対策できてる？ Webアプリの「アップロード機能」に潜む、見落としがちなワナの数々：“典型的やられサイト”で学ぶセキュリティのワナ（1/2 ページ） ネット上で商売するのが当たり前な時代。自社でWebサイトやWebアプリを抱える企業も相当な数になっている。そこでインシデントが発生すれば信用、ブランド、収益……失うものは計り知れない。 本連載では情報セキュリティの専門家・徳丸浩さんが制作した脆弱性診断実習用のWebアプリ「BadTodo」を題材に、ストーリー形式でWebアプリ制作に潜む“ワナ”について学んでいく。 登場人物は全て架空の存在だが、ワナは全て現実にあり得るもの。セリフは徳丸さんの監修の下制作した。 カクーノ株式会社：Webアプリ開発を手掛ける企業。本記事に登場する企業・団体及び人物は全て架空の存在である。 荒井考人（あらいこうと）：入社したばかりの新人プログラマー。基本的なプログ
'); doc.close(); } if (!doc) throw Error('base not supported'); var baseTag = doc.createElement('base'); baseTag.href = base; doc.getElementsByTagName('head')[0].appendChild(baseTag); var anchor = doc.createElement('a'); anchor.href = url; return anchor.href; } finally { if (iframe) iframe.parentNode.removeChild(iframe); } }()); } // An inner object implementing URLUtils (either a native URL // ob
お願い この記事をたくさんの人に見てほしい。ので、トレンドに上げるべくLGTMのご協力をお願い致します。 起こったこと 2020年9月14日（記事執筆当日）VRChat向けお砂糖マッチングサービス『sucrALrose(スクラロース)』でサイバー攻撃被害 当初はベータ版が公開されていたがURLが流出したと公式が発表 攻撃者は脆弱性を拡散・悪用したTwitterer 現在β版のURLが流出しているそうですが、サービスの正式リリースは暫く先になる見込みですのでご注意ください。 — sucrAL (@sucrALrose) September 13, 2020 当記事の目的とするところ 簡単にまとめると上記の通りとなりますが、どうやら震源は一部のTwitterを利用しているユーザの模様。 今回の攻撃について、ウェブサイトの作者及び攻撃者について個人的に思うところがあったので、記事にしてみました。
誰でもコンポーネントベースのWebサイトを作れるWebエディタ「Frontnd Builder」を使ってみた！ - paiza times
どうも、まさとらん（@0310lan）です！ 今回は、初心者の方はもちろん中・上級者も便利に活用できるWebサイト制作サービスをご紹介します！ ReactやVueのようなコンポーネントベースの開発を、ビジュアルエディタを使って効率よく開発できるのが特徴です。コンポーネントの再利用はもちろん、さまざまなプリプロセッサも搭載されており、開発から公開までこれ1つで完結できてしまいます。 基本的な機能はすべて無料なので、Webサイトの開発にご興味ある方はぜひ参考にしてみてください！ また、paizaラーニングでは、Webページ作成に欠かせないHTML/CSSを学べる講座やWebデザイン入門講座を公開中です。合わせてチェックしてみてください。 【 Frontnd Builder 】 ■「Frontnd Builder」の使い方 それでは、実際にFrontnd Builderをどのように使っていくのか
2024年1月24日、Jenkins セキュリティチームは、CI/CDツール Jenkinsのセキュリティ情報を公開しました。修正された脆弱性の内 任意のファイル読み取りの脆弱性 CVE-2024-23897 は深刻度をCriticalと評価されており、既に実証コードも公開されています。ここでは関連する情報をまとめます。 脆弱性の概要 Jenkins Security Advisory 2024-01-24 Jenkinsにはスクリプトまたはシェル環境からJenkinsへアクセスするコマンドラインインターフェースの機能 (Jenkins CLI)が組み込まれており、脆弱性 CVE-2024-23897はこのCLIを介して任意のファイル読み取りが行えるというもの。さらに特定の条件下においてリモートコード実行が可能となる恐れがある。Jenkins セキュリティチームはこの脆弱性を深刻度をCri
