2025年1月23日(木) 18:30時点 当社への不正アクセスにより、みなさまに多大なるご心配とご迷惑をおかけしていますことを、深くお詫び申し上げます。 2025年1月23日(木)18時時点で一部のサービスがご利用いただけない状況が続いております。 引き続き全容解明と復旧に努めてまいります。 ・サンリオピューロランド公式ホームページ内のマイページ機能 ・来場予約の取得 ・公式eパスポートチケットの購入 ・株式会社サンリオエンターテイメント コーポレートサイト 2025年1月24日(金)〜1月31日(金)のご来場・ご利用について追加のお知らせとご協力のお願いを申し上げます。 ●2025年1月31日（金）までにご来場を予定しているお客様へ 現在、新規の来場予約が取得できない状況が続いており、お客様にはご迷惑をおかけしており、大変申し訳ございません。 重ねてのお伝えとはなりますが、誠に勝手なが
15歳の高校3年生という「ダニエル」氏が、Signal、Discord、X(旧Twitter)など一般的に使用されている幅広いツールを使用してターゲットに気付かれることなくおおよその位置情報を知ることができる攻撃手法を開発したと発表しました。 Unique 0-click deanonymization attack targeting Signal, Discord and hundreds of platform · GitHub https://gist.github.com/hackermondev/45a3cdfa52246f1d1201c1e8cdef6117 ダニエル氏の攻撃手法はCloudflareのCDNサービスでのキャッシュの仕組みを活用しているとのこと。Cloudflareで配信されるリソースにユーザーがアクセスした際、Cloudflareはユーザーを最寄りのデータセ
パスワードを作るとき、「複雑にした自分のパスワードは絶対に安全だ」と思い込むのは危険です。 サイトがやたらと細かく、大文字・小文字、数字や記号の組み合わせを使うように求めてきた場合も同様です。こうしたルールに従うことが、パスワードを脆弱にしている可能性があります。 パスワードの組み合わせは約6600兆個。でも…米Webroot社の上級セキュリティアナリスト、Randy Abrams氏が、簡単なテストをいくつか行ないました。大文字と小文字、数字、記号を含む8文字で作成できるパスワードをすべて数えたのです。その組み合わせは95の8乗通りで、計算すると6,634,204,312,890,625個、つまり約6600兆個になりました。 たとえば、誰かがあなたのパスワードをよくある総当たり攻撃（ブルートフォース攻撃）で解読しようとしているとしましょう。 1秒間に310億個のパスワードを試せるとします。
Intro Chrome チームより提案された Device Bound Session Credentials の実装が進み、Flag 付きで試すことができる。 この提案の背景と、解決する問題、現時点での挙動について解説する。 背景 2FA や Passkey の普及により、認証部分はかなりセキュアになってきた。インシデントによりパスワードが漏洩しても、それだけでなりすましを成立させるのも困難になっている。 そこで攻撃者の注目を集めているのが、Cookie の窃取(Cookie Theft)だ。 認証がいかに堅牢になっても、有効な Session Cookie を盗むことができれば、その値を Cookie フィールドに付与してリクエストするだけで、なりすましを成立させることができる。 いわゆる Session Cookie は、Proof of Authentication として実装さ
報道等でご承知のとおり、国内にてLinkedInを初期感染経路とする不正アクセスが確認されています。 警察庁：北朝鮮を背景とするサイバー攻撃グループ TraderTraitor による暗号資産関連事業者を標的としたサイバー攻撃について https://www.npa.go.jp/bureau/cyber/pdf/020241224_pa.pdf（PDF） このLinkedInを悪用した攻撃は、主に攻撃グループLazarusが使用するもので、JPCERT/CCでは2019年ごろから国内の組織に対するLinkedInを悪用した攻撃を継続的に確認しています。過去のインシデント事例の教訓として、業務で使用するホスト上でLinkedInを使用する行為は非常に危険であり、特別な理由がない限り、避けるべき行為であると考えます。このような被害を低減するために、業務端末でのSNSの使用を制限（SNSアプリの
<?php $url = "https://example.tld/" . $_GET['path'] . ".txt"; system("wget.exe -q " . escapeshellarg($url)); You can have a quick try on your own. The PHP code uses a secure way to spawn the command. Looks a bit hard, right? Well, today, we would like to present a new technique to break through it! Outline Outline Decoding the Windows Encodings The Early Days: ANSI and Code Pages The Unicode Era:
