Entries from 2009-01-01 to 1 year

セキュア開発にも仕分けが必要だ

間際の案内で恐縮ですが、今週の木曜と金曜に、ほぼ同じテーマで講演します。いずれも無料です。2009年12月4日(金) 「これからのWebアプリケーションセキュリティ」セミナー 日本アイ・ビー・エム株式会社 本社事業所(箱崎)2009年12月3日(木)セキュア…

XMLHttpRequestから送られてくるHTTPリクエストヘッダ

以下のようになります。CGIでHTTP_で始まる環境変数を列挙したものです。 HTTP_USER_AGENT=DoCoMo/2.0 P07A3(c500;TB;W24H15) HTTP_COOKIE=≪Cookie値≫ HTTP_X_UE_VERSION=1 HTTP_HOST=≪ホスト名≫これは、通常のリクエストと全く同じで、XMLHttpRequestを区別…

P-07AでもJavaScriptが再開され、あらたな制限がみつかった

i-mode2.0は前途多難 - ockeghem(徳丸浩)の日記にて報告したように、ドコモのiモードブラウザ2.0のJavaScript機能が5/28に停止されていたが、本日ケータイアップデートが準備されたので、深夜3時まで待たずに即座にアップデートを実行した。そして、JavaScri…

pg_sleepをSQLインジェクション検査に応用する

SQLインジェクションの進化形として、ブラインドSQLインジェクションという手法があります。通常のSQLインジェクションは、検索結果表示やエラー表示のところに、アプリケーションの想定とは別のテーブル・列の値を表示するものですが、ブラインドSQLインジ…

ケータイWebセキュリティとWAFのセミナーにて講演します

間際の案内になってしまいましたが、今週の木曜日から12月にかけて、KCCS東京支社(東京港区、最寄り駅は泉岳寺)にて、ケータイWebセキュリティとWAFのテーマで、何回かセミナーをすることになりました。 第一回は、10月29日(木)15:00〜16:30 「WAF導入コ…

「UnicodeによるXSSとSQLインジェクションの可能性」プレゼン資料

だいぶ間があいてしまいましたが、本年1月31日に開催された、第04回まっちゃ445勉強会目覚まし勉強会におけるライトニングトークの資料を公開します。UnicodeによるXSSとSQLインジェクションの可能性View more presentations from ockeghem.

Google Suggestの候補

流行っている(?)ようなのでやってみた

携帯電話向けWebアプリのセッション管理はどうなっているか

最近購入したPHP×携帯サイト 実践アプリケーション集を読んでいて妙な感じがしたので、この感覚はなんだろうと思っていたら、その理由に気づいた。本書に出てくるアプリケーションは、PHPのセッション管理機構を使っていないのだ。そんな馬鹿なと思ったが、…

PHP逆引きレシピは概ね良いが、SQLインジェクションに関しては残念なことに

404方面でも絶賛されていたPHP逆引きレシピを購入した。本書はとても丁寧な仕事で素晴らしいと思ったが、セキュリティに関しては若干残念な思いをしたので、それを書こうと思う。 目次は以下のようになっている。 第1章 準備 第2章 PHPの基本構文 第3章 PHP…

i-mode2.0は前途多難

既に発表されているように、NTTドコモの夏モデルからi-modeの仕様が大幅に拡張され、JavaScript、Cookie、Refererに対応するようになった。これら仕様変更はセキュリティの面からも影響が大きいため、私は夏モデルの中から、P-07Aを発売開始日(5月22日)に購…

PHPのSession Adoptionは重大な脅威ではない

なぜPHPアプリにセキュリティホールが多いのか?:第25回 PHPのアキレス腱にて、大垣靖男氏がPHPのSession Adoption問題について取り上げている。大垣氏は度々この問題を取り上げているが、今のところ氏の主張に同調する人を見かけない。それもそのはずで、大…

Google様がやってくださいました

オブジェクト指向プログラム言語としてのJavaScriptのログからたまたま見かけました。 本物はこちら うわぁ、なんかすごく立派なコンテンツみたいだけど、古いだけがとりえのサイトなんですぅ。ごめんなさい。ごめんなさい。 分かりやすいという感想を持って…

正規表現で「制御文字以外」のチェック

一般に、セキュアコーディングの基本として入力値の検証(Validation)をせよということになっていますが、これが変な方向に行くといわゆる「サニタイズ」のような手法になってしまいます。以前も指摘したように、アプリケーションとしてのValidationは仕様…

SQLインジェクション攻撃はDB上の任意データを盗み出す

前回に引き続き、Think IT上の連載「SQLインジェクション大全」の第4回:ケース別、攻撃の手口を読んで感じたことを書きたい。 まず、この記事は以下のような書き出しから始まっている。 本記事は、システムを防御するにはまず敵を知らなければならない、と…

続:SQLのバインド機構は「エスケープ処理された値」をはめ込むのか

前回のエントリSQLのバインド機構は「エスケープ処理された値」をはめ込むのか - ockeghem(徳丸浩)の日記に対応して、mi1kmanさんのブクマ経由で、訂正が出ていることを知った。 訂正内容 1ページ目を下記のように変更いたしました(2個所)。バインド値はエ…

SQLのバインド機構は「エスケープ処理された値」をはめ込むのか

以前このブログでも取り上げたことのある神戸デジタル・ラボの近藤伸明氏がThink IT上で「SQLインジェクション大全」という連載を執筆しておられる。その第三回「SQLインジェクションの対策」を読んで以下の部分が引っかかった。 バインド機構とは、あらかじ…

書籍『Ajaxセキュリティ』に関する残念なお知らせ

昨年の10月に刊行された書籍Ajaxセキュリティは,発刊直後に購入したが,しばらく積ん読になっていた。最近になって読み始めたのだが,いささかあきれる結果となった。HPの現役エンジニア2名の著作,一人は元SPI Dynamics社(WebInspectの開発元,HPが買収)出…

とくまるひろしのSession Fixation攻撃入門

やぁ、みんな,元気?とくまるひろしです。今日はSession Fixation攻撃の方法をこっそり教えちゃうよ。 いつもは防御側で漢字の名前でやってるんだけど,きょうは攻撃側ということで,名乗りもひらがなに変えたんだ。だってさ,今度デブサミでご一緒するはせ…

「なぜPHPアプリにセキュリティホールが多いのか?」のセキュリティホール

大垣靖男さんの連載から第21回 文字エンコーディングとセキュリティ(3):なぜPHPアプリにセキュリティホールが多いのか?|gihyo.jp … 技術評論社 一見この動作は無害のように思えるかもしれませんが,ブラウザなど,“\”がエスケープ文字になっているシステ…