AWS WAF（Web Application Firewall）は、Amazon Web Services（AWS）が提供するウェブアプリケーションファイアウォールサービスです。このサービスは、ウェブアプリケーションを悪意のあるトラフィックや攻撃から保護するためのものです。 AWS WAFとは？ AWS WAFは、ウェブアプリケーションやAPIに対する一般的なウェブ攻撃を検出し、ブロックするためのサービスです。これにより、SQLインジェクションやクロスサイトスクリプティング（XSS）などの攻撃を防ぐことができます。 AWS WAFのメリット カスタマイズ可能: AWS WAFは、特定のトラフィックパターンや攻撃を検出・ブロックするためのカスタムルールを設定することができます。 リアルタイムのモニタリング: AWS WAFは、リアルタイムでのトラフィックの監視とログの取得が可能です。 スケ
セキュアコーディングのeラーニング「KENRO」がPHPに対応。株式会社PR TIMESでの導入も決定Python、Java、Go、Rubyに続きPHPにも対応 サイバーセキュリティ事業を展開する株式会社Flatt Security（本社：東京都文京区、代表取締役社長：井手康貴）は5月31日、Webエンジニアのセキュアコーディング習得を支援するSaaS型eラーニングサービス「KENRO（ケンロー）」において、脆弱性が埋め込まれたソースコードを修正する「堅牢化演習」の対応言語として、新たにPHPを追加しました。 「KENRO」公式ページ https://flatt.tech/kenro The PHP logo was released by Colin Viebrock. Licensed under Creative Commons Attribution-Share Alike 4.0
SSRとCookie Forwardingの闇
本記事はPhotocreate Advent Calendar 2019 2日目の記事です。 フロントエンドなみなさんこんにちは。Andyです。 2019年3月より、業務委託という形式で株式会社Photocreateの運営するスクールフォト販売サイト「スナップスナップ」のリニューアルプロジェクトをお手伝いさせていただきました。 今回はその中でチームの仲間とチャレンジした課題についてご紹介したいと思います。 はじめに 昨今のフロントエンド界隈はエッジノードでのpre-renderingエコシステムが非常に充実してきました。ひと昔前のように「検索エンジン最適化(SEO)のためにはSSRがマスト！！」といった要件がSingle Page Application開発に求められることも減ってきた気がします。 とはいえ依然としてSSR機構を求められる案件も少なくなく、無垢な初心者が誤って迷い込もうもの
What's New In DevTools (Chrome 100) | Blog | Chrome for Developers
Chrome 100 Here’s to the 100th Chrome version! Chrome DevTools will continue to provide reliable tools for developers to build on the web. Take a moment to click around in the What’s New tab to celebrate the milestones. As usual, you can watch the latest What’s New in DevTools video by clicking on the image. View and edit @supports at rules in the Styles pane You can now view and edit the CSS @sup
sbt 1.4からのpipeline機能を試したら3割compile時間短縮された - xuwei-k's blog
3割というのは、もちろんprojectの構成だったり、計測方法やその他色々によるわけですが、とにかく自分が計測した場合には3割短縮されました。114秒が80秒になりました。 pipeline機能自体の説明は最後に書きます。先に、測定方法や具体的な結果。 測定方法 travis-ci上で、他の条件を同じにして clean update test:compile を(50分制約でtimeoutするまで)ひたすら繰り返して test:compile にかかった時間(sbtが [success] 表示する)を計測、集計する JVMの暖まりを考慮して 上記のサイクルを繰り返すにあたって、sbtは起動させたまま 最初は遅くなるので、ある程度遅かった最初の8つは除いて、それ以外で平均や中央値を計算 測定に使ったのは、このblog書いてる時点でのscalazの最新master branch(7.4.x用)
WebサービスやSaaS開発で気をつけるべき認証認可におけるロジックの脆弱性。どのようなもので、どう対策すべきか？［PR］
