SSL v3.0の脆弱性「POODLE」ってかわいい名前だけど何？？ - Padding Oracle On Downgraded Legacy Encryptionの仕組み - — Mobage Developers Blog

2014/10/23 367 users POODLE https パケット SSLv3 改ざん

こんにちは。セキュリティ技術グループのはるぷです。 10月上旬にHTTPSなどで利用されているSSLv3の脆弱性が報告され、中間者攻撃（通信経路上で通信に介入してパケットの取得、改ざん等を行う攻撃。Man In The Middle Attackとも呼ばれる）によって、暗号化されている通信の内容を復号することの可能性が示唆されました。 この攻撃方法はPOODLE (Padding Oracle O... 続きを読む

MySQLでIN句の中に大量の値の入ったクエリがフルスキャンを起こす話 - freee Developers Blog

2021/12/18 343 users クエリ リアリティ 挙動 MySQL shallow1729

こんにちは、freee Developers Advent Calendar 2021、19日目のid:shallow1729です。昨日はtdtdsさんで【マジで】サイバー演習シナリオの作り方【怖い】でした！障害訓練後に攻撃方法を解説された時はリアリティの高さに驚きました。 僕はMySQLを使っていて発生した不思議な挙動の調査の話をしようと思います。 今回問題... 続きを読む

無線LANのWPAをわずか数秒から数十秒で突破する新しい攻撃方法が登場、早期にWPA2に移行する必要あり - GIGAZINE

2009/08/05 317 users WPA GIGAZINE TKIP WEP 無線LAN

今回の方法は昨年11月に発表された「Tews-Beck攻撃」(WEPのTKIPにおいて辞書攻撃ではなくプロトコルの不備をつくことによって、15分前後かかるが、鍵の一部を確定的に導出できる方法)がQoS制御を利用する機器に限定されるものであり、鍵の導出に15分もの時間が必要であったのに対して、わずか数秒から数十秒で導出してしまうことができるというもの。 このWPAについての実践的な攻撃方法は8月7日... 続きを読む

キーボードに残された体温でパスワードを推測する攻撃手法--スパイ映画さながら - CNET Japan

2018/07/10 309 users 体温 スパイ映画 攻撃手法 キーボード CNET Japan

セキュリティ企業のESETは、キーボード入力されたパスワードの情報を、各キーに残る体温から推測する攻撃手法「Thermanator」を紹介した。 この攻撃方法は、カリフォルニア大学アーバイン校（UCI）が可能性を実証して論文で示したもの。入力を終えてからも、キーボードに残された熱で入力内容を推測するヒントが得られる... 続きを読む

サイト構築ソフトに欠陥　官公庁などサイバー攻撃の恐れ　　：日本経済新聞

2014/04/24 301 users 官公庁 ストラッツ 欠陥 バッチ サイバー攻撃

ウェブサイトを作成するために官公庁や銀行、企業などが広く利用しているソフト「ストラッツ１」にセキュリティー上の欠陥（脆弱性）があることが24日分かった。個人情報や機密情報を盗まれたりサイトが改ざんされたりするサイバー攻撃の恐れがある。同ソフトはサポートが終了しており、現在のところ修正プログラム（パッチ）は無い。すでに攻撃方法がインターネット上で公開されており、早急に対応が必要だ。　ストラッツ１はサ... 続きを読む

サッカーにおける代表的なコンビネーションプレーのお話 - pal-9999の日記

2013/01/22 234 users pal-9999 ビルドアップ アタッキングサード サッカー

さて、みなさん、こんにちは。本日は、サッカーにおける代表的なコンビネーションなんかの話でもしようかと思います。考えて見ると、うちのブログでは、ビルドアップとか守備ブロックの話はしてきたんですけど、アタッキングサードでの攻撃方法については、してこなかったなあと。なんで、本日はアタッキングサードでの動き方の話でもしようかと思い立ったわけです。 ええっと、まず、大前提としてですけど、サッカーの攻撃におい... 続きを読む

