なんだかんだで、UIがらみのところまで出来てるかも、ここからが長そう＿|￣|○ いろいろ調べなあかんしなぁ

http://shohoji.net/blog/archives/001633.html ま、ほんとにいくつも脆弱性を確認しちゃってたら、釘刺されるわな。 脆弱性があるかもというのと、こうすれば出来ちゃいましたでは、大きく違うし。Exploitを見つける行為自体が、サービスを破壊する可能性が…

ソバまでにHibernateを使った場合のUnicodeがらみのテストプログラムを作っておきたいなぁ。 可能なら、デモ&プレゼンをするということで。 とりあえず、PreparedStatement版は前に作ったのがあるから良いとして、Hibernate版は作らんとなぁ。

とある脆弱性解説文を見て思ったこと。 PHPのアプリの脆弱性の説明にこんな注釈があった「攻撃が成功するには、magic_quotes_gpc が無効になっている必要がある。」 いやまあ、正しいっていやあ正しいんだけど、これだと「magic_quotes_gpcを有効にしておけ…

http://d.hatena.ne.jp/kusigahama/20070202#1170405271 勘弁してくれって感じ。 こういったこという人はADの教訓を知らないのか? http://slashdot.jp/articles/04/01/04/1327206.shtml http://slashdot.jp/security/article.pl?sid=04/02/04/0531248 これも…

色々やっていたら、朝の4時orz

http://opentechpress.jp/security/article.pl?sid=07/02/19/0842234 まあ、パスワードをデフォルトから変更するのは当たり前です。 この攻撃って、結構簡単に決まりそうな気がする。

朝の部で使った資料、公開はしませんが、欲しい人いれば、メールください。但し、レスが遅くなる可能性が高いですw

今日も一日ダメでしょうw

http://handlers.sans.org/dwesemann/decode/index.html 後で読む

http://openmya.hacker.jp/hasegawa/public/20070217/rss.html まっちゃの朝の部の資料です。 色々考えないといけませんねぇ。

某氏とのお話で、思いついたんですけど、誰かセキュアな開発手法の実践的な内容の本書いてくれないかなぁ? 一応、ネタはこんな感じで考えてみたので、内容書いてくれる人プリーズw 誰もいないなら、机上の空論でちょっとづつ書いてみようかなぁ?

まっちゃに参加したので久しぶりに、動いた週末でした。 参加した皆さんお疲れさまでした。 しかし、そのおかげでくたくたです。

なんでO/Rマッピングとバインドメカニズム(PreparedStatement)がSQLインジェクション対策に有効化というと、どちらも、扱うデータの型を自動的に判断してくれるからだと思う。O/Rマッピングの場合は、設定ファイルで、テーブルの項目の型を指定する。また、…

最近、なんかはてなアンテナとGmailの調子が悪いなぁ？ アンテナははてなダイアリの更新情報が全然反映されないし、gmailはちょくちょくつながらないし

どうでもいいことなんだけど、オブジェクト指向の言語でうれしいことって、関連のあるメソッドを1つのクラスにすることで、必要な変数を共有できることだと思う（これだけじゃないけど）。で、インスタンス毎に共有している変数が別物として扱えるので、非常…

ふと思いついたけど、設計での対策として、デバッグオプションをどう実装するか?というのも考えておいた方が良いかもしれない。 良くあるのが、クエリーパラメータに「debug=on」とかあるとデバッグモードにするという奴。実際、以前検査した中で幾つかあっ…

妙に目が痒いし、鼻水が出てくるorz そろそろかふんちょうか? 眠いしなぁ(これはちと違うか)w

そういえば、今週末はまっちゃだなぁ。でも朝の部って何やるんだろう?ワクワクw

CakePHP http://cakephp.jp/doc/

http://d.hatena.ne.jp/ripjyr/20070214/1171403597 まっちゃさんが書かれてますけど、結構フレームワークやコードジェネレータ使えば、Injection系の攻撃や、CSRFなんかのロジック破壊系の攻撃は防げると思います。というか、某所でいくつか実験したら、防…

OpenXava Hibernate middlegen Hibernate jag Hibernate appfuse Hibernate WebLang Entity Bean PHPCodeGenie パラメータを直接SQL文に埋め込み ということで、PHPCodeGenieはダメっぽいorz

http://itpro.nikkeibp.co.jp/article/COLUMN/20070130/260021/?ST=security&P=2 うそかくなよ。 OSコマンドインジェクションとディレクトリトラバーサルは関係ないし･･･ PATHが通ってたらフルパス書く必要ないんだからさぁ。 あんまりわかってないよなぁ、…

http://wisdom.sakura.ne.jp/system/java/swing/swing47.html http://htmlparser.sourceforge.net/

http://www.atmarkit.co.jp/im/cpm/serial/quality/03/01.html 受け入れテストにセキュリティテストも必要だよなぁ。となると、仕様書になんかかいとかないといけないし。

http://cgi36.plala.or.jp/tera5/ ちょっと色々読んでみる

ということで、一日考えたトピックを書き出してみた http://www.geocities.jp/ikepy0n/SecureDevelopment.pdf いいのか?というのは、アレですが・・・ こんなねたの資料、誰か書いてくれないかなぁ?

コード書き書きに調子乗っていたら4時前だったorz

要件定義から、運用・保守まで、ぼーっと一日かけて（ォィ考えていたら、なんとなく1冊の本になりそうな気がしてきたw さすがに、そんな能力はないけど･･･ とはいえ、一度本は出版してみたいなぁ。

「サニタイズ」という言葉のイメージの問題なのかなぁ? 私の場合、サニタイズ＝出力直前（自分が作ったコード、というか自分で制御できるコード、から別の人が作ったコード、例えばRDBMSとか自分で制御できないコード、にデータを渡す直前）に行うことという…