WebサービスやSaaS開発で気をつけるべき認証認可におけるロジックの脆弱性。どのようなもので、どう対策すべきか？［PR］ WebサービスやSaaS（Software as a Service）の開発において、認証や認可における脆弱性が発覚した場合、その深刻度は大きいことが多く対策は必須です。 言うまでもなく、どんなに素晴らしい機能が提供されていたとしても、脆弱性を突かれて情報漏洩やデータ破壊などを起こしてしまえば、ソフトウェアで提供される価値が地に落ちてしまうからです。 認証と認可の脆弱性は全体の3割以上にも セキュリティスタートアップとして多くのSaaS開発企業などにセキュリティ診断（脆弱性診断）を提供しているFlatt Security社は、同社が2022年の1月から1年強の間にBtoB SaaSを対象として検出した脆弱性を集計すると、ソフトウェアのロジックや仕様に起因するものが非常
超入門USDT - ローファイ日記
Linuxアドベントカレンダー2020 8日目の記事です。前日はmomomo_rimotoさんの多段sshとchroot環境。そしていろいろなコマンドを使いたいでした。 qiita.com 今日はみんな大好きなeBPFにも関係して、特にUSDTという機能に関するお話をします。 USDT、それは USDT(User Statically-Defined Tracing) とは、要するに、ユーザランドにあるプログラムに対して、静的にトレースのための窓口（プローブ）を埋め込む仕組みです。トレースが無効の際はパフォーマンスが落ちないような工夫がされています。 詳細な説明は id:mrtc0 の記事の方がわかりやすいので、簡単な説明に留めますが... blog.ssrf.in カーネル側をトレースする際に、動的な関数などのプローブをkprobe、静的にカーネルに組み込まれたプローブをtracepoi
この記事はRuby Advent Calendar 2019 - Qiitaの24日目です。 去年（RubyやRubyのOSSの脆弱性を見つけた話 - ooooooo_qの日記）と同様にRuby関連で今年見つけた脆弱性の話です。 Ruby CVE-2019-16255: Shell#[]およびShell#testのコード挿入脆弱性 hackerone.com 脆弱性なのか判断に迷うもの。 引数が.sendにそのまま渡されるので値によってはコードが実行できるものでした。 .sendを使って実際に攻撃できるパターンが有るのか、Rubyのコードの中を調べて見つけた覚えがあります。 CVE-2019-15845: File.fnmatch の NUL 文字挿入脆弱性 hackerone.com またNul文字。さすがにRubyではもうNul文字の問題はないのではないでしょうか。多分。 Pathna
はじめに ◆この記事は何？ NotebookLMの活用法を紹介する記事 ◆この記事のねらい NotebookLMを効果的に活用できるようになること ↓NotebookLMはこちらからアクセスできます。 先に結論 NotebookLMの良い点 pdfファイルやwebページを読み込み、それを元に回答する専用のチャットボットを簡単につくれる ソースとなるpdfファイル/webページ/テキストを簡単に追加・削除できる 引用した箇所を表示してくれる NotebookLMでできること NotebookLMはGoogleのサービスです。 2024年6月6日に日本語対応しました。 NotebookLMでは専用のチャットボットを簡単につくれます。 ◆アップロードできるコンテンツ チャットボットの回答ソースとなるコンテンツをアップロードできます。 GoogleドライブからGoogle documentやGoo
Published: 02 July 2021 at 13:27 UTC Updated: 05 July 2021 at 10:03 UTC Cross-Site Scripting and the alert() function have gone hand in hand for decades. Want to prove you can execute arbitrary JavaScript? Pop an alert. Want to find an XSS vulnerability the lazy way? Inject alert()-invoking payloads everywhere and see if anything pops up. However, there's trouble brewing on the horizon. Malicious
#japanpm Japan.pm 2021でhotwireをMojoliciousから使うLTをしてきました - ぱいぱいにっき
久しぶりに勉強会発表して緊張したなということで。 yapcjapan.connpass.com これに参加<してきました。 参加の感想 型や(静的|動的)解析に関連する話が多く、Perl型マニアとしてはとても満足するトークばかりでした。 scrapbox.io Perlでも関数の型をチェックしたい - Speaker Deck scrapbox.io データ解析ツールを作った話やAWS CDKの解説、InnoDBクラスタの仕組みなど、実世界に寄った話も盛り上がり、裏トークも合わせて聞くと深く知見を得られた気がしてよかったです オフラインにあって、オンラインカンファレンスではなかなか成立しにくいものとして、セッションの間の時間での廊下での交流や、会の後の懇親会がありますが、それに似たような体験を得るために会の後に、交流会と称してDiscord内にボイスチャットグループを話題別にたくさんつ
