Clik here to view.
気づけばプロ並みPHP 副読本：お助け電子BOOKへの寄稿の顛末
谷藤賢一さんの著書『気づけばプロ並みPHP~ショッピングカート作りにチャレンジ!』に、発売1周年の謝恩キャンペーンとして『副読本：お助け電子BOOK』が公開されました(*1)。私はこの副読本の中で、『第2章 【徳丸 浩氏...
View Articleパスワードの定期的変更はパスワードリスト攻撃対策として有効か
パスワードリスト攻撃の対策として、パスワードの定期的変更に意味があるのかという議論があります。私は（利用者側施策としては）実質意味がないと思っていますが、まったく意味がないというわけでもありません。このエントリでは、パスワードの定期的変更がパスワードリスト攻撃に対してどの程度有効かを検討してみます。前提条件パスワードリスト攻撃を以下のように定義します。別のサイトから漏洩したアカウント情報（ログインI...
View ArticleClik here to view.
DrupalのSQLインジェクションCVE-2014-3704について調べてみた
既に日本でも報道されているように、著名なCMSであるDrupalのバージョン7系にはSQLインジェクション脆弱性があります（CVE-2014-3704）。この脆弱性について調査した内容を報告します。ログイン時のSQL文を調べてみるMySQLのクエリログを有効にして、Drupaのログイン時に呼び出されるSQL文を調べてみます。リクエストメッセージは以下となります（一部のヘッダを省略）。POST...
View ArticleNew Class of Vulnerability in Perl Web Applicationsの紹介
Redditを眺めておりましたら以下の記事が目に止まりました。New Class of Vulnerability in Perl Web...
View Articleログインアラートはパスワード定期的変更の代替となるか
パスワードの定期的的変更には実質的にはあまり意味がないのではないかという議論（疑問）から出発した議論を続けておりますが、こちらなどで表明しているように、パスワードの定期的変更が効果をもつ場合もあります。そこで、本稿ではパスワードの定期的変更の代替手段としてログインアラートの運用に着目し、ログインアラートの運用がパスワードの定期的変更の代替となるのか、残る課題は何かについて検討します。パスワード定期的...
View Article『例えば、PHPを避ける』以降PHPはどれだけ安全になったか
この記事はPHPアドベントカレンダー2014の22日目の記事です 。2002年3月に公開されたIPAの人気コンテンツ「セキュアプログラミング講座」が2007年6月に大幅に更新されました。そして、その一節がPHPerたちを激しく刺激することになります。(1) プログラミング言語の選択1)...
View ArticleSQLインジェクション対策もれの責任を開発会社に問う判決
1月13日に、北大の町村教授による興味深いブログ記事が発表されました。privacy:個人情報漏洩で脆弱なシステムの責任をソフトメーカーに問う事例この記事によると、SQLインジェクション脆弱性が原因でクレジットカード情報が漏洩した事件につき、ショップ側が開発会社を相手取り損害賠償請求の裁判を起こし、ショップ側が勝訴したとのことです。判決はこのURLで読むことができます。以下、判例時報2221号に掲載...
View ArticleEximのGHOST脆弱性の影響とバリデーションの関係
大垣さんのブログエントリ「GHOSTを使って攻撃できるケース」を読んだところ、以下のようなことが書いてありました。1. ユーザー入力のIPアドレス（ネットワーク層のIPアドレスではない）に攻撃用データを送る。2. バリデーション無しで攻撃用の不正なIPアドレスをgethostbyname()に渡される。3....
View ArticleGHOST脆弱性を用いてPHPをクラッシュできることを確認した
GHOST脆弱性について、コード実行の影響を受けるソフトウェアとしてEximが知られていますが、PHPにもgethostbynameという関数があり、libcのgethostbyname関数をパラメータ未チェックのまま呼んでいます。そこで、PHPのgethostbynameを用いることでPHPをクラッシュできる場合があるのではないかと考えました。試行錯誤的に調べた結果、以下のスクリプトでPHPをクラ...
View ArticleClik here to view.
