講した | 徳丸浩の日記

2019/04/29 277 users

4月23日（火）に開催された「#ssmjp 2019/04 ～DNSの話を聞く会～」に「Outputなら任せてください枠」で参加しましたので、講演内容からとくにやばい(?)内容と思われる@tss_ontap（鈴木常彦=浸透言うな先生）の「黒塗りの DNS (萎縮編)」から、「共用レンタルサーバにおけるメールの窃盗」について紹介します。スライド... 続きを読む

EC2上でDNS RebindingによるSSRF攻撃可能性を検証した | 徳丸浩の日記

2019/03/04 57 users

AWS EC2環境でのDNS Rebindingについて検証したので紹介します。まずは、「前回までのおさらい」です。先日以下の記事でSSRF攻撃およびSSRF脆弱性について紹介しました。 SSRF(Server Side Request Forgery)徹底入門この記事の中で、以下のように紹介しました。ホスト名からIPアドレスを求める際にも以下の問題が発生... 続きを読む

bcryptの72文字制限をSHA-512ハッシュで回避する方式の注意点 | 徳丸浩の日記

2019/02/24 335 users

宅ふぁいる便から平文パスワードが漏洩した件を受けて、あらためてパスワードの安全な保存方法が関心を集めています。現在のパスワード保存のベストプラクティスは、パスワード保存に特化したハッシュ関数（ソルトやストレッチングも用いる）であるbcryptやArgon2などを用いることです。PHPの場合は、PHP5.5以降で使用で... 続きを読む

2018年に公表されたウェブサイトからのクレジットカード情報漏えい事件まとめ | 徳丸浩の日記

2018/12/31 97 users

エグゼクティブサマリ2018年に公表されたウェブサイトからのクレジットカード情報漏えい事件をまとめた。同年6月1日に改正割賦販売法が施行後も継続してカード情報漏えい事件は発生しており、カード情報「非保持」に対応した攻撃が目立つ結果となった。事件の一覧下表に、本年（2018年）に公表されたウェブサイトからの... 続きを読む

SSRF(Server Side Request Forgery)徹底入門 | 徳丸浩の日記

2018/12/05 565 users

SSRF(Server Side Request Forgery)という脆弱性ないし攻撃手法が最近注目されています。以下は、ここ3ヶ月にSSRFについて言及された記事です。 EC2上のAWS CLIで使われている169.254についてSSRF脆弱性を利用したGCE/GKEインスタンスへの攻撃例SSRFを利用したメール送信ドメインの乗っ取り「CODE BLUE 2018」参加レポー... 続きを読む

問題：間違ったCSRF対策～中級編～ | 徳丸浩の日記

2018/11/12 72 users

この記事は「問題：間違ったCSRF対策～初級編～」の続編です。前回同様、この記事では問題のみを出し、想定解答は後日公開することにします。ネタバレとなるブックマークコメントやツイートなどは控えていただけると幸いです（「思いのほか簡単だった」など感想は可）。ブログ記事等に解説記事を書くことは歓迎いたしま... 続きを読む

ECサイトからクレジットカード情報を盗み出す新たな手口 | 徳丸浩の日記

2018/10/15 941 users

エグゼクティブサマリ聖教新聞社が運営する通販サイト「SOKAオンラインストア」から2,481件のクレジットカード情報が漏洩した。リリースによると、漏洩に使われた手口は従来とは異なるもので、改正割賦販売法の実務上のガイドラインである「クレジットカード情報非保持化」では対策できないものであった。はじめに今年... 続きを読む

PHPの脆弱性 CVE-2018-17082 によるキャッシュ汚染についての注意喚起 | 徳丸浩の日記

2018/09/24 268 users

エグゼクティブサマリPHPの脆弱性CVE-2018-17082はXSSとして報告されているが、現実にはXSSとしての攻撃経路はない。一方、Apacheのmod_cacheによるキャッシュ機能を有効にしているサイトでは、キャッシュ汚染という攻撃を受ける可能性がある。概要PHPの現在サポート中のすべてのバージョンについて、XSS脆弱性CVE-2018... 続きを読む

