[B! security] lets_skepticのブックマーク

ASP.NETのセッション固定対策 - 2010-04-24 - T.Teradaの日記

本日は、ASP.NETでログイン機能をつくる際のセッション固定対策について書きます。ログイン状態の管理には、ASP.NETが提供するセッション機構（ASP.NET_SessionId Cookie）を使っているとします。 ASP.NETでのセッション再生成ログイン機能のセッション固定対策は、ログイン時に新たなセッションを開始することです。既存のセッションがなければ新たにセッションを開始し、既存のセッションがあるならばそのセッションは再生成されなければなりません。しかし、ASP.NETはセッションを再生成する方法を提供していません。それはJavaも同じなのですが、TomcatだとHttpSession#invalidateでセッションを無効化することで、セッションを再生成することができます*1。 ASP.NETでも普通に考えると、Session.Abandonという同等のメソッドを利

lets_skeptic 2010/04/27

リンク

Googleが作ったWebセキュリティ・ツール「ratproxy」

2008年7月，米グーグルは同社が開発したWebアプリケーションのぜい弱性検出ツール「ratproxy」をオープンソースとして公開した。検索サイト最大手の同社は，攻撃を受けることも多い。Google Appsをはじめ，代表的なWeb 2.0系アプリケーション開発の先駆者でもある同社が開発したツールの威力はどれほどのものか。ぜい弱性検査の専門家が探った。 “受動的”な検出ツール，Web 2.0系のぜい弱性に強み検出できるぜい弱性は42種類，SQLインジェクションは苦手 Content-TypeなどでXSSの危険度をチェック JavaScriptスクリプトに潜むXSSのぜい弱性も検出 JavaScript Hijack/JSON Hijackのぜい弱性

lets_skeptic 2008/09/09

security

リンク

フリーで使えるセキュリティスキャナ・ツールまとめ

これで、インストールしたマシンの8080番ポートをプロキシとして指定して、チェックしたいサイトをブラウジングするだけです。絶対に自分で管理していないサイトに対して実行しないでください。こうしてできた、hoge.log を同梱のratproxy-report.shで解析すれば、レポートがHTMLとして出力されます。レポートのHTMLもスクリーンショットも公開されています。その他のプロキシ型スキャナその他にもプロキシ型のスキャナは色々とあるのですが、RatProxyのドキュメントページに自分が調べたものは大体記述されていました。なので、簡単に触れるにとどめておきます。 1. WebScarab 2. Paros 3. Burp 4. ProxMon 5. Pantera 6. Chorizo! それぞれのプログラムについて、検索すれば使い方はわりと簡単にわかると思います。また、Pro

lets_skeptic 2008/07/07

リンク

セッションを使ったフォーム処理にありがちな問題点 - T.Teradaの日記

入力画面が複数に渡るフォームで、ユーザが各画面で入力したデータを、hiddenによって引き回すのではなく、セッション変数（セッションIDにヒモ付いてサーバ側に格納される情報）に一時保存するタイプのWebアプリケーションが増えているように思います。フォーム処理でセッションが使われるのは、「実装をシンプルにしたい」「携帯サイトなどで通信量を減らしたい」といった理由のほかに、「アプリケーションをセキュアにしたい（hiddenだと改竄される）」という理由があるのではないかと思います。しかし、セキュリティ上の問題は、セッションを使ったフォーム処理においてもしばしば見つかります。以下では、セッションを使ったフォーム処理で、割と多く見つかる問題について書きます。画面遷移の不正ある会員制サイトの、会員登録フォームを会話風に書いてみます。会員登録の際には、氏名、生年月日、住所の3つを登録します。