ikepyonのお気楽な日々〜技術ネタ風味〜 このページをアンテナに追加 RSSフィード

気になった日々のニュースとメモのためのリンクと戯言のページ

To Do(というかやりたいこと。何時終わることやら)
-ITIL導入のための成熟度チェックシートみたいなの(あると便利だよね?)
-Hacknotes Web Security Portable Reference和訳(出版社募集中)
-Webアプリケーションセキュリティ検査ツールの改良(一応完成)
-Hacker HighSchoolの資料の日本語訳
-OSSTMMの日本語訳
-「燃えるセキュアプログラミング」若しくは「サルでも分かるセキュアプログラミング」とか書いてみたいなぁみたいな。

これだけはチェックしときなはれ!!受入れテスト用セキュリティチェックリスト公開中
Webアプリケーションセキュリティはてなぐるーぷ(テスト中やで)
SQL Injectionの仕組みと対策公開中
RSS feed meter for http://d.hatena.ne.jp/ikepyon/
Secure Coding に入ろう!! [MLの詳細]
メールアドレス
SKUF Meeting なかのひと

2007-10-31 無気力無感動無関心orz

トラックバック - http://d.hatena.ne.jp/ikepyon/20071031

2007-10-30 あてもない旅に出たい

[]平成19年度研究発表会 平成19年度研究発表会を含むブックマーク 平成19年度研究発表会のブックマークコメント

http://www.mod.go.jp/trdi/infomation/happyou/Program.pdf

セッションG4ちょっとのぞいてみたいかも

トラックバック - http://d.hatena.ne.jp/ikepyon/20071030

2007-10-29 AV2007参加したかったなぁ

[]Webアプリセキュリティ検査ツールとWebアプリテストツール Webアプリセキュリティ検査ツールとWebアプリテストツールを含むブックマーク Webアプリセキュリティ検査ツールとWebアプリテストツールのブックマークコメント

セキュリティ検査ツールもテストツールもやることは同じ(各パラメータテスト用のデータに書き換えて送信する)で、その判定方法が異なる(テストツールの場合は予想する結果が表示できるかどうか、検査ツールの場合は、システムエラーが出るとかalertが実行可能な形で含まれているとか)なので、テストツールの中にセキュリティ検査項目を入れてしまうのがいいかなぁとも思うんだよなぁ。

逆の方向性を今考えているのだけど、なかなかねぇorz

[]単体テストセキュリティ 単体テストとセキュリティを含むブックマーク 単体テストとセキュリティのブックマークコメント

単体テスト時にやらなきゃいけないテストってどんなものかねぇ?

多分クラスなり、関数なんかの機能によってやらなきゃいけないパターンって作れそうな気がする。

例えば、DBアクセスするクラスであれば、「'」を含むデータをメソッドの引数で渡してみて、SQLエラーが発生するかとか、ファイルアクセスする関数であれば、「../」を含むデータ引数で渡して任意のファイルアクセスできるかとか・・・・

そういった機能ごとにテストパターンを作るのって結構いいかもねぇ。

ちとTDDについて勉強してみるかな?

トラックバック - http://d.hatena.ne.jp/ikepyon/20071029

2007-10-25 もうだめか?

トラックバック - http://d.hatena.ne.jp/ikepyon/20071025

2007-10-24 今日は朝から汐留だった

トラックバック - http://d.hatena.ne.jp/ikepyon/20071024

2007-10-18 あかん、ネタが出てこない

[]XSSed XSSedを含むブックマーク XSSedのブックマークコメント

http://xssed.com/

こんなものがあったのか

[]ウェブセキュリティ最前線--問題の解決への道 ウェブセキュリティ最前線--問題の解決への道を含むブックマーク ウェブセキュリティ最前線--問題の解決への道のブックマークコメント

http://japan.zdnet.com/sp/feature/07secchallenge/story/0,3800078690,20353191,00.htm

