sanitizing 「スクリプトの無効化」「無害化」と訳されるIT用語。 XSS(Cross Site Scripting)対策の基本とされる。
「タイ」と「ジン」の誤爆回避キーワードです。
ファジングに該当するものはどれか。 Webサーバに対し，ログイン，閲覧などのリクエストを大量に送り付け，一定時間内の処理量を計測して，DDoS攻撃に対する耐性を検査する。 ソフトウェアに対し，問題を起こしそうな様々な種類のデータを入力し，そのソフトウェアの動作状態を監視して脆弱性を発見する。 パスワードとしてよく使われる文字列を数多く列挙したリストを使って，不正にログインを試行する。 マークアップ言語で書かれた文字列を処理する前に，その言語にとって特別な意味をもつ文字や記号を別の文字列に置換して，脆弱性が悪用されるのを防止する。 解答・解説 (adsbygoogle = window.adsb…
WEP、WPA 無線LANセキュリティ規格。暗号化アルゴリズムはRC4、TKIP。 WPA2 暗号化アルゴリズムはAES。 チャレンジレスポンス認証 チャレンジコードとパスワードからなるハッシュ値を利用。 PPP データリンク層のプロトコル。HDLC手順。 RADIUSサーバ サーバをアクセスサーバと認証サーバに分けることで安全性を高める。 PKI 公開鍵の正当性を示す。 サーバ証明書 DV証明書：ドメイン認証型。オンライン申請可 OV証明書：企業認証型。組織の存在も証明 EV証明書：EV SSL証明書。最も厳格 パケットフィルタリング ダイナミック：TCPヘッダのシーケンス番号など WAF …
クロスサイトスクリプティング（Cross Site Scripting）は、脆弱なWebサイトをターゲットとして、悪意あるWebサイトからスクリプトをユーザのパソコンに送り込むことで、ユーザーのパソコンの個人情報を搾取する攻撃方法です。略称として「XSS」と表記する場合もあります。 クロスサイトスクリプティングの例XSSの対策としては、サニタイジング（スクリプトの無害化）があります。サニタイジングは、&，，”，’といったスクリプトに使われる特殊文字に着目し、これらが文字列としてそのまま画面に表示されるように置換し、スクリプトを無害化させます。クロスサイトスクリプティングに該当するものはどれか。…
1.SQLインジェクションとは 2.SQLインジェクションの対策 2.1 対策の全体像 2.2 静的プレースホルダ（バインド機構） 2.3 サニタイジング（エスケープ）処理 (1)サニタイジング（エスケープ）処理とは (2)サニタイジング（エスケープ）処理の方法１ (3)サニタイジング（エスケープ）処理の方法２ 1.SQLインジェクションとは 過去問では、SQLインジェクションに関して、以下のように述べられている。 SQLインジェクションに関して（H22AP秋午前問43より） 「Webアプリケーションに悪意ある入力データを与えてデータベースの問合せや操作を行う命令文を組み立てて、データを改ざん…
納得いかない問題 あるシステムの設計から結合テストまでの作業について，開発工程ごとの見積工数を表1に，開発工程ごとの上級技術者と初級技術者の要員割当てを表2に示す。上級技術者は，初級技術者に比べて，プログラム作成・単体テストにおいて2倍の生産性を有する。表1の見積工数は，上級技術者の生産性を基に算出している。 全ての開発工程に対して，上級技術者を1人追加して割り当てると，この作業に要する期間は何か月短縮できるか。ここで，開発工程の期間は重複させないものとし，要員全員が1カ月当たり1人月の工数を投入するものとする。 これで初級技術者が0.5になるのはなんでなんだろう？ 上級技術者を2にするのは違…
(adsbygoogle = window.adsbygoogle || []).push({}); 序章: トイレと金運の神秘的な繋がり トイレ掃除が金運に影響を与えることは有名ですが、この記事では、トイレを清潔に保つことが金運の向上にどのように寄与するのか、そして究極のトイレ掃除法をご紹介します。 第1章: トイレの象徴意味と金運の関係 トイレが豊かさや繁栄と関連付けられる考え方には、風水学や文化的な信仰が影響しています。 以下に、トイレが金運向上に寄与する理論的なアプローチを解説します。 清潔さとエネルギーの流れ: 風水学では、エネルギー（気）の流れが繁栄と関連しています。トイレが清潔で…
良かったこと 1. お湯2度入れのカップ麺を食べたこと 「最高に面倒で、最高にうまいラーメン。」というのをセブンイレブンで買ってみた。 * お湯を入れる * 5分待つ * お湯を捨てて、再度入れなおす * スープ、粉末、油、薬味を入れる なんて手の込んだカップラーメン。 超濃厚で旨かった。 2. ベンダーさんからアプリの設計と実装内容をレクチャーしてもらえたこと 内製教育でWebストレージを扱うのだが、この辺りを意識したりアプリを作ったりしたことがないので専門家に教えてもらった。 Cookie、Session Storage、Local Storageの利用用途を、実際に構築したアプリケーショ…
