無料で使えるSQLインジェクション対策スキャナ トップ１５(ホームページを作る人のネタ帳)フリーの SQLインジェクション スキャナー トップ15(うさぎ文学日記) なにやら、SQLインジェクションをスキャンしてくれるツールがあるようです。 SQLIer Sqlbftools SQL Injection Brute-forcer (.tar.gz) SQLBrute (.py) BobCat sqlmap: a blind SQL injection tool Absinthe :: Automated Blind SQL Injection SQL Injection Pentesting Too...
添付ファイルの指定例： files="c:\temp\aa.txt|abc.txt" ' 別名指定 files="c:\temp\aa.txt||application/octet-stream" ' Content-type 指定 files="c:\temp\aa.txt|abc.txt|application/octet-stream" ' 別名+Content-type 指定 例： svname = "c:\mailqueue" ' メールキューのフォルダ名 svname = "odyssey" ' SMTP サーバマシン名 svname = "host1.who.com/odyssey:25:60" ' ドメイン名 + SMTP サーバマシン名 ' + PORT + TIMEOUT mailto = "あのひとさん<xxxxx@xxxx.xxx>" ...
絨毯爆撃ブラウザという単語を目にしたのはこの記事が最初だった気がする。 このところはてなブックマークへの過度なアクセスがよく見られます。User-Agent などを見ていても特殊な bot などのものではなく、その多くが Internet Explorer や Firefox などの一般のブラウザのそれを名乗っています。 中には、目立たないようにそういった User-Agent を敢えて名乗っているリクエストもあり...
」というトラックバックを頂いた。訪れてみると、オープンソースプロジェクトとして開発されている、「SQS SourceEditor」と「SQS MarkReader」というJavaアプリケーションが、Java Web Startの仕組みで配布されていた*1。 配布されている「SQS SourceEditor」を起動しようとすると、図1の警告画面が現れる。 図1: オレオレ証明書で署名されたJavaアプリケーション 「このコードをインストールお...
『 SQLPowerInjectorisanapplicationcreatedin.Net1.1thathelpsthepenetrationtestertoinjectSQLcommandsonawebpage. 』
『 SQLInjection 』
CakePHPのモデルで検索条件を指定する場合は比較演算子に注意が必要です。 検索条件では↓な感じで条件値の他にSQLの比較演算子を入れることができます。 [php] findAll(array('id' => '> ' . $id)); $this->set('list', $list); } } ?> [/php] これを見ただけで分かる人はピンと来ますね。そう外部から送られてきた値に比較演算子が含まれていてもそれがそのままSQL文として動作してしまうわけです。 ...
『 複数のウェブサーバーで負荷分散しているような場合、デフォルトのファイルシステムを使う方法ではセッションはきちんと動作しない。そのときに使う。 』
『 Top15freeSQLInjectionScanners-Security-Hacks.com 』
（DVL）には、セキュアなLinuxディストリビューションであれば備えていては“いけない”あらゆる要素が取りそろえられている。DVLの開発陣は、セキュリティホールの原因となる穴だらけの旧式ソフトウェアを意図的に寄せ集めることで、外部からの攻撃に対して無防備極まるLinuxディストリビューションをわざわざ生み出したのだ。もっともこのディストリビューション、一般ユ...
PHP4.2.0(2003/05) から、register_globals の初期値が Off に変更されました。これにより、これまで稼動していたスクリプトや、書籍に記載されているサンプルコードが動かないといった現象に、戸惑った方もいらっしゃるのではないでしょうか。 セキュリティー強化の為このような変更がなされた訳ですが、入門者や初心者にとっては、PHPの都合に振り回されているように感じるばかり...
こんにちは satoです WEBサービスは作るよりも運用の方がコストがかかるとも言われています。 運用を極力自動化して、コストを減らしたいものです。 ここではウノウで使っているツール類を紹介したいと思います。 1) 疎通、生存監視 webの生存監視などは nagiosを使って監視しています。 nagiosには - いつ(土日を除く、10時～22時までの間で など) - どのタイミングで(N回連続で ,復...
『 日記、Webアプリケーションのセキュリティに関する記事へのリンク集などが参考になる 』
Java や C++ のような関数のオーバーロードができる言語では、プリペアードステートメントのプレースホルダが型をもつ必要はありません。しかし、Perl のように数値型と文字列型の区別がない言語で最善を期そうとすると、変数をバインドするタイミングで型を意識してコードを書かなければならず面倒です。 (参考: MySQL の高速化プチBK) だったら、printf のように、プリペア...
『 サーバー構築を中心に周辺情報を諸々。（080） 』
こんにちは！ やまもと＠テスト番長です。 先日マサトさんに教えてもらったのですが、 こんなウェブアプリケーション用のチェックシートがあるそうです。 SECGURU: Web Application Testing cheatsheet なかなか面白いので、軽く日本語にしてみました。（Special thanks to: ジュンヤさん） ※間違ってたらごめんなさい。 1. アプリケーション名とバージョン 2. コンポーネント名 3. 通信プロト...
はuserpwdプログラムのソースリストである。Perlで書かれたプログラムで，DBIインタフェース（注１）を使用してMySQL（注２）データベースへアクセスする。 5〜7行目では，コマンドライン引数からユーザ名，現在のパスワード，新しいパスワードをそれぞれ変数$user，$curpwd，$newpwdに受け取る。10行目はDBIインタフェースを使用してデータベースへ接続する（注３）。13〜14行目で受け...
最近PostgreSQL、MySQL両方にSJISエンコーディングを利用している際のエスケープ方法の問題を修正がリリースされています。この件は単純に「データベースシステムにセキュリティ上の脆弱性があった」と言う問題ではなく「アプリケーションの作り方を変える必要性」を提起した問題です。 PostgreSQL、MySQLの脆弱性は特にSJIS等、マルチバイト文字に\が含まれる文字エンコーディング...
『 BLOG（CMS）ツール「Nucleus」の使い方 』
から Download J2SE SDK を選択して Windows Offline Installation, Multi-language からj2sdk-1_4_2_09-windows-i586-p.exe をダウンロードしてダブルクリックで実行するだけ。JAVA_HOME 環境変数に C:\j2sdk1.4.2_09 を追加する。 Tomcat のインストールは jakarta-tomcat-5.0.30.exe をダウンロードしてダブルクリックで実行するだけ。CLASSPATH 環境変数に C:\Program Files\Apache Software Foundation\Tomcat 5.0\common\lib\servlet-api.jar と C:\Progra...
