どんなの？ ユーザが投稿するフォームでJavaScriptを許してしまっている時に悪意あるJavaScriptのコードを仕込まれると、JavaScriptが実行されてしまう JavaScriptにより、Cookieを攻撃者サイトに通知されて、セッション idを盗聴される。といったことが発生する 対策 ユーザが投稿するフォームでJavaScriptやタグの受付を拒否するようにする …
投稿者: 優
Nullバイト攻撃
どんなの？ 「\0」「\x00」「%00」といった文字列の終わりを意味する制御文字を与えることで、セキュリティチェックをくぐり抜けるというもの ディレクトリトラバーサルと併用される 対策 アップデートする PHP5.3.4以上なら対策されているので問題ない。 Amazonおすすめ iPad 9世代 2021年最新作 iPad 9世代出たから買い替え。安 …
セッションハイジャック
どんなの？ JavaScriptにより、Cookieの中のセッション idを攻撃者のサイトに送信させることで、セッション idを取得し、攻撃者がユーザアカウントをハイジャックできるようになる。 対策 アプリ内に外部からJavaScriptを混入させないようにする Amazonおすすめ iPad 9世代 2021年最新作 iPad 9世代出たから買い替え …
ディレクトリトラバーサル
どんなの？ パスパラメータやパラメータから得られた情報で、サーバ内ファイルを参照するプログラムを実装している場合に ../../etc/passwd などでWEBアプリの公開ディレクトリを遡られてしまい、機密ファイルにアクセスされたり、ファイルを混入されたりする 対策 パスパラメータなど外部からの値で、サーバ内ファイルを参照させる実装を行わない &nb …
OSコマンドインジェクション
どんなの？ 外部のリクエストやパラメータの情報から、WEBアプリでOSコマンドに値を渡されることで意図しない操作をされてしまう 対策 外部のリクエストやパラメータの情報から、WEBアプリでOSコマンドに値を渡さない OSコマンドをWEBアプリ内で利用しない Amazonおすすめ iPad 9世代 2021年最新作 iPad 9世代出たから買い替え。安いぞ！🐱 初めてならiPad。Kindleを外で …
バッファオーバーフロー
悪意あるリクエストにより、メモリ領域から溢れてメモリを上書きされて意図しないコードを実行してしまう どうなる？ 意図しないサービス停止 ウィルスの感染。バックドアの仕込まれ 対策 メモリを直接扱う言語で開発しない…というのも手🐱 C, C++, アセンブリなど。Go言語はバッファオーバーフローに利用される複雑なところは弄らせないのでので脆弱ではない、とのこと。 &nb …
クリックジャッキング
iframeで別サイトに表示されてしまうことで、自社アプリのログインユーザが意図しない操作をさせてしまう。 対策 X-Frame-Options DENY すべてのウェブページにおいてフレーム内の表示を禁止 SAMEORIGIN 同一オリジンのウェブページのみフレーム内の表示を許可 ALLOW-FROM 指定したオリジンのウェブページのみフレーム内の表示を許可 ht …
Laravel 別のサーバにSSH接続してシェルを叩く
Laravel5系の場合。 $ composer require laravelcollective/remote:5.* $ php artisan vendor:publish –provider=”Collective\Remote\RemoteServiceProvider” Copied File [/vendor/laravelcollective/remote/config/rem …
VS Code 正規表現での検索
user/{user_id}/event/{event_id}/statusを検索する時 user(.*)event(.*)status Amazonおすすめ iPad 9世代 2021年最新作 iPad 9世代出たから買い替え。安いぞ！🐱 初めてならiPad。Kindleを外で見るならiPad mini。ほとんどの人には通常のiPadをおすすめします＞＜
GROUP BYとHAVING COUNT(*) > 1で重複を探す
GROUP BY id, name HAVING COUNT(*) > 1; 重複しない検索結果を検証する方法 具体例 SELECT id, name FROM sample GROUP BY id, name HAVING COUNT(*) > 1; Amazonおすすめ iPad 9世代 2021年最新作 iPad 9世代 …
LINE Botをつくろう
Line bot https://www.linebiz.com/jp/service/line-official-account/ YouTube Data API https://developers.google.com/youtube/v3/docs?hl=ja 構成 インフラ Terraform GitLab, Code Deplo …
PHP 参照渡しによる加工処理
参照渡しを利用するとコードを追いにくくなるから利用は非推奨。特に関数の引数に利用するパターンはだめ。 参照渡しで行う実装は、参照渡しなしで実装できるからね。 でも他の人が書いたコードは読めないといけないし、改修しないといけないから。読める必要はあるよ。 参照渡しによる 変数・配列の加工(非推奨) 引数の変数の左に&を加えることで加工処理に使えます。 <?p …