速報：米マイクロソフト、IEに緊急パッチ Windows XPにも異例の配布へ | GGSOKU - ガジェット速報

2014/05/01 187 users ggsoku セキュリティパッチ インターネットブラウザ

米マイクロソフトは2日、同社製のインターネットブラウザ「Internet Explorer 6～11」に深刻なゼロデイ攻撃に対する脆弱性が発見された問題で、緊急のセキュリティパッチを配布した。今回のパッチは、先月にサポートを終了したばかりのWindows XPも対象となっており、異例の対応となる。 今回の脆弱性は既に攻撃方法が周知されている状態であり、セキュリティ対策前のIEを用いてブラウジングを... 続きを読む

PHPのJSON HashDosに関する注意喚起 | HASHコンサルティングオフィシャルブログ

2015/10/13 156 users HASHコンサルティングオフィシャルブログ PHP ＨＡ

4年前にHashDos（Hash Collision Attack）に関する効率的な攻撃方法が28C3にて公開され、PHPを含む主要言語がこの攻撃の影響を受けるため対策を実施しました。しかし、PHP以外の言語が、ハッシュが衝突するデータを予測困難にする対策をとったのに対して、PHPは、GET/POST/COOKIE等の入力データの個数を制限するという対症療法を実施しました。このため、PHPにはHa... 続きを読む

PHP本体でタイミング攻撃を防御できるようになります | yohgaki's blog

2014/02/12 117 users yohgaki's blog サイドチャ アプリケーション

PHP 5.6からタイミング攻撃に対する対策が導入されます。メジャーなアプリケーションはタイミング攻撃対策が導入されていますが、PHP 5.6から簡単に対策できるようになります。 タイミング攻撃とは、コンピュータが動作する時間の違いを測って攻撃する手法です。コンピュータの動作時間、温度、音、電子ノイズ、電力使用量など、アルゴリズム自体の脆弱性を攻撃するのではなく副産物を利用する攻撃方法でサイドチャ... 続きを読む

Linuxカーネルの脆弱性により、権限昇格が行える脆弱性（CVE-2014-3153）に関する検証レポート — (n)

2014/11/28 111 users Linuxカーネル 権限昇格 penetration 脆弱性

life is penetration. geeks cheer. geeks be ambitious.Tweet 【概要】 Linuxカーネルに、システムにログイン可能な一般ユーザーが権限昇格を行える脆弱性（CVE-2014-3153）の攻撃方法が発見されました。この脆弱性は過去にAndroidのroot化を行う目的で利用されていた実績のある脆弱性です。 この脆弱性はkernelのfutexサ... 続きを読む

コロナの心臓への攻撃方法を解明、動脈に直接感染していた

2023/11/10 75 users 静脈 コロナ 新型コロナウイルス 色素 血管

ヒトの心臓。心臓の筋肉に血液を送る動脈と静脈が見える。血管に色素を注入したため、心臓に張り巡らされた最も細い毛細血管まではっきりと見ることができる。（PHOTOGRAPH BY SCIENCE PHOTO LIBRARY） 新型コロナウイルスが深刻な心血管系の問題を引き起こす場合があることは、これまでの研究で示されている。特に、血... 続きを読む

Googleアナリティクスを悪用して広告とポルノをウェブに挿入する攻撃方法が判明 - GIGAZINE

2015/03/26 55 users ルータ DNS Changer GIGAZINE パク 手法

By Sean MacEntee 多くの家庭でも使われているルータのバグを悪用し、本来は想定されていない広告やポルノコンテンツを配信する手法が明らかにされました。悪用手法の内容はDNS Changerと呼ばれるマルウェアを使ってルータにキャッシュ保存されるDNS設定を不正に書き換え、ページ内で使われているGoogle Analyticsのタグを乗っ取る仕組みになっています。 Ara Labs | ... 続きを読む

