（この記事は2022年9月29日に更新されました） こんにちは。 京都のWebプランニング会社「ウェブライダー」の松尾です。 某社のレンタルサーバーからCPIのサーバーに乗り換えたことがきっかけで、このコラムを書かせていただく機会を得ました。 現在、ウェブライダーでは、CPIの専用サーバーと共用サーバーのふたつを借り、さまざまなWebサイトを運営しています。 今回の記事はWebセキュリティに関する内容をお届けします。 突然ですが、あなたは、自分のWebサイトがサイバー攻撃によって不正アクセスされ、重要な情報や顧客情報が流出してしまった・・・！という事態を想像したことがあるでしょうか？ もし、あなたの会社が中小企業だとしたら、「自分の会社は大企業ほど大きくないし、情報流出なんて関係ないよ」なんて思っていませんか？ そう思っているのであれば、とても危険です・・・！ なぜなら、不正アクセスの被害
こんにちは nakamura です。最近トルシエさんテレビ出すぎじゃありません？ウィイレヤロウヨ。オフサイドダヨ！ さてさて今回は意外と知られてないけど、サイトをインターネットに公開する際には知っておいた方が良い Apache の設定をいくつかご紹介します（一部 PHP の設定もありますが）。この設定をしていないからといって即危険にさらされるという訳でもありませんが、リスクの芽は摘んでおくに越した事はありませんよね。 無駄な HTTP ヘッダを返さない ディストリビューションにより異なるかもしれませんが、CentOS デフォルトの設定の場合 Apache が返してくる HTTP ヘッダは以下のようなものです。 HTTP/1.1 200 OK Date: Mon, 05 Jul 2010 01:01:14 GMT Server: Apache/2.2.3 (CentOS) X-Powered
html5securityのサイトに、XSSの各種攻撃手法がまとめられているのを発見せり!ということで、個人的に「お!」と思った攻撃をサンプルつきでご紹介します。 1. CSS Expression IE7以前には「CSS Expressions」という拡張機能があり、CSS内でJavaScriptを実行できたりします。 <div style="color:expression(alert('XSS'));">a</div> 確認 @IT -［柔軟すぎる］IEのCSS解釈で起こるXSS で詳しく解説されていますが、CSSの解釈が柔軟なことともあいまって自前で無害化するのはなかなか困難。以下のようなコードでもスクリプトが実行されてしまいます。 <div style="color:expr/* コメントの挿入 */ession(alert('XSS'));">a</div> 確認 <div s
次期バージョンのFirefoxのプレビュー版 “Mozilla Developer Preview” ですが、新しいアルファ版が公開されました (プレビュー版ですので、常用のものではありません)。 このアルファ版には、先日より各所で取り上げられている、CSSの:visited擬似クラスに関する大きな修正が現在Firefoxで行われています。詳しくは、次のページをお読みください。 CSS によるブラウザ履歴の漏えいを防ぐ取り組み (原文: “Plugging the CSS History Leak”) CSS の :visited に行われるプライバシー対策 (原文: “privacy-related changes coming to CSS :visited”) (二つ目の記事について、翻訳をMozilla Developers Streetに寄稿させていただきました。) :visit
インターネットでどんなサイトを閲覧したかがすべて記録される。初めて訪れたサイトなのに「あなたにはこんな商品がおすすめ」と宣伝される――。そんなことを可能にする技術の利用に、総務省がゴーサインを出した。ネット接続業者（プロバイダー）側で、情報を丸ごと読み取る技術を広告に使う手法だ。だが、個人の行動記録が丸裸にされて本人の思わぬ形で流出してしまう危険もある。業者は今後、流出を防ぐ指針作りに入る。 この技術は「ディープ・パケット・インスペクション（ＤＰＩ）」。プロバイダーのコンピューター（サーバー）に専用の機械を接続し、利用者がサーバーとの間でやりとりする情報を読み取る。どんなサイトを閲覧し、何を買ったか、どんな言葉で検索をかけたかといった情報を分析し、利用者の趣味や志向に応じた広告を配信する。 ＤＰＩは従来技術に比べてより多くのデータを集められるため、こうした「行動ターゲティング広告」に利
DIY , Firefox , Google , Linux , Microsoft , Mozilla , PC本体 , Webツール , Windows , その他 , その他 , アドオン , セキュリティ , デスクトップツール , ハードウェア , フリーソフト , ブラウザ ブロックされたサイトへアクセスする裏技10連発！ 掲載日時：2010.04.26 08:00 コメント [0] , トラックバック [0] Photo by chidorian インターネットというのはフリーな場所である、と言いつつも、職場などのパソコンではアクセスが制限されていたり、トラフィックが多過ぎで繋がらなかったりなどするものです。 今すぐ特定の動画を見たい、またはあるサイトへアクセスする必要がある、今すぐこのtorrentをダウンロードしたい！ などの不都合に直面した際に役立つ裏技を10通り一