団体の問題か?って気がしないでもないが・・・

トラックバック - http://d.hatena.ne.jp/ikepyon/20071018

2007-10-17 未だ調子悪い・・・

[]単体テスト時のセキュリティテスト 単体テスト時のセキュリティテストを含むブックマーク 単体テスト時のセキュリティテストのブックマークコメント

最近出てきているセキュリティテストテストケースは結合テスト時の奴なんだよねぇ。

単体テストテストケースサンプルみたいなのがあれば、単体テスト時にチェックできる&コード書くときに気をつける点が明確になる(反面サニタイズ脳が増える可能性もあるけど)ので、いいんじゃないかと思ったり。

なんとなくSQL Injectionとかコマンドインジェクションとかは単体テストテストケースサンプルが作れそうな気がする。この手の部分って関数化したり、クラス化したりしてるだろうし。

トラックバック - http://d.hatena.ne.jp/ikepyon/20071017

2007-10-15

頭痛頭痛いを含むブックマーク 頭痛いのブックマークコメント

萌えってわからないから、オタクじゃないですよぅ。

[]メタ文字 メタ文字を含むブックマーク メタ文字のブックマークコメント

某ツールでは、メタ文字が有害文字となってるんだよなあ。どうも、あちらの人って、危ないモノは排除って感じなので、文化の違いかなあとふと思った。頭が異体秋の夜

トラックバック - http://d.hatena.ne.jp/ikepyon/20071015

2007-10-12 なんかだるい気が

[]メタ文字たん メタ文字たんを含むブックマーク メタ文字たんのブックマークコメント

id:comikenさんにトラックバックされてしまったら、変な考えが出てしまったorz

<はうっかり者の姉で>はしっかり者の妹ってどう?<がうっかり後の人達(文字達)をタグの中に入れちゃうけど、妹の>が「お姉ちゃんは仕方がないなあ」とかいいながら、皆をタグから解放してあげるとかw

で、"と'は<>の従姉妹で、容姿端麗、頭脳明晰の姉妹なんだけど、二人そろって、天然ボケとか。

朝から何考えてるんだ、自分orz

メタ文字たん達は、あまりにドジすぎて、似非セキュリティコンサルタント君から、「排除しろ」といじめられちゃって、引きこもってしまって、みんなが困ると言う話になりそうだw

このネタって、元は、セキュリティ萌え萌えセキュリティを表現すればうけるかもという会社の人との会話から生まれたんだよねぇ。

(追記)

一日中、メタ文字ネタが頭の中を渦巻いているorz

なんかすごく、ダメ人間になっているorz

(追記の追記)

ほかにも「コードエスケープ 反逆のメタ文字」とか(もちろん元ネタコードギアス 反逆のルルーシュ - Wikipediaだけど)

[] Hackers Attack Apps While Still in Development  Hackers Attack Apps While Still in Developmentを含むブックマーク  Hackers Attack Apps While Still in Developmentのブックマークコメント

http://www.darkreading.com/document.asp?doc_id=136139&f_src=darkreading_section_296

後で読む。開発時の悪意あるコードの混入についてっぽい。サラミコードとか?

yamagata21yamagata21 2007/10/12 18:42 ちょw ikepyonさんがコワレタww >メタ文字たん

hanazukinhanazukin 2007/10/12 18:44 じゃぁ、とりあえず、電波ソング逝っとく?

ikepyonikepyon 2007/10/12 18:51 今日は一日メタ文字ネタが頭の中を渦巻いてましたorz
どんな電波ソングだろうw>ずきんさん

comikencomiken 2007/10/12 22:10 「セキュリティで萌えを表現すれば」って、逆じゃないんですか(涙

ikepyonikepyon 2007/10/12 22:36 あっ逆だったorz
大体、<と>が双子の姉妹で、どっちか一方がドジっ娘で、もう一方はしっかり者という設定は、隣になった人が言い出したんですよw