Mitigate cross-site scripting (XSS) with a strict Content Security Policy (CSP) | Articles | web.dev
Mitigate cross-site scripting (XSS) with a strict Content Security Policy (CSP) Stay organized with collections Save and categorize content based on your preferences. Cross-site scripting (XSS), the ability to inject malicious scripts into a web app, has been one of the biggest web security vulnerabilities for over a decade. Content Security Policy (CSP) is an added layer of security that helps to
テクノロジー企業やインフラへのランサムウェア攻撃で知られるロシアのサイバー犯罪組織「REvil」のウェブサイトが、アメリカや同盟国によるハッキング作戦によりオフラインになったことが報じられています。「REvil」は2021年7月に突如としてダークウェブから姿を消し、9月に復活したばかりでした。 EXCLUSIVE Governments turn tables on ransomware gang REvil by pushing it offline | Reuters https://www.reuters.com/technology/exclusive-governments-turn-tables-ransomware-gang-revil-by-pushing-it-offline-2021-10-21/ US, allied nations force REvil ranso
徳丸さん作 Bad Todo List を使ったハンズオンを開催したよ（ご本人登場） - Uzabase for Engineers
導入 企画の背景 ハンズオン 環境構築 攻撃開始 XSS の説明 順位発表 ハンズオンをやってみてどうだったか？ 良かったこと 伸びしろ 学び 今後に向けて We are hiring 導入 こんにちは、BtoB SaaS Product Team (以下 Product Team) の利根です。SPEEDA、FORCAS、INITIAL といったプロダクトの開発を行っています。 Product Team 内には、全社セキュリティを担うチームとは別に、プロダクトセキュリティの底上げを担うセキュリティチームが存在しています。 このセキュリティチームの課題はいくつもあるのですが、この数年でエンジニアの人数が大きく増えたため、メンバーのセキュリティ知識の底上げが重要な課題の一つでした。 今回は、その課題への対応として、Product Team 内の全メンバーを対象に、やられアプリ（Bad Tod
こんにちは、セキュリティチームのwonda-tea-coffeeです。 最近さらば青春の光が好きすぎて五反田への引っ越しを検討しています。 さて、本稿では私が先日取得した資格である、Offensive Security Web Expert(以下、OSWE)について紹介します。 これからチャレンジしようと考えている方、もしくは既に試験に向けて頑張っている方に向けて少しでも有益な情報になれば嬉しい限りです。 また、前回紹介したBurp Suite Certified Practitionerについても良ければご覧ください。 OSWEとは OSWEはOffensive Security社が提供する、ペネトレーションテストの認定試験です。以下、簡単に特徴を記します。 標的のWebアプリケーションとほぼ同一のデバッグ環境を使って、ホワイトボックステストを実施し、目標の証明ファイルを入手する 試験時
トップエンジニアが語るセキュアな開発組織の作り方【LayerX 名村卓×Ms.Engineer 齋藤匠×Flatt Security 米内貴志 鼎談（前編）】 - #FlattSecurityMagazine
昨今、ITベンダーだけでなくユーザー企業にもシステム内製化の動きが広がりつつあり、「セキュアな開発をいかに実現するか」は多くの開発組織における悩みの1つとなっています。 「セキュアな開発組織」をどう作っていくべきか。また、セキュアな開発を組織に浸透させるにはどうすれば良いのかーー。株式会社Flatt Securityでセキュアな開発のための学習プラットフォーム「KENRO(ケンロー)」の開発・コンテンツ監修を務めたCTO・米内貴志が、これまで様々な開発組織を牽引してきた株式会社LayerX 執行役員の名村卓さん、Ms.Engineer株式会社 Mother of Engineerの齋藤匠さんのお二人にお話を伺いました。 ▼後編はこちら flatt.tech プロフィール 「開発にかける時間とセキュリティにかける時間」のバランスに葛藤 セキュリティに対するモチベーションが高いチームをどう作っ