About Portspoof The Portspoof program primary goal is to enhance your systems security through a set of new camouflage techniques. As a result of applying them your attackers' port scan result will become entirely mangled and to very significant extent meaningless. Techniques used to achieve this: All configured TCP ports are always open Instead of informing an attacker that a particular port is i
LavaMoat is a set of tools for securing JavaScript projects against a category of attacks called software supply chain attacks. This genre of attack occurs when a malicious dependency makes its way into a developer's application. An attacker could use the dependency to then steal important secrets (like credit card numbers, private keys, or data) or make the application vulnerable to a range of ot
この記事はとあるサークルのOB/OGが行っているN代アドベントカレンダー2024の24日目です。 はじめに インターネットで拾った野良コードをよく考えずに実行してはいけないという話は皆さん耳タコだと思います。今日びそんな野蛮なことをする人はいないでしょうが、世の中には実行しなくてもエディタに貼り付けただけで悪さをしだすコードもあります。 本題 以下のコードをVSCodeなりRustRoverなり、お好きなエディタに貼り付けてみてください。 ......いや、やっぱり貼り付けないでください。 #![allow(dead_code)] fn main() { println!("Hello, world!"); } type T1<T> = (T, T, T, T); type T2<T> = T1<T1<T1<T1<T>>>>; type T3<T> = T2<T2<T2<T2<T>>>>;
J-kun @ CEO of Gibberish Lab Ltd. @j_kun_ml Indie Hacker / Solopreneur / ML Engineer / 🎨SketchMe.App: Create your custom PFP / 副業で一人法人 / 個人アプリ開発 / 元米国シリコンバレー駐在 / 東大卒 J-kun @ CEO of Gibberish Lab Ltd. @j_kun_ml アメリカのスタートアップから「時給$85でフルタイム、完全リモートfrom日本」 という最高の条件を提示してきたけど、過去の失敗からかなり慎重になってる、、国跨ぐ以上は業務委託だし1ヶ月で仕事を失う覚悟で行くしかない、、。 休職制度とかあれば使ってやってみようかな、、。 2024-10-11 10:08:28
過激なタイトルですみません。 Cloudflare Turnstile (Cloudflare の CAPTHCA のようなもの)、または Cloudflare の Under Attack Mode を 学校向けアプリに使わない方がいい理由を紹介します。 使ってしまうと、もしかしたら大量のユーザーを失うかもしれません。 学校のフィルタリングとの相性 あなたが Cloudflare を用いてサイトを公開するとき、ユーザー A,B,C は以下のようにアクセスします。いたってシンプルですね。 学校のフィルタリングは、ほとんどの場合、プロキシを用いて一箇所にリクエストをあつめて、そこでブラックリストと照らし合わせてブロックします。 要するに、生徒のリクエストを仲介するのです。図に表すと以下のようになります: ユーザー A,B,C のリクエストを全て同じプロキシを通じて Cloudflare にリ
Intro このエントリは、2023 年の 3rd Party Cookie Advent Calendar の 30 日目である。 3rd Party Cookie のカレンダー | Advent Calendar 2023 - Qiita https://qiita.com/advent-calendar/2023/3rd-party-cookie このアドベントカレンダーを開始した 2023 年末の時点では、2024 年(つまり今年)の年始に Chrome による 1% Deprecate が始まり、2024 年をかけてその範囲を広げ、今頃は Post 3rd Party Cookie の世界が訪れている見通しだった。 しかし、その予定は大きく変更され、これからどうなるのかも不透明だ。 つまり、この話は 2025 年も継続することになってしまったため、2024 年の現状を一旦まとめて
