はじめに この記事は下記リンクの日本語翻訳記事です 翻訳が誤っている場合はコメントか@no1zy_secまでお知らせいただけると幸いです。 [SSRF] Server Side Request Forgery Server Side Request Forgeryはサーバーに任意のリクエストの実行を強制する攻撃です。例えばnginxの場合、proxy_passディレクティブの第2引数を攻撃者が指定できる場合に攻撃が可能になります。 どうやって見つけるか ここにサーバーを脆弱にする2種類のエラーがあります。 internalディレクティブの欠如。 これは内部リクエストにのみ使うことができることを示すために使用されます 安全でない内部リダイレクト internalディレクティブの欠如 internalディレクティブの欠如でSSRFをすることができる典型的な設定ミスです。
A practical guide to testing the security of Amazon Web Services (Part 1: AWS S3) Back in the days, the word Amazon used to refer to over half of earth's rainforests. While this is still true, it isn't what most people think of when they hear the word Amazon. Nowadays, people refer to the word Amazon as a place where they can order goods from the confort of their couches. However, Amazon offers m
脆弱性検査を行うOSSツール「OpenSCAP」で何が分かるのか：OpenSCAPで脆弱性対策はどう変わる？（4） 本連載では、グローバルスタンダードになっている「SCAP」（セキュリティ設定共通化手順）、およびそれを基にシステム構成や脆弱性の検査を行うためのOSSツール「OpenSCAP」や、その周辺の技術、用語などを紹介する。今回は、OpenSCAPの環境を構築し、実際に試してみた。 まずはOpenSCAPを試してみよう OSSセキュリティ技術の会の面和毅です。本連載「OpenSCAPで脆弱性対策はどう変わる？」では、実質的にグローバルスタンダードの「SCAP（Security Content Automation Protocol：セキュリティ設定共通化手順）」、およびそれを基にシステム構成や脆弱（ぜいじゃく）性検査を行うためのOSS（オープンソースソフトウェア）ツール「OpenSC
Deleted articles cannot be recovered. Draft of this article would be also deleted. Are you sure you want to delete this article? はじめに @no1zy_sec氏がnginxの設定ミスで起こる脆弱性の翻訳記事を先日公開しました。 検証する機会があったため、再現できる検証環境と確認手順をまとめました。 各脆弱性に関する詳細や対策については、翻訳記事または原文をご確認ください。 検証できる脆弱性一覧 以下の脆弱性を検証することができます。 nginxの設定ミスで起こるHTTP Splitting nginxの設定ミスで起こるパス トラバーサル nginxの設定ミスで起こるSSRF nginxの設定ミスで起こるレスポンスヘッダの出力不備 nginxの設定ミスで起こるMu
SettingContent-msを悪用した攻撃が実際に出ています。 この資料は、2018年06月29日にLAC社内会議で発表した資料になります。 既に、詳細は日本語になって公開されていますので、こちらでも公開します。 -
※ポートフォワードが必要 初心者の方はホストOSと同じように扱えるブリッジアダプターをおすすめします。 名前 ブリッジアダプタを選択している時には、ホストマシン上のどのネットワークアダプタを使うかを選択します。 NATネットワークを選択しているときには、環境設定で設定したネットワークを選択します。 アダプタータイプ アダプタタイプには以下の6種類があります。 PCNet PCI II (Am79C970A) PCNet FAST III (Am79C973) Intel PRO/1000 MT Desktop (82540EM) Intel PRO/1000 T Server (82543GC) Intel PRO/1000 MT Server (82545EM) 準仮想化ネットワーク （virtio-net) デフォルトのPCNet FAST IIIはほとんどのゲストOSで追加のドライバ
SNSやソーシャルゲーム、アドネットワークなどのシステムではいろいろなログ情報をDBに保存することもあると思います。 そのさい、日々増えつづけるデータやパフォーマンスをどの様にさばいていくかが重要になってきます。 今回はログ系のデータをMysqlでどのように運用していくか、をテーマにいくつかのノウハウをまとめました。 ログ系テーブルの特徴 ログ系のデータとは、つまり何かのアクションの履歴データのことです。 一般的にはこのような形になるかと思います。 CREATE TABLE `t_logs` ( `id` bigint(20) unsigned NOT NULL, `user_id` int(10) unsigned NOT NULL DEFAULT '0', `event_id` int(10) unsigned NOT NULL DEFAULT '0', `created` datet
31. レプリケーションスレーブに注意 (FIXED by 5.7.9) REPLICATION SLAVE権限の *他に* SELECT ON performance̲schema.* が必要 mysql> show slave statusG *************************** 1. row *************************** .. Last_IO_Errno: 1142 Last_IO_Error: The slave I/O thread stops becaus e a fatal error is encountered when it try to get the value of SE RVER_ID variable from master. Error: SELECT command denied to use r 'replic
