とある診断員とSQLインジェクション

2014/05/25 691 users SQLインジェクション セキュリティエンジニア 診断員 本題

とある診断員とSQLインジェクション Presentation Transcript SQLインジェクション 自己紹介  セキュリティエンジニアやってます。  脆弱性診断業務を担当しており、専門はWebセキュリティです。  趣味で脆弱性の検証したり、最近はCTFイベントなどに参加して たりします。 TwitterID: tigerszk 本題に入るその前に 脆弱性診断って？ ＦＷ Webサー... 続きを読む

Webアプリケーションの脆弱性の解説&体験ページ

2014/06/06 558 users Form ユーザ データベース HTMLファイル 概要

はじめに、脆弱サイトの概要を説明します。このサイトは、データベースに登録された会員情報を検索するサービスを提供しています。 参考書マスタリングTCP/IP 情報セキュリティ編 8章 Webセキュリティ pp.205 脆弱サイトの機能と仕組み 1. ユーザはログイン後、登録された検索したい会員名を、Webアプリケーションサーバーで検索します。会員名は、以下に示すHTMLファイルのFormにある変数u... 続きを読む

社内で好評だったSQLインジェクションの資料を公開します – Webセキュリティの小部屋

2020/03/15 552 users SQLインジェクション スライド 割合 脆弱性 好評

先日(2020年2月21日)に、社内のとある会議でSQLインジェクションについてプレゼンしてきたのですが、割合と好評だったようなのでここでも公開してみます。 スライドのタイトルをクリックすると拡大したスライドで見ることができます。 実際には、SQLインジェクションの脆弱性があるとアカウント情報が漏洩して、システム... 続きを読む

ソーシャルブックマークユーザーのIDとPASSをいとも簡単に抜き取る手口*ホームページを作る人のネタ帳

2007/04/06 492 users PASS 手口 YouTube ネタ帳 エントリ

ネタ帳は、売れない、人が来ないホームページにならない為の、インターネットの知識とブログネタに使えるエントリを書いています。 これはひっかかった・・・ 先日、WEBセキュリティの会社に勤める友人と会った。 私のブログを結構見ているという話から盛り上がり、最近ウィルスってどうなの？何に気をつけたらいい？と聞いてみたんです。 彼の話は面白い話でいっぱいだった。 例えばYouTubeの上のような画像。 こ... 続きを読む

無料SSL証明書の Let’s Encrypt が公開されたので実際に試してみた | Webセキュリティの小部屋

2015/12/04 466 users Let’s Encrypt 無料SSL証明書 小部屋 実際

はじめに 先日の記事でもご紹介しましたが、無料で SSL 証明書を発行してくれる Let’s Encrypt がパブリックベータとなり、誰でも利用することができるようになったので、CentOS 6.7 + Apache で SSL証明書の作成と設定を試してみました。 CentOS 6.7 では、何かとひっかかる部分が多かったので参考になれば幸いです。 Let’s Encrypt の特徴 Let’s... 続きを読む

Windows 版 OpenSSH が登場したので使い方を解説してみる | Webセキュリティの小部屋

2015/10/22 327 users OpenSSH コマンドライン SSH プレリリース版 要望

はじめに Windows を SSH でコマンドラインから制御したいという要望は、Windows のサーバー管理者の長い間の願いでした。2015年の6月頃に Microsoft が OpenSSH を Windows に移植すると発表して大分経ちましたが、数日前、ようやくプレリリース版がリリースされました。 この記事では、 Windows 版の OpenSSH の使い方を解説します。なお、プレリリ... 続きを読む

誰でも簡単にできる4つのセキュリティ対策で、被害を80％減らせる!?　Webセキュリティの専門家・徳丸浩さんに聞いてきた | Web担当者Forum

2014/05/09 298 users 徳丸浩さん Web担当者Forum 被害 セキュリティ対策

Web担トップ « 編集記事一覧 « Webのコト、教えてホシイの！ « 誰でも簡単にできる4つのセキュリティ対策で、被害を80％減らせる!?　Webセキュリティの専門家・徳丸浩さんに聞いてきた ««オウンドメディアなど自社コンテンツ作りのコツって何ですか？／ワコールの川勝和美さんに聞いてきた 連載Webのコト、教えてホシイの！ 誰でも簡単にできる4つのセキュリティ対策で、被害を80％減らせる!?... 続きを読む