■ ここまで破綻しているケータイID認証（簡単ログイン） 2009年夏、はてなブックマーク界隈では「かんたんログイン」が危ういという話題で持ち切りだった。IPアドレス制限をしていても突破できてしまうのではないかという話だった。 実際に動いてすぐ使える「PHPによるかんたんログインサンプル」を作ってみました, ke-tai.org, 2009年7月31日 SoftBank Mobileの携帯用GatewayをPCで通る方法のメモ, Perlとかmemoとか日記とか。, 2009年8月1日 ソフトバンクの携帯用GatewayをPCで通る方法があるようです, ke-tai.org, 2009年8月4日 これは要するに次のような話だった。 まず、SoftBankの携帯電話で特定のAPN mailwebservice.softbank.ne.jp でネット接続して、所定のProxyサーバ sbwap
メールはもちろん、オンラインバンキングやネットショッピングに至るまで、IDとパスワードさえあれば、何でもできるこのご時勢。しかし、アナタのIDとパスワードがあれば、誰でもアナタに「なりすまし」て、何でもできてしまうという恐ろしいリスクがあることを忘れてはいけませんね。 そこでこちらでは、セキュリティ対策には、まず「ハッキング」という敵を知ることから...ということで、「パスワードはどうやってハッキングされるのか？」について、見ていくことにしましょう。 米ウェブベンチャー「iFusion Labs」のCEOである、John Pozadzidesさんは、パスワードをハッキングする手順や発想などについて、以下のように述べています。 「ありがちなパスワードトップ10」は以下のとおり。全体の20％は、これらでカバーされると考えられる。 「0」もしくは「1」に続けて、配偶者、子ども、またはペットの名前
Mozillaは、CSSを利用することで利用者の訪問履歴が漏洩する可能性のあるWebブラウザの機能を改善することを明らかにしました。これは、楽天ad4Uのような、CSSやJavaScriptを用いて利用者の履歴を取得しているインターネット広告への対策として考えられたものです。 利便性のための機能から訪問履歴が漏洩 Webブラウザ上のリンクは、訪問したことのあるリンク先に対して色や文字の大きさなどのスタイルを変更することができます。これは、Webブラウザの画面上でどのリンクが訪問済みなのかを知らせるための、ユーザーの利便性を想定して作られた機能です。 しかし一部のインターネット広告では、これを利用して広告の中に大量のリンクを埋め込み、そのリンクの中から訪問済みのスタイルになっているリンクを自動的に探しだすことでユーザーの訪問履歴を取得。履歴情報をいわゆる行動ターゲティング広告の手段としている
これは、Mozilla Security Blog の記事 Plugging the CSS History Leak (英文) の抄訳です。Web 開発者の方は Mozilla Hacks の記事抄訳 CSS の :visited に行われるプライバシー対策 も参照してください。 プライバシーの保護は必ずしも簡単なことではありません Mozilla では近く、以前からブラウザ各社が取り組んでいる個人情報漏えい問題の対策を Firefox の開発ツリーに追加します。私たちはこの改善を非常に楽しみにしており、他のブラウザも後に続いてくれることを期待しています。しかし、これは解決が難しい問題であるため、Mozilla がなぜこのようなアプローチを取ることにしたのか説明しておきたいと思います。 履歴の取得 Web ページ上のリンクは、ユーザがそのリンク先を訪れたことがあるかどうかによって見た目が
Googleは米国時間3月19日、オープンソースのウェブセキュリティスキャナ「skipfish」を公開した。ウェブアプリケーションをスキャンして、セキュリティホールの有無を調べられるものだ。 skipfishでウェブアプリをスキャンすると、ブラインドSQLやXMLインジェクションといった「巧妙な仕掛け」を含む脆弱性の有無が確認できると、Googleの開発者Michal Zalewski氏はskipfishのwikiで述べている。 skipfishは対象サイトへの再帰的クロールと辞書ベースの調査を実行し、その結果を表示したインタラクティブなサイトマップを作成する。脆弱性がある場合には強調表示する。また、skipfishが作成する最終レポートは、セキュリティ評価の判断材料として利用できる。 同様のスキャンツールは、「Nikto」や「Nessus」など、すでに商用でもオープンソースでも複数出回っ