Xbox Series X|Sが5000円の値上げを発表。2月17日からXSXは59978円、XSSは37978円に | ゲーム・エンタメ最新情報のファミ通.com
2023年1月31日、日本マイクロソフトは、Xbox Series XおよびXbox Series Sの本体参考価格を改訂することを発表した。Xbox Series Xは、従来までの参考価格54978円［税込］が59978 円［税込］に、Xbox Series Sは、32978円［税込］が37978 円［税込］にと、それぞれ5000円ずつ値上げすることになる。 販売価格の適用は2023年2月17日からで、実際の販売価格は販売店により決定されるとのこと。 本件に関して日本マイクロソフトでは、「日本における市場状況を注意深く評価した結果、国内におけるXbox コンソールの参考価格を変更することとしました。当社では、現地価格の影響を定期的に評価し、地域間の合理的な整合性を確保しています。今回の価格改訂はお客様にも影響を及ぼすものであり、難しい判断ではありましたが、今後も、お客様の期待するXbox
EC2のみでWebサーバーをたて本番稼働している環境について、AWS WAFを導入したい旨のご相談をいただくことがあります。AWS WAFを導入する前に知っておきたいこと、確認していただきたいことをご紹介します。 WAFで悪意のないユーザーの通信を遮断してしまうリスクを認識しておく AWS WAFに限らず、WAFは悪意のないユーザーの通信を遮断してしまう恐れがあります。導入しただけで完了するサービスではありません。WAFのログを確認し、誤検知しているルールはカウントに変更するといった運用が必要です。運用の支援が必要な場合、WafCharm（ワフチャーム）を検討します。WafCharmはCSC社が提供するAWS WAFのルール作成や運用を支援するサービスです。詳しくはブログをご覧ください。 WAFでは防げない攻撃もある IPA テクニカルウォッチ「DOM Based XSS」に関するレポート
JVNTA#96129397 Web Rehosting サービスにおいて複数ウェブサイトに跨ったコンテンツの改ざん・盗聴等が行われる問題 NTT セキュアプラットフォーム研究所および早稲田大学の研究チームにより、Web Rehosting と呼ばれるサービスを利用するユーザのブラウザ上で複数ウェブサイトのコンテンツを跨ったコンテンツ改ざんや盗聴などが可能となるセキュリティ上の問題が発見されました。この問題は研究チームにより NDSS 2020 において公表されました。 Web Rehosting サービスとは、本研究において提唱されたウェブサービス群の名称であり、指定された他のウェブサイトからコンテンツを取得し、変換などの処理を加えた後に自らのサーバに再度ホスティングして表示させる（再ホストする）機能を持っています。Web Rehosting サービスに該当するサービスとして、ウェブイン
How to Bypass Cloudflare in 2023: The 8 Best Methods - ZenRows
About 1/5 of websites you need to scrape use Cloudflare, a hardcore anti-bot protection system that gets you blocked easily. So what can you do? 😥 We spent a million dollars figuring out how to bypass Cloudflare in 2023 so that you don't have to and wrote the most complete guide (you're reading it!). These are some of the techniques you'll get home today: Method 1: Get around Cloudflare CDN. Meth
Amplify コンソール – フルスタックのサーバーレスウェブアプリのためのホスティング | Amazon Web Services
Amazon Web Services ブログ Amplify コンソール – フルスタックのサーバーレスウェブアプリのためのホスティング AWS Amplify コンソールはフルスタックウェブアプリケーションのホスティングサービスで、使用したいソースコードリポジトリからの継続的なデプロイメントが可能です。Amplify コンソールは、2018 年 11 月に AWS re:Invent で発表されました。それ以来、チームはお客様のフィードバックに耳を傾け、迅速にイテレーションを行って 新しい機能をいくつかリリースしました。以下はそれらの簡単な要約です。 キャッシュの即時無効化 Amplify コンソールでは、コンテンツ配信ネットワーク、つまり CDN を介して、サーバーレスバックエンドを使用する単一ページのウェブアプリ、または静的サイトをホストすることができます。CDN は、世界中のエッ