他人事ではないWebセキュリティ

2014/11/30 277 users 他人事

Transcript 1. Kobe IT Festival 2014 OWASP Kansai Chapter Yosuke HASEGAWA 2. はせがわようすけ ▸OWASP Kansai チャプターリーダー ▸OWASP Japan アドバイザリボードメンバー ▸ネットエージェント株式会社サービス事業部 ▸株式会社セキュアスカイ・テクノロジー技術顧問 ▸Microsoft MVP for... 続きを読む

徳丸本こと「安全なWebアプリケーションの作り方 第２版」はWeb開発者必読の書として更なる進化をとげていた | Webセキュリティの小部屋

2018/07/16 259 users Webアプリケーション 進化 小部屋 Twitter 作り方

はじめに 2018年6月に、Webアプリケーション開発のセキュリティの必読書である、いわゆる「徳丸本」の第2版が発売になりました。 体系的に学ぶ 安全なWebアプリケーションの作り方 第2版 脆弱性が生まれる原理と対策の実践 この徳丸本第2版ですが、発売日前にフライングゲットしたという情報が Twitter で流れ、私も本屋... 続きを読む

これからのWebセキュリティ フロントエンド編 #seccamp

2015/08/14 255 users フロントエンド編

・ChatWork でWebフロントエンドを担当 ブラウザ上で動くScalaを書いてます。 基本的にセキュリティとの関わりは趣味の範疇。MixiさんからAmazonギフト券もらったくらいの経験 ・きっかけは「趣味と実益のスタック破壊」 これは「いかに対象のコード上でバッファオーバーフローやヒープオーバーフローを起こすか」という視点で書かれた文書。非常に面白かった すでにサイトからは消えていてWeb... 続きを読む

間違いだらけのHTTPセッション管理とその対策 | yohgaki's blog

2014/02/20 216 users yohgaki's blog 間違いだらけ バリデーション

HTTPセッション管理はWebセキュリティの中核と言える機能です。Webセキュリティの中核であるHTTPセッション管理に設計上のバグがある事は少なくありません。今回のエントリはPHP Webアプリ開発者ではなく、主にWebフレームワーク側の開発者、つまりPHP本体の方に間違いがあるという話しです。Webアプリ開発者の回避策も紹介します。 まずセキュリティの基本として「入力のバリデーションを行い、正... 続きを読む

SSLはなぜ会社によって値段が違うの！？今さら聞けないSSLの仕組みと導入のメリット

2016/04/05 192 users SSL 導入 値段 メリット 会社

皆さん、こんにちは。 京都のWebマーケティングチーム「ウェブライダー」の松尾です。 某社からCPIサーバーに乗り換えたことがきっかけで、このコラムを書かせていただく機会を得ました。 CPIの専用サーバーを使い始めて2年目に突入しましたが、とても快適です。 前回、 Webセキュリティに関する記事 を書きました。 その流れで、今回はWebセキュリティを強化するための 「SSL（Secure Sock... 続きを読む

無料 SSL 証明書の Let’s Encrypt が 2015年12月3日からパブリックベータになり、誰でも利用可能に | Webセキュリティの小部屋

2015/11/30 191 users パブリックベータ Let's Encrypt 理念 SSL

ホーム > ブログ > 無料 SSL 証明書の Let's Encrypt が 2015年12月3日からパブリックベータになり、誰でも利用可能に Public Beta: December 3, 2015 全ての Web サイトを SSL 証明書で暗号化通信するという理念を持って、無料で SSL 証明書を発行してくれる Let’s Encrypt が、 2015年12月3日からパブリックベータに移... 続きを読む