最近は、「危ないサイト」だけではなく、正規サイトや、“いつも見ているホームページ”が、ある日突然、ウイルスへのリンクを埋め込む改ざんが行われ、そのサイトを見た方が感染する被害が増加しています。 当サイトでは、ボットウイルスから守るために「ボットの駆除対策手順」のページで以下の３つの対策お願いしております。 しかし、ホームページからの感染を防ぐためには、この３つの対策以外に次の「１，ホームページ閲覧者の感染防止方法」に記載するプログラムを最新に保つことが必要です。 また、ホームページを持っていらっしゃる方は、「２，ホームページ開設者の対処方法」を参考にウイルスへのリンクを改ざんされ埋め込まれていないかの確認を行い、改ざんされていた場合は手順に従い復旧を行ってください。 JVN(Japan Vulnerability Notes)の「MyJVNバージョンチェッカ」を利用してWeb感染型に
適当 XSSがある=なんでもやり放題ではない ブログサービスなど自由にHTMLをかけるようなサービスでは、害が及ばないように表示を丸ごと別のドメインに分けていたり、あるいは別ドメインのIFRAME内で実行したりしているのが普通です。個人情報を預かってるサイトは、重要個人情報についてはHTTPSじゃないと参照できなかったり、そもそも表示しなかったり(パスワードやカード番号等)、決済用のパスワードや暗証番号を入れないと操作できなかったりする。 参考までに http://blog.bulknews.net/mt/archives/001274.html (2004年のアメブロ脆弱性の話) http://d.hatena.ne.jp/yamaz/20090114 (信頼できないデータを取り扱うドメインを分ける話) 管理用と別ドメインに分けたにも関わらず、script実行できることに対してDISられ
2006年にサービススタートしたTwitterですが、昨年から日本でもユーザーを増やしつつあり、使い始めたという方も多いのではないでしょうか。気軽につぶやけるゆるさや思わぬつながりにやみつきになってしまう気持ち、よくわかります。ただ、気軽につぶやいていると無意識の内に個人的な情報を公開してしまう可能性も。今回は実は危険かもしれないTwitterのもうひとつの顔をお伝えしたいと思います。 ■ 個人的な状況を検索 まずはTwitter公式検索を使って特定の状況の個人を検索できてしまうというエントリーを紹介します。 ▽twitter大ブームも個人情報の『ダダ漏らし』に要注意／岐阜のヒューマネット専務ブログ エントリーの中では 「彼氏と別れたばかりの女性」 を検索するキーワードが具体的に紹介されています。同様にして 「子供が今春で入学する」 「近く結婚式を挙げる」 といった特定の状況にある人を割り
最近はてなブックマークでも度々話題になっている「ガンブラー（Gumblar）」というキーワード。「ウイルスやFTPと関係があるらしい」ということは知っていても、「結局どういうものなの？」「何をすればいいの？」と疑問に思っている人も多いのではないでしょうか。そこで今回は「ガンブラーとFTPクライアント」の問題について、原因と対策をまとめてみました。 ■「ガンブラー（Gumblar）」って何？ そもそも「ガンブラー」とは、一体何なのでしょうか？ ▽「Gumblarの手口を知り、対策を」IPAが注意喚起 -INTERNET Watch ▽情報処理推進機構：プレス発表：記事 ▽「ガンブラー」は手口の名前、感染するウイルスはさまざま - ニュース：ITpro ▽ASCII.jp：猛威が止まらない！ガンブラー総まとめ ＜ガンブラーは“PCをウイルス感染させる手口”、感染するウイルスの種類は様々＞ 国民
「Web制作者が覚えておくべきガンブラーの基礎知識と対策──前編」 2010年02月01日 TEXT：野本幹彦 正規のWebサイトがウイルスの配布元になってしまう 2009年春ごろから大きな話題となり、その猛威を振るっている「ガンブラー」（gumblar）。特に2009年末から2010年にかけては、大手企業のWebサイトが標的となり、たびたびニュースにもなっている。ではガンプラーとは、Web制作者にとってどのような脅威があるものなのだろうか。 ガンブラーとは、簡単にいえば、Webサイトが改ざんされることによって、ユーザーが閲覧すると悪質なWebサイトにリダイレクトされ、PCにウイルスなどがダウンロードされる攻撃のことだ。ちなみに、最初にこの攻撃が認知された誘導先のドメイン名が「gumblar.cn」であったことから、この名前が使われている。 ガンブラー被害の仕組み ガンブラーを仕込もうと企
■乗り換えても無駄 感染した場合、危ないのはFFFTPじゃなく、FTPクライアントソフト全体 SmartFTP、NextFTP、Filezilla、WinSCPもFFFTPと同じ意味で危険 今のところ大丈夫なクライアントはある でも、大勢の人が乗り換えたら、マルウェアがバージョンアップして対応してくるだけだよ ていうか、パスワードを保存すること自体が危険だよ INIファイルに変えたって同じだよ！ ■特定のマルウェアに感染しなければ大丈夫 もちろん、「絶対感染しない｣ってのは不可能だけどね 感染した場合に、FTPソフトが保存してる情報を盗み出して利用される だから危ないと騒がれてる ｢特定のマルウェア｣とは、8080系とか“Gumblar”とかいわれてる奴 ** ■過去にパスワードを保存していないなら平気 ** ■今後もパスワードを保存しなければ平気 保存して無いものは盗みようが無い
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