Googleアナリティクスを悪用して広告とポルノをウェブに挿入する攻撃方法が判明 - GIGAZINE

2015/03/26 55 users ルータ DNS Changer GIGAZINE パク 手法

By Sean MacEntee 多くの家庭でも使われているルータのバグを悪用し、本来は想定されていない広告やポルノコンテンツを配信する手法が明らかにされました。悪用手法の内容はDNS Changerと呼ばれるマルウェアを使ってルータにキャッシュ保存されるDNS設定を不正に書き換え、ページ内で使われているGoogle Analyticsのタグを乗っ取る仕組みになっています。 Ara Labs | ... 続きを読む

クレジットカード情報を6秒で推測する手口が見つかる、英銀行へのサイバー攻撃に利用か - ITmedia エンタープライズ

2016/12/06 51 users 手口 セキュリティコード ITmedia エンタープライズ

クレジットカード番号と有効期限、セキュリティコードの情報をわずか6秒で推測できるという「分散型推測攻撃」の手口を英国の研究者が発表した。現在のところ、この攻撃が通用するのはVISAカードのみだという。 英ニューキャッスル大学の研究チームは12月2日（現地時間）、インターネットのクレジットカード決済に必要なカード番号と有効期限、セキュリティコードの情報をわずか6秒で推測できてしまう攻撃方法を見付けた... 続きを読む

カメラにシールを貼るだけでディープラーニングを誤認識させる攻撃方法が登場 | AI-SCHOLAR

2019/10/18 49 users 要点 AI-SCHOLAR 角度 他人 検証

3つの要点 カメラにシールを貼るだけでディープラーニングを誤認識させることが可能になった 対象物を異なる角度や距離で撮影しても誤認識させられることを動画データで検証 顔認証用のカメラにシールを貼っておくことでシステムに気づかれずに他人になりすましたりできてしまうかもしれない ディープラーニングによる画... 続きを読む

SIMの脆弱性を利用したSMS個人監視、少なくとも2年悪用？スマホの種類に関係なく影響との報告 - Engadget 日本版

2019/09/16 43 users SIM 脆弱性 Engadget 日本版 種類 スマホ

AdaptiveMobile Security アイルランドのセキュリティ企業AdaptiveMobile Securityは、SIMカードに潜む脆弱性が個人を追跡および監視するために悪用されてきたことが判明したと報告しています。この「Simjacker」と名付けられた攻撃方法は、複数の国において少なくとも過去2年間にわたって使われてきたとのことです。 続きを読む

LTEネットワークに新たな3つの攻撃方法が発見。自衛方法は「HTTPS化されたサイトだけアクセス」 - Engadget 日本版

2018/07/02 41 users LTEネットワーク HTTPS化 ルール大学ボーフム 論文

スマートフォンなどに広く利用されているLTEネットワーク。この通信インフラに対する新たな３種類の攻撃方法が発見されたことが、国際的な研究チームの論文により明らかとなりました。 本論文は、ドイツのルール大学ボーフムと米ニューヨーク大学アブダビ校の研究者達によるもの。３つのうち２つは受動的攻撃、大まかに... 続きを読む

Androidの設計問題突く攻撃手法「Cloak & Dagger」、米研究者が論文公開 - ITmedia エンタープライズ

2017/05/25 36 users Cloak DAGGER Andr パーミッション 論文

この攻撃では、Androidのパーミッションを悪用し、ユーザーに気づかれないまま端末を制御できてしまうという。 米ジョージア工科大学の研究者が、Androidのパーミッションを悪用してユーザーに気づかれないまま端末を制御できてしまう攻撃方法を発見したとして、5月22日付で論文を発表した。この攻撃を「Cloak & Dagger」と命名して解説サイトも公開している。 それによると、この攻撃はAndr... 続きを読む

RedisからOSコマンドを実行する攻撃方法（SLAVEOF編） - knqyf263's blog

2019/07/16 35 users redis コンテナ 権限 OSコマンド knqyf263

はじめに 前回の記事で、誤ってインターネットに開放されたRedisを操作してOSコマンド実行するまでの攻撃方法を説明しました。 knqyf263.hatenablog.com こちらの方法ではCONFIG SETを使っていたのですが、最近コンテナが利用されることが増えたために刺さりにくくなっています。また、Redisの実行ユーザの権限が強い必... 続きを読む