みなさん、こんにちは。m（@the_art_of_nerd）です。 今回は私がWebサーバーをフォレンジック調査を担当した際に発見した、任意の拡張子からPHPを実行する方法について紹介します。 背景 Webサーバーが攻撃者によって侵害されたという事案で、フォレンジック調査を実施した際に発見したテクニックです。（正規の仕様を悪用） Webサーバーの侵害のため、WebShellの設置を疑い、まず拡張子ベースで不審なファイル（改ざん・作成）が存在しないか調査していたところ、いくつか不審なファイルは発見されましたが、どうしてもWebShellのような機能を有するファイルだけ見つかりませんでした。 そこで、拡張子で見ていく調査から各ディレクトリごとに気になるファイルが存在しないかの調査に切り替えたところ、1つだけ明らかにWebサーバーのコンテンツとして違和感のある"ファイル名"が付けられたCSSファ
社会人生活の半分をフリーランス、半分をIIJで過ごすエンジニア。元々はアプリケーション屋だったはずが、クラウドと出会ったばかりに半身をインフラ屋に売り渡す羽目に。現在はコンテナ技術に傾倒中だが語りだすと長いので割愛。タグをつけるならコンテナ、クラウド、ロードバイク、うどん。 【IIJ 2024 TECHアドベントカレンダー 12/6の記事です】 今年のIIJアドベントカレンダーは「運用」がテーマということなので、運用に欠かせない必携ツール筆頭であるSSHを取り上げ、SSHの秘密鍵を安全に管理する方法について考えたいと思います。 たとえSSH秘密鍵が漏洩しても、安全を確保する方法 踏み台サーバにSSH秘密鍵を置かずに利用する方法 SSH秘密鍵の安全な置き場所を考える SSH秘密鍵は一般的に ~/.sshにファイルとして管理されていると思いますが、不安に感じることはありませんか？ ノートPCに
この記事の3つのポイント 世直しを目的に法を犯すホワイトハッカーたちがいる 児童買春サイトや詐欺集団にサイバー攻撃を仕掛ける 悪の退治に一役買っており道義的ジレンマを突きつける ハリウッドの西部劇では悪党らに黒いカウボーイハットを、善玉の主人公には白いカウボーイハットをかぶらせることが、古典的な演出技法である。転じて米国ではサイバー攻撃などの違法行為に手を染めるハッカーを「ブラックハットハッカー」と呼ぶ。 一方でハッキングの能力を生かし、ブラックハットハッカーから企業や個人を守っている善玉の情報セキュリティー専門家を「ホワイトハットハッカー」という。日本では単に「ホワイトハッカー」や「ブラックハッカー」と呼ぶことが多い。 分類が難しいのが、ホワイトハッカーを自称しながら、大義を掲げて違法行為に手を染める者たちだ。 毒をもって毒を制す 「私は長年ホワイトハットとして活動してきた。けれども、こ
ソフトウェアエンジニアのダニエル・マンガム氏が、Blueskyのサーバー＆ドメインを使用してウェブサイトをホストする方法を開発し、ブログ記事にまとめました。 This Website is Hosted on Bluesky https://porcini.us-east.host.bsky.network/xrpc/com.atproto.sync.getBlob?did=did:plc:j22nebhg6aek3kt2mex5ng7e&cid=bafkreic5fmelmhqoqxfjz2siw5ey43ixwlzg5gvv2pkkz7o25ikepv4zeq This Website is Hosted on Bluesky · Daniel Mangum https://danielmangum.com/posts/this-website-is-hosted-on-bluesky
Windows 10（ないし、Windows 11などのそれより新しいバージョン）を家庭や小規模の事務所で使っているような場合には、アンチウイルスソフトは Windows に同梱されている Windows Defender（※補足下記）で十分であり、別個にウイルス対策ソフトを買うのは無駄であるばかりか害悪になる可能性が高いというのは常識になっていると思っていました。 補足: Windows 10 May 2020 Update 以降、ソフトウェアの名称は Microsoft Defender に変わったようですが、この記事の名称はそのままにします。 ところが最近、一般の方がその情報を意外と知らない事がわかりましたので、Windows Defender で十分という主張の根拠として使える情報源と、その主張の概要をリストしておきます。 You Don’t Need to Buy Antivir
こんにちは、普段はプロダクトマネージャをしつつエンジニア界隈にも首を突っ込んでいるku-sukeです。最近では個人や少人数チームでアプリやサービスを使ってリリースする人も増えましたね！その中でも「いままでは個人向けにサービスを作ってきたけど、法人のひとから問い合わせが来た」とか「B2Bって取引金額が大きそうだから興味がある」あとは自分で運営していなくても「B2BのSaaS企業に転職したけどB2Bわからん」という声をちらほら目にしたので、自分が知っている範囲でまとめようと思います。 🔰はじめに。B2Bってなんなん 個人開発者の人からするとこの時点で違和感があるかもですが、Business to Businessつまり事業者間取引のことです。個人の方もビジネスをしている以上は個人事業主ですので立派な事業者です。 これと対比して、個人消費者向けにビジネスする、あるいは広告など個人が使用すること
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
