CSRF

この記事はYouTubeの「タカハシヤマダ ENDSTART」というチャンネルに投稿された、「【絶対に買うな】セキュリティソフトの闇を知っていますか？ホントは買わなくていいです。理由を12分で簡潔に説明します。」という動画への反論のために作成いたしました。 率直に言って内容があまりに杜撰でしたので、記事での反論という形を取らせていただきました。 とりあえず一番言いたいことは、「サイバー攻撃の脅威を矮小化して攻撃を受けた側が悪いかのような言い方はやめろ」ということです。 単に間違っているだけならまだしも、一般ユーザーの方に非難の目を向けかねない表現が含まれているのは問題だと考えます。 なお、セキ…

XSS（クロスサイトスプリクティング） ウェブアプリケーションの中には、検索のキーワードの表示画面や個人情報登録時の確認画面、掲示 板、ウェブのログ統計画面等、利用者からの入力内容や HTTP ヘッダの情報を処理し、ウェブページとし て出力するものがあります。ここで、ウェブページへの出力処理に問題がある場合、そのウェブページに スクリプト等を埋め込まれてしまいます。この問題を「クロスサイト・スクリプティングの脆弱性」と呼び、こ の問題を悪用した攻撃手法を、「クロスサイト・スクリプティング攻撃」と言う。 古い情報ではありますがIPAによると クロスサイト・スクリプティングの脆弱性の届出件数は、他…

Hello there, ('ω')ノ リファラ検証が壊れているCSRFを。 このラボのメール変更機能は、CSRFに対して脆弱で。 ラボを解決するには、CSRF攻撃でメールアドレスを変更して 。 まずは、ログインして。 メールアドレスを変更して。 リクエストをリピータへ。 Refererを変更して、レスポンスを確認するとリクエストが拒否されて。 Refererを空白にして、レスポンスを確認して。 Refererを削除して、レスポンスを確認して。 Refererを下記に変更して、SendしてFollowをクリックして。 Referer: ac551fb31e065668809d2d1000500…

どーも、ばぁどです。 数年ぶりに徳丸本で勉強させていただいております。 2019年の年末に同僚に徳丸本を貸して、早2年久々に手元に戻ってきたので勉強し直しております。 XSSとはなんでしょう？や、CSRFの脆弱性などは一通り把握している(つもり)ので、7章の脆弱性診断入門で脆弱性診断を行っていた時のお話です。 本の7章に脆弱性診断入門という章があり、今の僕にめちゃくちゃありがたい！！！と思って本を読みながら作業を進めていたのですが、ユーザー登録時に「只今サイトが大変混雑しています。もうしばらく立ってからアクセスしてください」と表示されてしまったので、それを解消した時のお話です。 エラーでユーザ…

誤字脱字をなくそう なぜそれを作ったのかを書こう 技術選定の理由を書こう 設計をドキュメントに書こう、あと図もね 非機能を考慮しよう ボトルネックを考えてみよう 妥協した点 / こだわった点を書こう まとめ ※Webアプリのポートフォリオの話をします コードが最低限かけることはもちろん大事ですが、実はそれ以上にメタ的な情報が大事です。仕事としてコーディングをしていくとたくさん考えることが発生しますが、そのほとんどが独学だと知らなかったりします。 この記事は無料でその観点を教えようというものです。これを実践するだけであなたのポートフォリオのレベルは相当上がります。 誤字脱字をなくそう 誤字脱字は…

djangoは最初の設定手順が多く覚えられないのでメモ 前回作った仮想通貨のチャートを表示するwebアプリを作るプロジェクトの作成 django-admin startproject chart_prj 作成したプロジェクトフォルダにtemplatesとstaticという名のフォルダを作成 cd chart_prj mkdir templates mkdir static chart_prjの中のsettings.pyにtemplatesフォルダを紐づける TEMPLATES = [ { 'BACKEND': 'django.template.backends.django.DjangoTem…

Java サンドボックス AccessContoroller、SecurityManager 任意のセキュリティポリシを適用できるポリシベースのセキュリティ管理が可能に カプセル化 メモリ管理はJavaVMが行うのでBOFは発生しない ガーベージコレクション 動的に確保したメモリ領域が不要になると自動的に解放する C++ ヒープ領域 動的に確保可能なメモリ領域 new 演算子 メモリ確保の演算子 delete 演算子 メモリ解法の演算子 XSSの種類 クロスサイトスクリプティング インターネットを利用している一般ユーザが悪意あるWebサイトを閲覧したときに被害を受ける攻撃の一種 反射型XSS …

このページはあくまでも学習のため、参考になったWebページを貼り付けているだけのページになります。 個人的な学習を進めていく上でとても参考になったため、今後のためこのページに記しておきます。 same-origin hasegawa.hatenablog.com CORS qiita.com DMZ www.sbbit.jp DDoS攻撃の主な攻撃手法8つの特徴をまとめてみた www.shadan-kun.com クロスサイトリクエストフォージェリ（CSRF） www.trendmicro.com コマンド&コントロール（C&C）サーバ www.trendmicro.com BYOD www.…

この記事はなに？ 最近、自分の経験や考えていることを言語化してみる実験をしています。 自分で言語化したことのある概念については自信を持って他の人に話せるし、一般化して横展開していくことも可能になるので、メリットが大きいのかなと。 第一弾として、私がテックリードとしてチーム内でコードレビューをしている際に考えていることをまとめてみました。 注意点 思いついたら随時更新します 今回の話のターゲットは主にWebフロントエンド/バックエンドのアプリですが、その他の開発にも使えるノウハウはあると思います ここで書いているのは、仕事でチームを組んだ際にピアレビューをする際の話です。OSS等のコードレビュー…

Hello there, ('ω')ノ 下記は、Webアプリケーションの脆弱性診断をするための。 一般的なガイドラインを概要レベルでまとめたもので。 当然のことながら常に更新されるもので。 企業として自信をもってサービスを提供しているのであれば。 この程度の方法論については、十分に理解しておくべきレベルかと。 1 アプリケーションのコンテンツをマッピング 1.1 目に見えるコンテンツの探索 1.2 パブリックリソースの参照 1.3 隠しコンテンツの発見 1.4 デフォルトコンテンツの検出 1.5 識別子で指定された関数の列挙 1.6 デバッグパラメータのテスト 2 アプリケーションの分析 2.…

コンピュータシステムの理論と実装 ―モダンなコンピュータの作り方 コンピュータシステムの理論と実装 ―モダンなコンピュータの作り方作者:Noam Nisan,Shimon Schocken発売日: 2015/03/25メディア: 単行本（ソフトカバー） おわった おもしろかった 今触っているコンピューターが何故動いてるのかはわからんが、なんらかのコンピューターが動く、ということに対してなんとなく納得した NIST SP-800-63 openid-foundation-japan.github.io とりあえずSP800-63-3までよんだ 対象読者ではないのでこれを読んで何を得ればよいのか、…

Hello there, ('ω')ノ フレームバスタースクリプトを使用したクリックジャッキングを。 このラボは、Webサイトがフレーム化されるのを防ぐ。 フレームバスターによって保護されていて。 フレームバスターを回避するクリックジャッキング攻撃でメールアドレスを変更して。 まずは、ログインして。 メールアドレスの変更を。 メールアドレスを変更をするリクエストを確認して。 ソースコードを確認すると。 Updateボタンで、下記へ遷移するようで。 /my-account/change-email ただし、メールアドレスを変更するリクエストは下記のとおりで。 クリックジャッキングでUpdateを…