MySQLでIN句の中に大量の値の入ったクエリがフルスキャンを起こす話 - freee Developers Blog

2021/12/18 343 users クエリ リアリティ 挙動 MySQL shallow1729

こんにちは、freee Developers Advent Calendar 2021、19日目のid:shallow1729です。昨日はtdtdsさんで【マジで】サイバー演習シナリオの作り方【怖い】でした！障害訓練後に攻撃方法を解説された時はリアリティの高さに驚きました。 僕はMySQLを使っていて発生した不思議な挙動の調査の話をしようと思います。 今回問題... 続きを読む

キーボードに残された体温でパスワードを推測する攻撃手法--スパイ映画さながら - CNET Japan

2018/07/10 309 users 体温 スパイ映画 攻撃手法 キーボード CNET Japan

セキュリティ企業のESETは、キーボード入力されたパスワードの情報を、各キーに残る体温から推測する攻撃手法「Thermanator」を紹介した。 この攻撃方法は、カリフォルニア大学アーバイン校（UCI）が可能性を実証して論文で示したもの。入力を終えてからも、キーボードに残された熱で入力内容を推測するヒントが得られる... 続きを読む

PHPのJSON HashDosに関する注意喚起 | HASHコンサルティングオフィシャルブログ

2015/10/13 156 users HASHコンサルティングオフィシャルブログ PHP ＨＡ

4年前にHashDos（Hash Collision Attack）に関する効率的な攻撃方法が28C3にて公開され、PHPを含む主要言語がこの攻撃の影響を受けるため対策を実施しました。しかし、PHP以外の言語が、ハッシュが衝突するデータを予測困難にする対策をとったのに対して、PHPは、GET/POST/COOKIE等の入力データの個数を制限するという対症療法を実施しました。このため、PHPにはHa... 続きを読む

Linuxカーネルの脆弱性により、権限昇格が行える脆弱性（CVE-2014-3153）に関する検証レポート — (n)

2014/11/28 111 users Linuxカーネル 権限昇格 penetration 脆弱性

life is penetration. geeks cheer. geeks be ambitious.Tweet 【概要】 Linuxカーネルに、システムにログイン可能な一般ユーザーが権限昇格を行える脆弱性（CVE-2014-3153）の攻撃方法が発見されました。この脆弱性は過去にAndroidのroot化を行う目的で利用されていた実績のある脆弱性です。 この脆弱性はkernelのfutexサ... 続きを読む

SSL v3.0の脆弱性「POODLE」ってかわいい名前だけど何？？ - Padding Oracle On Downgraded Legacy Encryptionの仕組み - — Mobage Developers Blog

2014/10/23 367 users POODLE https パケット SSLv3 改ざん

こんにちは。セキュリティ技術グループのはるぷです。 10月上旬にHTTPSなどで利用されているSSLv3の脆弱性が報告され、中間者攻撃（通信経路上で通信に介入してパケットの取得、改ざん等を行う攻撃。Man In The Middle Attackとも呼ばれる）によって、暗号化されている通信の内容を復号することの可能性が示唆されました。 この攻撃方法はPOODLE (Padding Oracle O... 続きを読む

速報：米マイクロソフト、IEに緊急パッチ Windows XPにも異例の配布へ | GGSOKU - ガジェット速報

2014/05/01 187 users ggsoku セキュリティパッチ インターネットブラウザ

米マイクロソフトは2日、同社製のインターネットブラウザ「Internet Explorer 6～11」に深刻なゼロデイ攻撃に対する脆弱性が発見された問題で、緊急のセキュリティパッチを配布した。今回のパッチは、先月にサポートを終了したばかりのWindows XPも対象となっており、異例の対応となる。 今回の脆弱性は既に攻撃方法が周知されている状態であり、セキュリティ対策前のIEを用いてブラウジングを... 続きを読む

サイト構築ソフトに欠陥　官公庁などサイバー攻撃の恐れ　　：日本経済新聞

2014/04/24 301 users 官公庁 ストラッツ 欠陥 バッチ サイバー攻撃

ウェブサイトを作成するために官公庁や銀行、企業などが広く利用しているソフト「ストラッツ１」にセキュリティー上の欠陥（脆弱性）があることが24日分かった。個人情報や機密情報を盗まれたりサイトが改ざんされたりするサイバー攻撃の恐れがある。同ソフトはサポートが終了しており、現在のところ修正プログラム（パッチ）は無い。すでに攻撃方法がインターネット上で公開されており、早急に対応が必要だ。　ストラッツ１はサ... 続きを読む

PHP本体でタイミング攻撃を防御できるようになります | yohgaki's blog

2014/02/12 117 users yohgaki's blog サイドチャ アプリケーション

PHP 5.6からタイミング攻撃に対する対策が導入されます。メジャーなアプリケーションはタイミング攻撃対策が導入されていますが、PHP 5.6から簡単に対策できるようになります。 タイミング攻撃とは、コンピュータが動作する時間の違いを測って攻撃する手法です。コンピュータの動作時間、温度、音、電子ノイズ、電力使用量など、アルゴリズム自体の脆弱性を攻撃するのではなく副産物を利用する攻撃方法でサイドチャ... 続きを読む

サッカーにおける代表的なコンビネーションプレーのお話 - pal-9999の日記

2013/01/22 234 users pal-9999 ビルドアップ アタッキングサード サッカー

さて、みなさん、こんにちは。本日は、サッカーにおける代表的なコンビネーションなんかの話でもしようかと思います。考えて見ると、うちのブログでは、ビルドアップとか守備ブロックの話はしてきたんですけど、アタッキングサードでの攻撃方法については、してこなかったなあと。なんで、本日はアタッキングサードでの動き方の話でもしようかと思い立ったわけです。 ええっと、まず、大前提としてですけど、サッカーの攻撃におい... 続きを読む

無線LANのWPAをわずか数秒から数十秒で突破する新しい攻撃方法が登場、早期にWPA2に移行する必要あり - GIGAZINE

2009/08/05 317 users WPA GIGAZINE TKIP WEP 無線LAN

今回の方法は昨年11月に発表された「Tews-Beck攻撃」(WEPのTKIPにおいて辞書攻撃ではなくプロトコルの不備をつくことによって、15分前後かかるが、鍵の一部を確定的に導出できる方法)がQoS制御を利用する機器に限定されるものであり、鍵の導出に15分もの時間が必要であったのに対して、わずか数秒から数十秒で導出してしまうことができるというもの。 このWPAについての実践的な攻撃方法は8月7日... 続きを読む