■ ログイン成功時のリダイレクト先として任意サイトの指定が可能であってはいけない これが「脆弱性」として合意されるかどうかわからなかったが、脅威と対策をまとめてIPAに届け出てみたところ、受理され、当該サイト（複数）は修正された。以下、この問題がどういうもので、どうするべきなのか、はてなのケースを例に書いておく。 4月にこんな話が盛り上がりを見せていた。*1 ソーシャルブックマークユーザーのIDとPASSをいとも簡単に抜き取る手口, ホームページを作る人のネタ帳, 2007年4月6日 Ｂボタンフィッシングとは何？ 記事の最後には私のブログでもおなじみの、はてなブックマークへ追加ボタンや、バザールのブックマークボタン（Ｂボタン）を設置しているブログを最近良く見かける。何気なく私はそれを利用したりしている。（略）『あれ？セッションがきれたのかな』と思い、自分のIDとパスワードを入れてログイン。
新米と秋刀魚のわた焼き お刺身用の秋刀魚を買いました。1尾250円です 3枚におろして、秋刀魚のわたに酒、味醂、醤油で調味して1時間ほど漬け込み、グリルで焼きました 秋刀魚のわた焼き わたの、苦味が程よくマイルドに調味され、クセになる味わいです 艶やかな新米と一緒に 自家製お漬物 土…
More than 5,000 companies count on our digital courses and more to guide their teams through the tools and technologies that drive business outcomes. We can help yours too. New AI policy for O’Reilly authors and talent O’Reilly president Laura Baldwin shares the company’s ethical approach to leveraging GenAI tools and ensuring O’Reilly experts are compensated for their work. See it now It’s time t
製造現場での作業安全確保では，人の検出のために 異なるアーキテクチャ(センサ入力の判定)で3重化して 投票させて，解が3つ同じじゃないと停止するなんての が稼動しています． でも大量のデータが流れる現場で実装するのはハードも ソフトも連携が大変そうです．．．
client address : %a client hostname : %n client username : %u client info : %c server address : %A server hostname : %N server process : %d server info : %s 辞書攻撃の対策として非常に有効です。 hosts.allow sshd : ALL : spawn ( /usr/local/bin/block_ssh_attack.sh %a 5 ) : allow /usr/local/bin/block_ssh_attack.sh #!/bin/sh # arg1 : ip addr ( can be given by tcpd ) # arg2 : suspend time in minutes export NUMLOGBACK=30
techstrom 曰く、 "北海道江別市の中学校に通う中学生が、自分が通っている学校の校内ネットワークから成績などの情報を不正に取り出し、学校側に管理の甘さを指摘していたということが、北海道新聞や朝日新聞、その他で報道されています。その中学生は学校公務用コンピュータの校長のアカウントに「パスワードとして校長の名前」を利用して侵入、取り出したデータを印刷して教頭に提示し、「管理が甘い」と指摘したそうです。 生徒が取りだしたデータについては生徒のパソコンをチェックしてデータ流出が無いことは確認したそうですが、「流出が無い」などというチェックは簡単ではないでしょう。別途専門家に調査を依頼したのでしょうか。 朝日新聞では、『西脇校長は「学校のネットワークの管理や、私の情報管理が不十分だった。責任を痛感している。今後、情報の取り扱いなどについて厳しく指導していく」としている。』とありますが、北海道
というあたりで、「セッション管理で使われるCookieの値」が一時的なセッション ID ではない、という話なのでしょう。 通常のセッションハイジャックの場合、ターゲットがログアウトしてしまえばサーバ側で Cookie が無効になります。すると攻撃者に盗まれた Cookie も無効になり、それは二度と有効になりませんので、攻撃者が再度ログインしたい場合は盗聴なり攻撃なりをもう一度成功させなければなりません。が、Cookie が恒久的に使えれば攻撃者もその Cookie を恒久的に使えるわけでして、一度でも盗聴されたらそれでアウトになってしまうという事ですね。 パケット盗聴等で Cookie を盗まれなければ問題ないはずですが、たとえて言うならページアクセスのたびに「SSL 保護無しでパスワードを送る」という行為をしているのと同じような感じでしょうか。非 SSL で Basic 認証を使ってい
いやぁ、それは今までの仕様でしょ。 どこぞの権威から突っ込まれて、晴れて脆弱性扱いになりましたってとこか。 ある種、はまちちゃん騒動と通じるものがありますな。 Movable Typeで第三者の不正アクセスを許可してしまう脆弱性 今回発見された脆弱性は、第三者がCookieの値を取得し、Movable Type管理画面CGIスクリプトのパスを取得した場合に不正なアクセスが可能になるというもの。 いやね、確かにMTの管理画面仕様はメジャーなのでパスがすく推測できるから正直、不安だったですよ。 脆弱性対策としてCGIスクリプトのパスを変更する、使用ブラウザのCookie保持期間を限定する １．デフォルトテンプレートについてる検索機能の送信先は、管理画面と同じパス。だから、パス変えても無駄。テンプレートから検索機能は最低限消せ。 ２．使用ブラウザのCookie保持期間で解決できるなら、毎回ログア
2005-04-20 mixiにCSRF脆弱性「ぼくはまちちゃん！」トラップ mixi 昨日書いた「まちちゃん！」トラップがバージョンアップ（ver 3.0）したもよお。以前のは日記を書き込むためのCGIへの引数付きのリンクがそのまま貼ってあったんだけど、今回はサイトを経由させるようになってて手が凝っているもよお。mixiの対策としてはリ… 2005-04-20 え？「はまち」ちゃんなの？ mixi はまちちゃん関連で思ったこと - おれはおまえのパパじゃない“I am MACHI-CHANG”なのかと思ってたっす。あと「【日刊】mixiニュース」というコミュニティで“「ぼくはまちちゃん」ウイルス”というタイトルのトピックが立ってて、それはまあまだいいんだけど、… 2005-04-20 はまちちゃん関連 mixi 恐がりさん経由でやじうまWatchからたくさん人がくるよう怖いようとか震えて
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