【徳丸浩×LINE】なぜ、若者は情報発信しないの？─三世代の視点でセキュリティエンジニアを分析！｜CodeIQ MAGAZINE

2018/03/07 63 users

【徳丸浩×LINE】なぜ、若者は情報発信しないの？─三世代の視点でセキュリティエンジニアを分析！ 2018.03.07 Category：インタビュー Tag： LINE , セキュリティ , 中村智史 , 徳丸浩 , 志賀遼太徳丸浩氏とLINE志賀氏によるセキュリティ対談。後編は、徳丸氏と志賀氏の中間世代を、セキュリティエンジニアとして活躍してきたLINE中村智史氏に加わっていただきました。... 続きを読む

安全なWebアプリケーションの作り方改訂のお知らせ | 徳丸浩の日記

2018/03/06 742 users

徳丸本こと、「体系的に学ぶ安全なWebアプリケーションの作り方」は、2011年3月の発売以降大変多くの方に読んでいただきました。ありがとうございます。ただ、発売から既に7年が経過し、内容が古くなってきた感は否めません。たとえば、クリックジャッキングの説明はほとんどないですし、OWASP Top 10 2017で選入された安全でないデシリアライゼーションやXXEの説明もありません。なにより、... 続きを読む

[書評]サイバー攻撃ネット世界の裏側で起きていること | 徳丸浩の日記

2018/01/30 183 users

中島明日香氏の近著『サイバー攻撃ネット世界の裏側で起きていること』を読んだので紹介したい。本書は、一見すると入門者向けの初歩的なセキュリティ解説書の体裁をとっているが、その内部に著者の恐ろしい野望が秘められていると感じた。重要事項説明著者と評者には特筆すべき利害関係はない評者は本書を自費で購入した（献本等ではない）この記事のリンクにはアフィリエイトが含まれるはじめに本書は、ブルー... 続きを読む

PHPプログラマのためのXXE入門 | 徳丸浩の日記

2017/12/24 78 users

この日記は PHP Advent Calendar 2017 の25日目です。前回は@watanabejunyaさんの「 PHPでニューラルネットワークを実装してみる」でした。 OWASP Top 10 2017 が発表され、ウェブのセキュリティ業界がざわついています。というのも、2013年版までは入っていたCSRFが外され、以下の2つの脅威が選入されたからです。 A4 XML外部実体参照(XX... 続きを読む

Adobeサイトから漏えいした暗号化パスワードはなぜ解読されたか | 徳丸浩の日記

2017/10/24 152 users

Adobe社のサイトの不正アクセス（参照、参照）によって、少なくとも3800万人のIDと暗号化されたパスワードが漏えいしたと言われています。既に報告したように、私のアカウントも漏えいしていました。その後、『 Adobeの情報流出で判明した安易なパスワードの実態、190万人が「123456」使用』というニュースが流れてきました。安易なパスワードが使われている統計は今までもあり、「パス... 続きを読む

著名PHPアプリの脆弱性に学ぶセキュアコーディングの原則

2017/10/08 109 users

著名PHPアプリの脆弱性に学ぶセキュアコーディングの原則 1. 著名PHPアプリの脆弱性に学ぶセキュアコーディングの原則 EG セキュアソリューションズ株式会社徳丸浩 2. 徳丸浩の自己紹介 • 経歴 – 1985年京セラ株式会社入社 – 1995年京セラコミュニケーションシステム株式会社(KCCS)に出向・転籍 – 2008年 KCCS退職、HASHコンサルティング株式会社(現社名:E... 続きを読む