【セキュリティ ニュース】WordPress向けに人気SEOプラグインに複数の脆弱性（1ページ目 / 全1ページ）：Security NEXT
コンテンツマネジメントシステム（CMS）の「WordPress」向けに提供されている人気プラグイン「All In One SEO（AIOSEO）」に複数の脆弱性が明らかとなった。 同プラグインは、検索エンジン向けにウェブサイトを最適化する機能などを提供するプラグイン。300万件以上のサイトに導入されている。 一部要素に対してスクリプトを挿入することが可能となるクロスサイトスクリプティング（XSS）の脆弱性2件が明らかとなったもの。DEFIANTが脆弱性を発見し、1月26日に開発者へ報告した。 「CVE-2023-0585」について管理者権限が必要。一方「CVE-2023-0586」については寄稿者以上の権限で悪用できるため、投稿を編集者などがチェックした際などに悪用されるシナリオなどが想定されるとしている。 共通脆弱性評価システム「CVSSv3」における脆弱性のベーススコアは、「CVE-2
<前編> ・ドメイン・ネットワーク帯を調査する手法 ・ドメインの調査 ・JPRS whois ・ICANN Registry Listings ・ネットワーク帯（IPアドレス）の調査 ・JPNIC whois Gateway ・BGP Tool kit ・その他の調査 ・検索エンジンを使った調査 ・Webサイトのクローリング ・Google AdSense ・公的データベースの活用 ・gBizINFO ・公開情報調査（Passive型の検索サービス） ・Robtex ・PassiveDNS ・viewdns.info ・Microsoft Defender Threat Intelligence ・違うTLDを試す ・RDAP サブドメインを調査する方法 様々な手法で収集した、ドメインとIPアドレス情報をもとにサブドメインを列挙するフェーズです。ドメイン/ネットワーク帯（IPアドレス）調査
How To Secure Node.js Applications with a Content Security Policy | DigitalOcean
The author selected the Free Software Foundation to receive a donation as part of the Write for DOnations program. Introduction When the browser loads a page, it executes a lot of code to render the content. The code could be from the same origin as the root document, or a different origin. By default, the browser does not distinguish between the two and executes any code requested by a page regar
Patchstackは5月5日(現地時間)、「Reflected XSS in Advanced Custom Fields Plugins Affecting 2+ Million Sites」において、WordPressで人気のあるカスタムフィールドプラグインにクロスサイトスクリプティング(XSS: Cross-Site Scripting)の脆弱性が存在すると伝えた。すでに200万以上のWebサイトにインストールされ、深刻度は重要(High)と分析されている。 Reflected XSS in Advanced Custom Fields Plugins Affecting 2+ Million Sites 脆弱性は「CVE-2023-30777」として特定されている。この脆弱性を悪用された場合、認証されていないユーザーが機密情報を窃取したり、影響を受けるWordPressサイトにお
Masato Kinugawa Security Blog: CVE-2020-11022/CVE-2020-11023: jQuery 3.5.0で修正されたSecurity Fixの詳細
English version is here: https://mksben.l0.cm/2020/05/jquery3.5.0-xss.html 先月、jQuery 3.5.0がリリースされました。 このバージョンでは、僕が報告した問題がSecurity Fixとして含まれています。 jQuery 3.5.0 Released! | Official jQuery Blog https://blog.jquery.com/2020/04/10/jquery-3-5-0-released/ 報告したバグは、CVE-2020-11022、 CVE-2020-11023 として採番されています。 https://github.com/advisories/GHSA-gxr4-xjj5-5px2 https://github.com/advisories/GHSA-jpcq-cgw6-v4j6