PHPのbasename関数でマルチバイトのファイル名を用いる場合の注意
まずは以下のサンプルをご覧ください。サーバーはWindowsで、内部・外部の文字エンコーディングはUTF-8です。UTF-8のファイル名を外部から受け取り、Windowsなのでファイル名をShift_JISに変換してファイルを読み込んでいます。basename関数を通すことにより、ディレクトリトラバーサル対策を施しています。<?php header('Content-Type:...
View ArticlePHPのbasename関数は不正な文字エンコーディングをチェックしない
昨日のエントリにて、PHPのbasename関数はマルチバイト文字を扱えることを説明しましたが、このブログの読者であれば、きっとbasename関数は不正な文字エンコーディングについてどの程度チェックするのかという疑問が生じたことでしょう（きっぱり）。実はbasename自体は、不正な文字エンコーディングをチェックせず、垂れ流してしまいます。その理由をbasenameのソースコードで確認してみましょ...
View ArticleClik here to view.
PHPのmb_ereg関数群は不正な文字エンコーディングをチェックしない
PHPのbasename関数には、マルチバイトに対応していないという誤解（実際にはロケールの設定をすればマルチバイトでも使える）があったり、不正な文字エンコーディングをチェックしないという課題があったりで、イマイチだなーと思っている方も多いと思います。そういう方々が、preg_replace（u修飾子つき）やmb_ereg_replaceを用いて代替関数を作成している解説も見かけますが、それではこれ...
View ArticleWebアプリケーション脆弱性診断の検査対象をどう絞り込めばよいか
ソニーDNAさんの『入門！基礎からわかる「失敗しないWeb診断業者の選び方」』というブログ記事を読みました。全体的に穏当な内容で異論はないのですが、興味深い内容なので、屋上屋を架すようですが少し追加して考えてみたいと思います。私が特に注目したのは以下の箇所です。2....
View ArticleHASHコンサルティングのイー・ガーディアングループ参加に関するお知らせ
既にご案内の通り、イー・ガーディアン株式会社がHASHコンサルティング株式会社の全株式を取得し、完全子会社化することで合意いたしましたのでご案内いたします。平たくというと、何が変わるの?(1) HASHコンサルティング株式会社の株主が変わります旧株主: 徳丸浩(100%) → 新株主: イー・ガーディアン株式会社(100%)(2) 本社が移転します旧本社: 東京都品川区（自宅兼オフィス）新本社:...
View ArticleClik here to view.
キャッシュ制御不備の脆弱性にご用心
古い書籍に掲載されたPHP記述の掲示板ソフトを動かしていると、ログアウト処理がうまく動作していないことに気がつきました。チェックの方法ですが、ログアウト処理の脆弱性検査の簡単なものは、「安全なウェブサイトの作り方」別冊の「ウェブ健康診断仕様」に記載されています。(J)認証ログアウト機能はあるか、適切に実装されているかログアウト機能がない、あるいはログアウト後「戻る」ボタンでセッションを再開できる場合...
View ArticleTime-based SQL Injectionは意外に実用的だった
このエントリでは、Time-based SQLインジェクション、すなわち時間差を利用したSQLインジェクションが意外に実用的だったという報告をします。デモ映像ありです。はじめにTime-based SQL...
View ArticleClik here to view.
PHP入門書のSQLインジェクションとXSS対策をあらためて調べてみた
継続的にPHP入門書のセキュリティ問題を確認していますが、今回は「やさしいPHP 第3版」を取り上げ、今どきのPHP入門書のセキュリティ状況を報告したいと思います。やさしいPHP やさしいシリーズ 単行本 – 2008/2/29やさしいPHP 第2版 (やさしいシリーズ) 単行本 – 2010/8/28やさしいPHP 第3版 (「やさしい」シリーズ) 大型本 –...
View ArticleClik here to view.
「10日でおぼえるPHP入門教室 第4版」はセキュリティ面で高評価
弊社本社の麻布十番移転に伴い、本社近くの麻布図書館を利用しています。麻布図書館は土地柄のイメージにあう瀟洒な建物で、蔵書がない場合は港区の他の図書館から取り寄せ（無料です）ができますので、よく利用しています。今回は、山田祥寛さんの「10日でおぼえるPHP入門教室...
View Article