便利な新機能が数多く搭載された「Windows 10」ですが、インターネットに出回っている情報を信じるなら、プライバシーと名のつくものすべてを骨抜きにしてしまう機能も盛り込まれているようです。けれど、そうした見方はちょっと大げさすぎます。ここでは、問題とされているWindows 10の設定が実際にはどんなものなのか、1つずつ検証するとともに、本当にプライバシーの侵害につながるものを洗い出していきましょう。 Windows 10は、これまでのバージョンと比べて「おうちに電話する」（Phoning Home：ユーザーが望まないのに、端末からサーバーに各種データが送信されること）頻度が高いと言われています。こうした評判はおおむね事実ですが、これらの機能の多くは「Windows 8」の時代からすでに存在していましたし、「Android」や「iOS」、あるいは「Chrome」などの他社製品にも搭載さ
こんにちは、鈴木です。 最近、 KVS (Key Value Store) の一つである Redis を使い始めました。 KVS では memcached が有名ですが、それと比較してデータ型が豊富である点や、データの永続化をサポートしている点が Redis の特徴です。 Redis のインストール 現時点で Redis の最新版は 2.6.x ですが、手元の環境でパッケージからインストールしたところ 2.4 系統が入ってしまいました。 最新版を使ってみたかったので、ソースからインストールしました。 まず公式サイトからソースコードをダウンロードし、展開します。 cd /usr/local/src sudo wget http://redis.googlecode.com/files/redis-2.6.12.tar.gz sudo tar xvfo redis-2.6.12.tar.gz
前のエントリ #isucon で優勝してきました は当日夜に酔っ払った頭で勢いで書き上げたので、少し冷静に振り返ってまとめてみます。 最初のボトルネック発見 DB が CPU 4コアをフルに使って回っているのですぐに Query が重いのは分かった 重いクエリはキャッシュすれば、という発想は自然 (実際 MySQL のクエリキャッシュだけでスコアは 1.5倍程度上がる)、とはいえ このクエリは実行に 300〜400 ms 程度かかる アプリケーションの要件上、毎秒更新する必要がある 1秒ごとに更新に 0.3〜0.4秒かかる処理をするのは悪手だろう cache が消えてから生成、とすると生成処理が複数同時に走って無駄が大きい (実際ベンチマーク中の slow query を見ると 600〜700 ms 程度の時間が掛かっていた) ということで、DB のテーブル構成を変更して高速化できないか、
Published May 2015 Our study finds that the current real-world deployment of Diffie-Hellman is less secure than previously believed. This page explains how to properly deploy Diffie-Hellman on your server. We have three recommendations for correctly deploying Diffie-Hellman for TLS: Disable Export Cipher Suites. Even though modern browsers no longer support export suites, the FREAK and Logjam atta
「TLS暗号設定ガイドライン」は、TLSサーバの構築者や運営者が適切なセキュリティを考慮した暗号設定ができるようにするためのガイドラインです。「様々な利用上の判断材料も加味した合理的な根拠」を重視して、TLS通信での実現すべき安全性と必要となる相互接続性とのトレードオフを考慮した3つの設定基準（「高セキュリティ型」「推奨セキュリティ型」「セキュリティ例外型」）を設けており、各々の設定基準に対応して、TLSサーバで設定すべき具体的な要求設定（「遵守項目」と「推奨項目」）を決めております。 本ガイドラインは安全なウェブサイトの作り方とともに適切な暗号設定をする資料の一つとしてお使いいただけます。 なお、本ガイドラインは、暗号技術評価プロジェクトCRYPTRECで作成されました。 「TLS暗号設定ガイドライン」の内容 1章と2章は、本ガイドラインの目的やSSL/TLSについての技術的な基礎知識を
先日の日記『「10日でおぼえるPHP入門教室 第4版」はセキュリティ面で高評価』では、同書のアップロード機能のセキュリティ面を評価しつつ、「もうひと踏ん張り確認して欲しい内容がある」として、画像XSSの可能性について指摘しました。では、これを直せば完璧かというと、実はそうとも言えないという微妙な問題があります。それは、アップロード先の場所とファイル名の問題です。 ファイルをアップロードするディレクトリ: ドキュメントルート下の /php10/doc/ ファイル名: ブラウザから送信されたファイル名そのまま これらのうちファイル名の拡張子については、gif/jpg/jpeg/pngのみを許すという、いわゆるホワイトリスト検査がされていて、またgetimagesize()関数により、画像ファイルであることの簡易的なチェックをしています。しかし、この状態では、環境によってはアップロードしたファイ
Mozilla SSL Configuration Generator Redirecting to the updated SSL Configuration Generator…
The ordering of cipher suites in the Old configuration is very important, as it determines the priority with which algorithms are selected. OpenSSL will ignore cipher suites it doesn't understand, so always use the full set of cipher suites below, in their recommended order. The use of the Old configuration with modern versions of OpenSSL may require custom builds with support for deprecated ciphe
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