Security Command Centerを使用してGoogle Cloud内のセキュリティイベントを検知する - NRIネットコムBlog
こんにちは、最近Google Cloudを頑張って勉強している上野です。 今回はSecurity Command Centerおよびその通知設定方法を紹介します。 Security Command Centerとは？ Security Command Center（以下SCC）は、Google Cloudの組織配下のプロジェクトにおいて、セキュリティリスクのある設定や、脆弱性（アプリも含む）を見つけてくれるサービスです。 見つけた結果を表示するダッシュボード機能もあります。 なお、SCCは組織に対して設定するサービスのため、プロジェクト単体では使用できません。 無料のスタンダード ティアと有料のプレミアム ティアがあり、スタンダードでは一部機能のみ使用できます。 機能（サービス）名 機能概要 スタンダード プレミア Security Health Analytics 公開FWなど、Goog
バグバウンティにおける XSS の具体的な脅威の事例まとめ - blog of morioka12
1. 始めに こんにちは、morioka12 です。 本稿では、バグバウンティで実際にあった脆弱性報告の事例をもとに、XSS の具体的な脅威(Impact)についていくつか紹介します。 1. 始めに 免責事項 想定読者 2. XSS (Cross Site Scripting) HackerOne Top 10 Vulnerability Types Escalation (Goal) 3. XSS の脅威 (Impact) 3.1 Response Body から Session ID の奪取 3.2 Local Storage から Access Token の奪取 3.3 IndexedDB から Session Data の奪取 3.4 メールアドレスの改ざん 3.5 パスワードの改ざん 3.6 管理者アカウントの招待 3.7 POST Based Reflected XSS 4.
はじめに 来春から就職することになりまして。就職先が決まるまでの過程を振り返ってみようと思います。 就活テクニックみたいなものではありません。 はじめに B3 4~5月 修士進学しないことにした B3 6月 はじめての就活 進路指導 面談イベント B3 8月 インターン B3 9月~2月 本選考 A社 B社 C社 D社 どちらの内定を受諾するか 再度・自己理解 再度・就活の基準 比較検討 決断 就活を振り返って 最後に B3 4~5月 修士進学しないことにした B1の頃はサークルでロボットを作ったりCをガリガリ書いたりしていて、B2の頃はSecHackに参加していろいろとコテンパンにされたりしていたわけですが。B3になったばかりの春、とある企業からインターンのお誘いをいただきました。ここで、そういえばそろそろ就活の時期だよなと気づくわけです。結局このインターンは日程が合わず参加できませんで
We Hacked Apple for 3 Months: Here’s What We Found | Sam Curry
Between the period of July 6th to October 6th myself, Brett Buerhaus, Ben Sadeghipour, Samuel Erb, and Tanner Barnes worked together and hacked on the Apple bug bounty program. Sam Curry (@samwcyo) Brett Buerhaus (@bbuerhaus) Ben Sadeghipour (@nahamsec) Samuel Erb (@erbbysam) Tanner Barnes (@_StaticFlow_) During our engagement, we found a variety of vulnerabilities in core portions of their infras
Chrome 83 ベータ版: XSS からの保護、フォーム コントロールの改善、安全な CORS など
.app 1 .dev 1 #11WeeksOfAndroid 13 #11WeeksOfAndroid Android TV 1 #Android11 3 #DevFest16 1 #DevFest17 1 #DevFest18 1 #DevFest19 1 #DevFest20 1 #DevFest21 1 #DevFest22 1 #DevFest23 1 #hack4jp 3 11 weeks of Android 2 A MESSAGE FROM OUR CEO 1 A/B Testing 1 A4A 4 Accelerator 6 Accessibility 1 accuracy 1 Actions on Google 16 Activation Atlas 1 address validation API 1 Addy Osmani 1 ADK 2 AdMob 32 Ads