Webセキュリティ腕試しサイトを無償公開｜MBSD｜三井物産セキュアディレクション株式会社

2023/04/24 122 users MBSD 無償 本社 Webアプリケーション セキュリティ

三井物産セキュアディレクション株式会社（本社：東京都中央区、代表取締役社長：鈴木大山、以下 MBSD） は、Webセキュリティに関する腕試しサイト「MBSD Secu-cise (セキュサイズ)」を2023年4月24日より無償で一般公開しました。 Webアプリケーションを開発した経験のない初心者の方や、腕に自信がある方、セキュリティ... 続きを読む

PHP Web アプリケーションセキュリティ対策の良スライドまとめ | Webセキュリティの小部屋

2015/03/22 112 users PHP Web 小部屋

はじめに Web アプリケーションセキュリティとなると情報が出揃ってきた感もありますが、PHP に関して言うと Web でも情報が足りないと感じています。 PHPに関して情報がないかなぁと思って調べてみると、SlideShare でよい感じのスライドがあったので、まとめてご紹介します。 基本的な対策 まずは、徳丸さんのスライドです。これは外せないですね。PHP の脆弱性だけでなく、PHP のライフ... 続きを読む

Webアプリケーションで安全なパスワード保存には専用のハッシュ関数を使う時代になった | Webセキュリティの小部屋

2019/02/12 66 users ハッシュ関数 Webアプリケーション ストレッチング 専用

はじめに Web アプリケーションで安全にパスワードを保存するためには、ソルト＋ハッシュ＋ストレッチングという実装方法が2013年頃から啓蒙されてきていましたが、Webセキュリティの大家である徳丸浩さんによると独自実装は既に時代遅れであるようです。 ソルト付きハッシュとストレッチングというのは原理の話で、PBKD... 続きを読む

PHP の DB アクセスは PDO に決まりだと思う理由 | Webセキュリティの小部屋

2015/03/25 65 users PDO MySQL PEAR 軍配 PHP

はじめに PHP から DB アクセスする方法は多岐に渡り、その中でもメジャーなのは PDO (PHP Data Object) と Pear の MDB2 なのではないかと思います。 他にも組み込み関数の、Mysql 関数や Mysqli 関数があるようですが、データベースを選ばないということでは、PDO と MDB2 に軍配があがるのではないでしょうか。 PDO と MDB2 のどちらを選ぶ？... 続きを読む

「基本がわかる安全設計のWebシステム」を読んでみた | Webセキュリティの小部屋

2015/07/20 64 users 安全設計 Webシステム 小部屋 判決 基本

「基本がわかる安全設計のWebシステム」が Amazon から届いたので、早速読んでみました。 Web システム開発で一番不幸なのは、セキュリティ対策を行わないで、リリース後に問題が発覚して炎上してしまうことです。そうすると、社会的信頼も失いますし損失も大きなものになってしまいます。 実際、以下のように SQL インジェクションの対策もれで開発会社に責任を認め、賠償金を支払うよう判決が出た裁判もあ... 続きを読む

ニュース - 相次ぐWeb改ざん、原因はまたもや“Gumblar”か：ITpro

2013/07/02 62 users Gumblar ITpro トレンドマイクロ マルウエア解析

「4月ころから相次いでいるWeb改ざんは、2009年に猛威をふるった『Gumblar』と同種の攻撃と見られる」。トレンドマイクロでWebセキュリティやマルウエア解析の情報発信を担当する岡本勝之コアテク・スレットマーケティング課担当課長代理は2013年7月1日、本誌の取材に対して最近のWeb改ざんに関する見解を示した。 GumblerはWeb管理者のFTPアカウントを盗み出し、それを使ってコンテンツ... 続きを読む