シゴタノ！ 一撃で説得されないために役立つ一冊

2013/05/18 35 users ヨメレバ 悠紀雄 シゴタノ 野口 余地

「攻撃は最大の防御なり」 という言葉があります。いろいろ解釈する余地がありますが、 「攻め方が分かっていれば、守りやすい」 と解釈することもできるでしょう。攻撃方法に精通していれば、防御方法も組み立てやすい。そんなに不自然な話ではありません。 「超」説得法 一撃で仕留めよ posted with ヨメレバ 野口 悠紀雄 講談社 2013-04-12 Amazon Kindle 楽天ブックス つまり... 続きを読む

攻撃方法は「非保持化」前提に変わってきた！ 対策は基本に戻れ！ - 徳丸浩のWebセキュリティ事件簿：日経 xTECH Active

2019/03/06 25 users 徳丸浩 前提 日経 xTECH Active 非保持化 対策

2018年前半に浮き上がった事例で見逃せないのがクレジットカード情報の流出事件だ。聖教新聞、伊織、ウエストという3件の事例がある。Webセキュリティの第一人者である徳丸浩氏に、これらの事件について語ってもらった。3回にわたって掲載する。 カード情報流出の原因は結局、脆弱性 ECサイトでの情報漏洩ですが、エンド... 続きを読む

任天堂の新たな挑戦『リングフィット アドベンチャー』レビュー。攻撃方法がフィットネスのRPG!? ゲームが主体の新機軸フィットネスソフト - ファミ通.com

2019/10/18 23 users アドベンチャー フィットネス 任天堂 RPG 主体

リングコンはその名の通り丸い輪っか状のコントローラー。柔軟性のある素材でできており、左右にあるグリップ部分を握って、上下に上げたり、左右に振ったりといった操作に加え、リングコン自体をググーッと引っ張って広げたり、逆に押し込んだりもできる。このリングコンの引っ張る動作や押し込む動作がこれまでのゲー... 続きを読む

blockchain.tokyo#5 に行ってきたまとめ – erukiti – Medium

2018/02/18 16 users マイニング ツッコミ マイニングプール 収益配分 medium

blockchain.tokyo#5 に行ってきたまとめ blockchain.tokyo #5 に参加してきました。とても面白い内容だったので、自分なりにまとめてみました。間違いとかツッコミとか質問とかあれば、よろしくお願いします！ マイニングプールの収益配分と攻撃方法 マイニングプールの収益配分と攻撃手法 マイニングプールの仕組み、ブロックチェーンの仕組みを悪用してマイニングの収益性を不当に上... 続きを読む

Appleの「Gatekeeper」が破られる恐れ、マルウェアに利用も - ITmedia エンタープライズ

2015/10/01 16 users GateKeeper threatpost マルウェア 実行

AppleのOS Xに搭載されているマルウェア対策機能「Gatekeeper」をかわしてマルウェアを仕込むことができてしまう攻撃方法が報告された。Kaspersky Labのニュースサービス「threatpost」が9月30日、セキュリティ企業Synackの研究者、パトリック・ウォードル氏の研究発表内容を伝えた。 GatekeeperではOS X向けのアプリについて、実行を許可する前に証明書を確認... 続きを読む

兵站補給線であるクリミア大橋は攻撃しても軍事目標と見做される（JSF） - 個人 - Yahoo!ニュース

2022/10/09 15 users 橋桁 JSF ウクライナ クリミア大橋 ロシア

10月8日にロシアが建設したクリミア大橋（ケルチ大橋）で大爆発が発生、自動車橋の橋桁が落下し、また爆風火炎によって隣接する鉄道橋の石油タンク貨車に引火し激しく炎上する事態となりました。攻撃方法はいまだ詳細は不明です。攻撃者は戦争中のウクライナが疑われていますが自分からは明言していません。 そして10月9... 続きを読む