[B! security] yharaのブックマーク

yhara id:yhara

securityに関するyharaのブックマーク (6)

kusuwada on Twitter: "最近 "The Lord of the SQLI" というサイトでSQL injectionの問題解いてる。全49問。まだ半分くらいなんだけど、とてもよい。問題がシンプルでわかりやすいし、だんだんレベルアップ or 手法が変わって… https://t.co/FZLzoxJISz"
最近 "The Lord of the SQLI" というサイトでSQL injectionの問題解いてる。全49問。まだ半分くらいなんだけど、とてもよい。問題がシンプルでわかりやすいし、だんだんレベルアップ or 手法が変わって… https://t.co/FZLzoxJISz
yhara 2020/08/08
sql

security
リンク
徳丸浩 on Twitter: "パスワードにマルチバイト文字を許容しない理由は、type=passwordな入力欄ではIMEが有効にならずマルチバイト文字の入力が難しい、仮にIMEが有効でも入力文字列が見えるのでショルダーハッキングされやすい、これらによるトラブ… https://t.co/nCQNndhzRM"
パスワードにマルチバイト文字を許容しない理由は、type=passwordな入力欄ではIMEが有効にならずマルチバイト文字の入力が難しい、仮にIMEが有効でも入力文字列が見えるのでショルダーハッキングされやすい、これらによるトラブ… https://t.co/nCQNndhzRM
yhara 2018/08/28
security
リンク
はじめてのにき(2011-02-27)
_ XSSI そういえば XSSI という攻撃があることを知った。 web サイトのオーナーができる種類の攻撃で、 cookie つきな JSON でなんかやってるサイトだと、その JSON を全く関係ない web サイトを <script> で読み込むことによってデータを盗める、と。しくみとしては JSONP 的なのを逆に攻撃に使えるっていうまぁ当たり前の話ではあるけど、なるほどなと。対策としては )]}' みたいな文字で JSON のレスポンスを開始して、自分の JS 内ではこれを読み飛ばしてやればいいらしい。他には POST しか受けないようにしちゃうとか、 XSRF 同様予想不能な ID とかを URL に含めるとかもいいらしい。 http://code.google.com/p/browsersec/wiki/Part2#Navigation_and_content
yhara 2011/07/26
XSSI

security
リンク
きまぐれ日記: sudo のGUIダイアログはセキュリティ的に大丈夫なのか?
UbuntuやMac OSXを使っていると、権限の高いオペレーションを実行しようとしたときに、ユーザのパスワードを要求するダイアログが起動します。毎回ハイハイと思いつつ入力しているのですが、ふと考えるとこのセキュリティモデルというかユーザビリティー的に大丈夫なのかどうかと思うようになりました。例えば、インストーラーでダミーのパスワードダイアログを表示させればマルウェア作者はユーザのパスワードを取り放題だし、OSのファイル保存ダイアログをクラックして、適当なファイル保存のタイミングで同ダイアログを出せば、無知なユーザはホイホイパスワードを入力してしまうのではないでしょうか。Webサイトのフィッシングと全く同じ話です。このダイアログはそもそも CUIプログラム sudo のラッパーにすぎません。しかし、話はそんなに単純ではありません。CUIの場合は、ほとんどの操作が「能動的」なために、su
yhara 2009/09/28
security

sudo

gui
リンク
"OpenID: Single Sign-On for the Internet" を読んだ (1) - 日向夏特殊応援部隊
BlackHat USA (2007) で Eugene Tsyrklevich さんと Vlad Tsyrklevich さんがプレゼンした資料がオンラインで見れます。 OpenID: Single Sign-On for the Internet (PDF) で既に日本語でも紹介記事があります。自分でも読んでみたので、逐一解説してみたり考えを書いてみたいと思います。幾つかあるんで一個ずつピックアップしていきます。 Downloading an OpenID URL 通常 RP では OpenID を使った認証を提供する際に、ユーザー向けに何らかのフォームを用意します。ここは本来、そのユーザーが所有する Claimed Identifier あるいは OP Identifier を入力するべきフォームですが、そうではない文字列を入力した際に問題があるかもよと言う話です。まぁこれはパ
yhara 2008/06/17
openid

security
リンク
それ Unicode で
UTF-7 を使ってスクリプトを記述 +ADw-SCRIPT+AD4-alert(\'XSS\');+ADw-+AC8-SCRIPT+AD4- IE は、文字エンコーディングが不明で UTF-7 っぽい文字列があれば、自動判別で UTF-7 となる。
yhara 2006/12/13
security
リンク
1