社内勉強会でSOP (Same Origin Policy) の話をしました | TechRacho

2013/12/23 58 users TechRacho SOP 入門 ルール テーマ

先月実施した社内勉強会資料を公開します。 今回のテーマはSOP (Same Origin Policy)。Webセキュリティの基本になる考え方です。 SOPとは何なのか SOPは何を制限しているのか SOPを回避する技術 Cookieのちょっと変わったルールについて Webセキュリティが、ほとんど破綻しつつ、ぎりぎりのところで持ちこたえているという話の入門でした。 もっと詳しく知りたい方は、「めん... 続きを読む

PHP 5.3.4以降ではヌルバイト攻撃が成立しにくくなった - hnwの日記

2012/10/28 54 users 既報 hnw 関数 PHP PHPアプリケーション

今回はWebセキュリティの話題です。実はid:t_komuraさんの記事で既報なんですが、案外知られていない気がしたので改めて紹介します。 PHPアプリケーションに特化した攻撃手法として、ヌルバイト攻撃というものがあります。PHPの大半の関数がヌル文字\0（0x00）を文字として認識する一方、Cの関数を直接呼び出すような一部関数では文字列の終端文字として機能することがあり、このねじれを利用する攻撃... 続きを読む

PHP入門書を確認指摘する徳丸浩氏にWeb業界はどう思っているの？Webセキュリティで権威のある徳丸本の著者、徳丸浩氏。本人曰わく、｢ライターさんなら仕方ないが、Web業界で働く制作者が

2014/11/10 53 users 権威 PHP 徳丸本 徳丸浩氏 著者

[PHP・Perl・Ruby] PHP入門書を確認指摘する徳丸浩氏にWeb業界はどう思っているの？ Webセキュリティで権威のある徳丸本の著者、徳丸浩氏。 本人曰わく、｢ライターさんなら仕方ないが、Web業界で働く制作者が書くPHP入門書に絶望的｣と。 これって、PHPを学習したく入門書を買いたい人にとって深刻なことじゃないかと思います。 特にWordPressをきっかけにPHPを学ぶ人も多いでし... 続きを読む

そろそろ脆弱性診断についてひとこと言っておくか | Webセキュリティの小部屋

2015/03/04 51 users ひとこと 脆弱性診断 セキュリテ 小部屋 策定

なにやら脆弱性診断が熱いっぽいので、ユーザー企業のセキュリティ担当だった立場から、ぼちぼち述べてみます。 脆弱性診断その前に Web 診断業者に、脆弱性診断を頼む前にユーザー企業で取り組んでおくべきことがあります。 これを抜きにして脆弱性診断を行っても、時間とお金ばかりかかって成果を上げられません。 セキュリティ標準の策定 ユーザー企業でまず行わなければいけないのは、経営層を巻き込んだ「セキュリテ... 続きを読む

徳丸浩の「Webセキュリティの新常識」 - 設計や仕様にも危険が潜む 脆弱性の本質を理解しよう：ITpro

2015/10/26 50 users 出典 ITpro 日経BP社 徳丸浩 サイバー攻撃

出典：徳丸浩のWebセキュリティ教室（日経BP社） （記事は執筆時の情報に基づいており、現在では異なる場合があります） Webサイトの「脆弱性」を狙ったサイバー攻撃が後を絶たない。Webサイトを運営する企業にとって、脆弱性を解消することは、必ず実施すべきセキュリティ対策の一つである。このことは、マネジャー層も当然認識しているだろう。 だが、脆弱性という言葉は、きちんと定義されずに使われることが多い... 続きを読む

クレジットカード情報を「非保持化」してもなぜ漏れてしまったのか - 徳丸浩のWebセキュリティ事件簿：日経 xTECH Active

2019/03/06 48 users 第一人者 聖教新聞 徳丸浩 徳丸浩氏 伊織

2018年前半に浮き上がった事例で見逃せないのがクレジットカード情報の流出事件だ。聖教新聞、伊織、ウエストという3件の事例がある。Webセキュリティの第一人者である徳丸浩氏に、これらの事件について語ってもらった。3回にわけて掲載する。 カード情報非保持だけでは不十分 今回はお題は2つあって、どちらからいきま... 続きを読む