セキュリティ関連

マルウェア

個人情報の保護・漏洩

ニュース・話題

  • MeltdownとSpectreの違いについて分かったこと 2018.1
    • Meltdown はアウトオブオーダー実行、Spectre は分岐予測の実装の問題を突くという違いはあるけれど、どちらも本来権限のないメモリ読み込み命令を投機的に実行させて、その結果キャッシュに残ったサイドエフェクトから値を読み取る
  • 【注意喚起】MS-CHAPv2プロトコルの破綻 2012.8.23
    • MS-CHAPv2という認証プロトコルは、マイクロソフト社製OSのWindowsで採用されている認証プロトコルで、WindowsでVPN通信を行う場合のプロトコルPPTP(Point to Point Tunneling Protocol)において、認証の機能として使用されています。
  • さくらDNSにサブドメインハイジャックを許す脆弱性 2012.6.14
    • 勝手にDNSサーバーを立てて他人のサブドメインを登録できることは問題ない
    • 権威サーバーと同じサーバー上に、他人がサブドメインを登録できることが問題
    • さくらDNSの問題は、「ちょっとDNSサーバー貸して下さい」と頼みながら、そのDNSサーバーに元々設定されているドメイン名のサブドメインが登録できてしまう(チェックされない)ことが問題です。
  • WEBプログラマー必見!WEB脆弱性基礎知識最速マスター 2010.5.10
       *  インジェクション
       * クロスサイト・スクリプティング
       * セッション・ハイジャック
       * アクセス制御や認可制御の欠落
       * ディレクトリ・トラバーサル (Directory Traversal)
       * CSRF(クロスサイト・リクエスト・フォージェリ)
  • 知らなかったらNGなWEBアプリケーション脆弱性一覧 2009.12.16
    • 1. SQLインジェクション
    • 2. OSコマンドインジェクション
    • 3. 公開領域へのファイルの配置
    • 4. ディレクトリトラバーサル
    • 5. パラメータ推測
    • 6. クロスサイトスクリプティング(XSS)
    • 7. クロスサイトリクエストフォージェリ(CSRF)
    • 8. エラーの詳細が表示されてしまうエラー画面
    • 9. デバッグモード
    • 10. Cookieの改ざん
    • 11. ヌルバイト文字列
    • 12. HTTPレスポンススプリッティング
    • 13. UTF-8エンコーディング
    • 14. DNSキャッシュポイズニング

関連Webサイト

  • Virtual Hacking Lab 2015.8
    • セキュリティ学習用にわざと脆弱性を持った状態のWebアプリを配布している
  • JVN iPedia
    • ソフト毎の脆弱性データベース

SQLインジェクション

  • SQLエスケープにおける「\」の取り扱い 2008.6.4
    • 「\」のエスケープを要求するデータベースは日本語処理に特に注意
    • 例えば、Shift_JISを避ける
    • 自作のエスケープを避け、DBにて用意されたものを使う
    • その場合でも過信は禁物で、できるならチェックしてから使うとよい

DNSポイズニング

  • 今更だけどDNSキャッシュポイズニングについて説明するよ 2008.8.13
    • DNSが他のサーバに聞きに行くときに、ポートと呼ばれる窓口を通して聞きに行きます。
    • んで、このポートってのは65535個あるんだけど、ランダムに聞きに行くのが理想。
    • それと、一回聞きに行くごとに違うID(0-65535)を付けて送っています。
    • でも、これらの番号がもし予想しやすかったら?固定されていたら?
    • そこに目がけて嘘のデータを投げ込んでしまえば、嘘の住所をDNSが覚えちゃう。つまり、googleに繋ぎたい人を全く別のサイトに接続させたりすることが出来ちゃう!
    • 今回の問題としては、そのポート番号のランダム性が足りなかったり、決め打ち(53番)だったりする事です。
    • 【メモ】ちなみにプロバイダなどでDNSアップデート後、特定のサイトにつながらないなど接続がおかしくなった場合はipconfig /flushdnsすると改善する場合があるようです
  • DNS脆弱性問題、発見者が詳細を公表 2008.8.9
    • それまではSSL(Secure Socket Layer)を使えばこの攻撃から保護できると考える人が多かったが、Kaminsky氏はWebサイトの有効性を確認するためのSSL証明書でさえ、 DNS攻撃により回避できることを実証した。問題は、SSL証明書を発行する会社が証明書を確認する手段として電子メールやWebなどのインターネット・サービスを使っていることにあるという。「これではDNS攻撃の前では決して安全とは言えない」とKaminsky氏は警鐘を鳴らす。
    • もう1つの大きな問題は「パスワード忘れ」を装う攻撃であるとKaminsky氏は指摘した。この攻撃は、Web上にパスワード回復システムを用意している多くの企業に影響を及ぼす。犯罪者は、サイト上でユーザー・パスワードを忘れたように装い、DNSハッキング・テクニックを使って、そのサイトにパスワードを自分のコンピュータに送るよう仕向けることができるのだ。
  • DNSの機器に対応を 2008.8.8
    • これはDNSキャッシュサーバに偽の情報を注入(毒入れ/Poisoning)するものです。DNSは原理的にキャッシュへの毒入れ脆弱性を持ち合わせており、特に脆弱な実装のDNSサーバソフトウェアでは過去に何度か対応が図られてきました。今回あきらかになった手法は従来手法よりはるかに効率的に、状況によってはほぼ確実に毒入れができるというもので、大変危険なものです。

XSS(CSS)

IP電話の脆弱性

  • IP電話のセキュリティ上の問題点 2005.6.15
  • 誇張されているセキュリティ脅威 2005.6.11
    • IPテレフォニは安全ではない
      • 実際には攻撃はほとんどない
    • モバイル機器を狙ったMalware(悪意のあるソフト)は,広範囲に渡ってダメージを与える
    • ウォーホール型ワームは,ビジネス・トラフィックとVPNにおいてインターネットの信頼性に問題を生じさせる
    • 法令順守はセキュリティ強化と等しい
    • 無線ホット・スポットは安全ではない
      • 802.1Xのアクセス・ポイントを探せばよい
  • Skypeのセキュリティ問題 2005.5.23
    • Skypeによる暗号化がセキュリティホールになる可能性

パッチ関連


トップ   編集 凍結 差分 バックアップ 添付 複製 名前変更 リロード   新規 一覧 単語検索 最終更新   ヘルプ   最終更新のRSS
Last-modified: 2019-07-31 (水) 00:46:29 (632d)