こんばんわ！本日もCNDの勉強をしていきます！お付き合いいただけると嬉しいです♪前回は、ネットワークレベルでの攻撃についてまとめました。興味ある方は下記を読んでみてください～ learnketyia.hatenablog.jp 今回は第３回「アプリケーションレベルの攻撃」についてまとめていきます！ アプリケーション攻撃用語 SQLインジェクション 一連の悪意のあるSQLクエリを使用してデータベースを直接操作する攻撃 XSS攻撃 （クロスサイトスクリプト） 攻撃者が、他ユーザが閲覧するサイトにスクリプトを注入できるようにする攻撃 ディレクトリートラバーサル攻撃 ソースコードや設定ファイルのような…
次はディレクトリトラバーサルについて学びましょう。ディレクトリトラバーサル（「パストラバーサル」とも呼ばれる）は、アプリケーション上で発生する脆弱性の1つで、攻撃者が制限されているはずのディレクトリ外のファイルやディレクトリにアクセスする能力を持つことを指します。この脆弱性は主にWebアプリに見られることが多く、適切な入力検証やサニタイジングが行われていない場合に発生します。まずディレクトリトラバーサルを理解するうえで、ファイルパスについて理解する必要があります。 ファイルパスとは例えば下記の様なものです。 ┌──(kali㉿kali)-[~] └─$ pwd /home/kali 「pwd」…
近年、Webアプリケーションの入力データチェック不備などの脆弱性を悪用し、不正なスクリプトや命令を実行させる攻撃が多発している。ここではそうした攻撃の仕組みと対策について解説する。 2.8.1 不正なスクリプトや命令を実行させる攻撃の種類 Webアプリケーションには不正なスクリプトや命令を実行させる攻撃には次のようなものがある。 クロスサイトスクリプティング SQLインジェクション OSコマンドインジェクション HTTPヘッダインジェクション メールヘッダインジェクション ディレクトリトラバーサル攻撃 これらはセッションハイジャックと併せ、Webサイト運営における大きな脅威となっている。中でも…
では実施にWebアプリケーション（以後：Webアプリ）を攻撃してみましょう。 まずはWebアプリの一番上にある「XSS(クロスサイトスクリプティング)」から行います。XSS（クロスサイトスクリプティング）とは、Webアプリの脆弱性の1つで、攻撃者が悪意のあるスクリプトを注入し、他のユーザーのブラウザでそのスクリプトを実行させるものです。攻撃者は被害者のセッション情報を奪取したり、不正な操作を行わせたりすることができます。XSSは以下の3つの種類に分けられます。1. Stored XSS（蓄積型）: 攻撃者は悪意のあるスクリプトをWebアプリのデータベース上に永続的に保存します。コメントや投稿の…
このページでは、ReactやVueではなく、Vanillaと呼ばれる素のJavascriptのみで、フロントエンド開発が可能であるか？を解説します。今回はGET/POST等のパラメータについて。 今回は、前回… inuinu-tech.hatenablog.jp の続きになります。 いきなりここにたどり着いたのでしたら、お手すきの際で構いませんので、下記の記事からも読んでみていただければ幸いです。 inuinu-tech.hatenablog.jp 今回の課題のゴールは？ Javascriptで取得できるパラメータについて そもそもパラメータって何に使用するの？ URLの中にパラメータは渡せる…
セキュリティ 480 1 30 脆弱性 脅威がつけ込むことができる弱点。セキュリティホールとも。0 情報資産 企業が組織が保有している情報全般0 脅威 情報資産に損害を与える恐れ。0 物理的脅威 火災や地震、侵入者による機器の破壊や盗難など、直接的に情報資産が脅かされる脅威0 技術的脅威 ウイルス、不正アクセス、サーバへの攻撃などにより情報が漏えいしたり失われたりする脅威0 人的脅威 ミスによるデータや機器の破壊、内部犯による確信的な犯行によって情報資産が漏えいしたり失われたりする脅威0 ヒヤリハット 結果として事件・事故には至らなかったが潜在的に事件・事故につながりかねない事象を指す1 セキ…
情報セキュリティの物理的対策として，取り扱う情報の重要性に応じて，オフィスなどの空間を物理的に区切り，オープンエリア，セキュリティエリア，受渡しエリアなどに分離することを何と呼ぶか。 サニタイジング ソーシャルエンジニアリング ゾーニング ハッキング 解答・解説 (adsbygoogle = window.adsbygoogle || []).push({}); 解答 ウ 解説 サニタイジングサニタイジングは、入力フォームに入力されたデータから、悪意のあるコードやスクリプトを検出して、無害化する処理です。 ソーシャルエンジニアリングソーシャルエンジニアリングは、人間の心理的な隙や行動のミスにつ…
atmarkit.itmedia.co.jp
rocketeer.dip.jp
e-words.jp
jehupc.exblog.jp
xtech.nikkei.com
jehupc.exblog.jp
b.0218.jp
doikun.cocolog-nifty.com