2007-10-11 朝寒かった〜

[]CVEのデータ CVEのデータを含むブックマーク CVEのデータのブックマークコメント

http://nvd.nist.gov/download.cfm

2002年からのCVEのデータXMLである。統計データ取るのによさげ。

[]メタ文字たん メタ文字たんを含むブックマーク メタ文字たんのブックマークコメント

と言うのを昨日カッとなったので考えてしまったorz今は反省している。

メタ文字たんは基本ドジっ娘と言うことにw

で、<と>は双子の姉妹らしいw

2007-10-10 パルナス、パルナス、モスクワの味

[]XSS対策 XSS対策を含むブックマーク XSS対策のブックマークコメント

まあじっくり考えんでも、スクリプトコードの中で入力データ使われてたら対策が面倒ですな。実際のところそういったケースってあるのかな?

某所にて、XSSとかの説明が似たり寄ったりで面白くないと言われたのでw、XSSの脅威のひとつの例として、暇ができたら、XSSを使ったSQLインジェクション検査ツールでも作ってみるかw

[][]Blind SQL Injectionのネタ Blind SQL Injectionのネタを含むブックマーク Blind SQL Injectionのネタのブックマークコメント

Blind SQL Injectionの攻撃例って条件式でSQL Injectionが発生するケースのものなんだよなぁ。InsertやUpdateの更新データとか、ストアドプロシジャの引数での例ってあんまり見ない気がする。実際問題どうやればよいかというと、やり方は想像つくんだけど、結構面倒だったりするしなぁ。

方法は多分こんな感じ。

Updateの場合は簡単で「a';--」と「'」のレスポンスの違いを見ればいいだろう。結果が異なれば脆弱性ありだろう。「'」はエスケープされてないとエラーになるし。数値の場合は、「1;--」と「;--」でどうかな?

Insertやストアドプロシジャの場合は結構面倒そう。

「'」と「a','a',・・・(n個)・・・)」や「a',1,・・・(n個)・・・)」とか、「a'」の後に「,1,」か「,'a'」を適切に入れてそのレスポンスが全て同じ(=全てエラーか正常を示す)なら問題ないだろうし、どこかでレスポンスが異なれば(=異なった結果だけが追加やストアドプロシジャの実行に成功し、それ以外は失敗した)なら脆弱性があるだろうし。

いずれにせよ、文法的にエラーとなるか、エラーとならないかで判断できるんじゃないかなぁ?

こういった検出方法もツールに追加したいけど、なかなかねぇorz

でも、こういった手法をBlind SQL Injectionといっていいのか不安になってきたw

[]Flashで見るWebアプリケーションセキュリティw Flashで見るWebアプリケーションセキュリティwを含むブックマーク Flashで見るWebアプリケーションセキュリティwのブックマークコメント

http://www.ipa.go.jp/security/vuln/vuln_contents/

たまたま見つけたのでw一応こっちにも書いておく

どこかで見た記憶があると思ったら、id:hanazukinさんのとこだったw

http://d.hatena.ne.jp/hanazukin/20070712/1184252586

トラックバック - http://d.hatena.ne.jp/ikepyon/20071010

1900 | 01 | 06 |
2003 | 04 | 05 | 06 | 07 | 08 | 09 | 10 | 11 | 12 |
2004 | 01 | 02 | 03 | 04 | 05 | 06 | 07 | 08 | 09 | 10 | 11 | 12 |
2005 | 01 | 02 | 03 | 04 | 05 | 06 | 07 | 08 | 09 | 10 | 11 | 12 |
2006 | 01 | 02 | 03 | 04 | 05 | 06 | 08 | 09 | 10 | 11 | 12 |
2007 | 01 | 02 | 03 | 04 | 05 | 06 | 07 | 08 | 09 | 10 | 11 | 12 |
2008 | 01 | 02 | 03 | 04 | 05 | 06 | 07 | 08 | 09 | 10 | 11 | 12 |
2009 | 01 | 02 | 03 | 04 | 06 | 07 | 08 | 09 | 10 | 11 | 12 |
2010 | 02 | 03 | 04 |
2011 | 01 | 02 |
Connection: close