Cloudflareが作成したrust製のQUICライブラリ、quicheを使ったcurlでのHTTP/3通信は以前の記事を使って実現できましたが、ngtcp2とnghttp3を使ったcurlのビルドが上手くいかず、放置してました。 今日やってみたら動くようになってたのでうれぴーって感じです。 こんなかんじ。 $ docker run --rm -it inductor/curl-quic-ngtcp2 # curl --http3 https://facebook.com/ curl --http3 https://www.facebook.com/ -v -s -o /dev/null * Trying 31.13.82.36:443... * Connect socket 3 over QUIC to 31.13.82.36:443 * QUIC handshake is compl
アップデートの必要性 必要か必要でないかで言うとWordPressのアップデートは、必要です。 長い間、放置すると自サイトの維持が難しくなるかもしれません。 厳密に言うと自動でアップデートする場合とそうでない場合とがあります。 上記の記事の中でも書きましたが、wp-config.phpをカスタマイズしていない限り設計上、マイナーアップデートの場合は自動的にアップデートされます。 したがって今回は、マイナーアップデートなのでされているかもしれません。 ただメジャーアップデートは、手動でのみアップデートが可能です。 アップデートではバグの解消だけでなくセキュリティの更新や機能の追加などです。 それにともなってテーマやプラグインのアップデートがあるのです。 それと別にサーバーによっては PHPのアップデートがある場合もあります。 そういった場合に2年や3年放置しているとサイト事態のデザインなども
このブログではお久しぶりです。azaraです。 近況の報告などは別の記事で書くとして、本記事はIPFactory Advent Calendar 2020の17日目の記事です。IPFactoryに関してはこちらをご覧ください。 注意喚起 本ブログの内容はセキュリティに関する知見を広く共有する目的で執筆されており、脆弱性の悪用などの攻撃行為を推奨するものではありません。許可なくプロダクトに攻撃を加えると犯罪になる可能性があります。筆者が記載する情報を参照・模倣して行われた行為に関して筆者は一切責任を負いません。 また、該当製品は常に今回する脆弱性への修正を行っているため、影響を確かめながらアップデートを行うことを強くお勧めします。 JVN#56450373 GROWI における複数の脆弱性 / JVN#94169589 GROWI における複数の脆弱性 注意喚起 今回採番されたCVE 脆弱性
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
対策できてる？ Webアプリの「アップロード機能」に潜む、見落としがちなワナの数々
Netflix (ネットフリックス) 日本 - 大好きな映画やドラマを楽しもう!
VRChat向けマッチングサービス「sucrALrose(スクラロース)」でサイバー攻撃。何が起こった？ - Qiita
Jenkinsの脆弱性 CVE-2024-23897 についてまとめてみた - piyolog
AWS WAF ベーシックな設定について - Qiita
セキュアコーディングのeラーニング「KENRO」がPHPに対応。株式会社PR TIMESでの導入も決定
RubyやRubyのOSSの脆弱性を見つけた話の続き - ooooooo_qの日記
GoogleのNotebookLMで情報収集・勉強を効率化する - Qiita
alert() is dead, long live print()
世界各国の企業を荒らし回ったハッカー集団「REvil」のウェブサイトが政府機関に乗っ取られてオフラインに
Offensive Security Web Expertになりました - ANDPAD Tech Blog
AWS WAFを導入する時に確認しておきたいこと | DevelopersIO
JVNTA#96129397: Web Rehosting サービスにおいて複数ウェブサイトに跨ったコンテンツの改ざん・盗聴等が行われる問題
WordPressコアに複数の脆弱性、XSSほか中程度の脅威 | ScanNetSecurity
ドメインやサブドメインを調査する話（後編） | 技術者ブログ | 三井物産セキュアディレクション株式会社
200万超のWordPressサイトが影響を受ける脆弱性に注意、機密情報窃取の恐れ
就職することになりまして - はいばらのブログ
nghttp3を使ってcurlでHTTP/3通信する - Qiita
『WordPress 5.5.2 アップデート』
脆弱性を報告して初めて採番されたCVEの解説と注意喚起 - 未熟なエンジニア