オブジェクトインジェクション入門 | 徳丸浩の日記

2017/09/25 116 users

先日のブログ記事にて、Welcartのオブジェクトインジェクション脆弱性について説明しましたが、オブジェクトインジェクションという脆弱性自体の情報源があまりないので、入門記事を書こうと思い立ちました。以下、「そんなプログラムあり得るか?」という現実性についてはあまり気にしないで、原理的にオブジェクトインジェクションがどのようなものかについて順を追って説明していきます。以下、PHP言語のケースを... 続きを読む

ウェブアプリケーションセキュリティ超入門 | Slideshare

2017/09/18 529 users

ウェブアプリケーションセキュリティ超入門 1. ウェブアプリケーションセキュリティ超入門 EG セキュアソリューションズ徳丸浩 2. 徳丸浩の自己紹介 • 経歴 – 1985年京セラ株式会社入社 – 1995年京セラコミュニケーションシステム株式会社(KCCS)に出向・転籍 – 2008年 KCCS退職、HASHコンサルティング株式会社設立 • 経験したこと – 京セラ入社当時はCAD、計... 続きを読む

徳丸浩の日記: 秀丸マクロを生成する秀スクリプトという言語処理系を作った

2017/08/12 323 users

エグゼクティブサマリ秀スクリプトという小さな言語処理系を開発した。秀スクリプトは、TypeScriptを大幅に縮小した文法を持ち、コンパイラによって秀丸マクロに変換され、秀丸上で実行される。秀スクリプトコンパイラは秀スクリプト自身により記述される。秀スクリプトの主な特徴は下記のとおり。 TypeScriptに似た文法を持ち、コンパイラも秀スクリプトで記述されている秀丸マクロを生成し、秀丸上で... 続きを読む

秀丸マクロを生成する秀スクリプトという言語処理系を作った | 徳丸浩の日記

2017/08/12 323 users

Postfix で user+foo@domain 形式のエイリアスを使う方法 | 徳丸浩の日記

2017/07/18 54 users

Gmail では、user+foo@gmail.com 形式のメールアドレス別名が使えることはご存じの方が多いと思います。すなわち、自分のGmailアドレスが user@gmail.com である場合、user+foo@gmail.com や user+pokemon@gmail.comに送られたメールも、受け取ることができます。私は個人ではPostfixをMTAとして運用しており、ウェブサービ... 続きを読む

セキュリティの都市伝説を暴く

2017/06/09 573 users

セキュリティの都市伝説を暴く 1. セキュリティ対策の都市伝説を暴く EGセキュアソリューションズ株式会社徳丸浩 2. アジェンダ • セキュリティの都市伝説とは • セキュリティの都市伝説さまざま – パスワードのマスク表示 – IDまたはパスワードが違います – パスワードの有効期間 – autocompleteの停止 – 戻るボタンの問題 • まとめ 2 3. 徳丸浩の自己紹介 • 経歴... 続きを読む

PHPMailerの脆弱性CVE-2016-10033はExim4やWordPress4.6でも影響があった | 徳丸浩の日記

2017/05/08 72 users

エグゼクティブサマリ PHPMailerのリモートコード実行脆弱性CVE-2016-10033は、従来MTAとしてsendmailを用いる場合のみ影響があるとされていた。また、WordPressはPHPMailerをバンドルしているが、CVE-2016-10033によるWordPressに対するリモートコード実行攻撃はできないとされていた。しかし、MTAとしてExim4を用いる場合には、PHPMa... 続きを読む

徳丸浩の日記: teratailに投稿されたメールフォームにCSRF脆弱性が残存した理由

2017/04/11 248 users

teratailに以下のような投稿がありました。 PHPでメールフォームを作成したので、脆弱性がないかアドバイスいただけないでしょうか。エンジニアでもなければ、PHPもろくに書けない雑魚ですが、「php メールフォーム作り方」でググって表示されるサイトを見ると、「んんんんん？？？」と思うところがあります。これらを参考にしたり、コピペする方は、記述されているコードの良し悪しは判断できないかと思... 続きを読む

(1 - 25 / 224件)

次の25件 »