PHPが文字エンコーディング攻撃に比較的強い理由は入出力の文字エンコーディングのバリデーション（サニタイズ）が行えるだけではありません。PHPが提供するHTMLエスケープ関数が文字エンコーディング攻撃に対して強い事も理由の一つです。PerlでHTMLエスケープと言えば、<,>,&,",'をエンティ... [ 詳細 ] [ 関連 ] [ ニコニコ風 ]
|
少し時間が経ってしまいましたが、以下のページを読んで、PHP に関連する部分について思ったことを書きたいと思います。http://blog.ohgaki.net/char_encoding_must_be_validatedhttp://blog.ohgaki.net/is-char-encodi... [ 詳細 ] [ 関連 ] [ ニコニコ風 ]
|
アプリケーション開発者がセキュリティ対策を行うべき部分とはどこか?当たり前ですがアプリケーションです。アプリケーションとは広い意味でのアプリケーションです。Webアプリの場合もあれば、ライブラリやモジュールであったり、フレームワークであったり、言語やサーバの場合もあります。すべてのアプリケーション... [ 詳細 ] [ 関連 ] [ ニコニコ風 ]
|
一見徳丸さんのブログは分かりやすいように思えますが、それは単純な実験により分かりやすいように見えるだけで複数の間違いがあります。その間違いとは意図の取り違い - 誤読 言語の仕様と実装の理解不足 HTTPやPHP仕様の理解不足 セキュリティ対策をすべき場所の理解不足です。(※0) 徳丸さんは非常勤... [ 詳細 ] [ 関連 ] [ ニコニコ風 ]
|
私が５年前（2004年）に「Webアプリセキュリティ対策入門」を執筆していた時には、既に壊れた文字エンコーディングなどの不正な文字エンコーディングを利用したJavaScriptインジェクションやSQLインジェクション攻撃は比較的広く知られていました。この問題は当時のスラッシュドットジャパンでも取り... [ 詳細 ] [ 関連 ] [ ニコニコ風 ]
|
PHP6のリリースはまだまだ先の話なのですが、PHP6への移行で脆弱なWebアプリが大量に発生する可能性があります。理由は2つ- mb_check_encodingで全ての入力文字エンコーディングが正しいかチェックしていない - PHP6のhtmlentities/htmlspecialcharに... [ 詳細 ] [ 関連 ] [ ニコニコ風 ]
|
なぜPHPアプリにセキュリティホールが多いのか?第26回 まだまだ残っているファイル読み込みバグ2009年6月10日大垣靖男PHP, セキュリティ, ファイル読み込みバグ, require, include12PHPのスクリプト読み込み用の関数である require／indclude文は，PHPが... [ 詳細 ] [ 関連 ] [ ニコニコ風 ]
|
なぜPHPアプリにセキュリティホールが多いのか?：第25回 PHPのアキレス腱にて、大垣靖男氏がPHPのSession Adoption問題について取り上げている。大垣氏は度々この問題を取り上げているが、今のところ氏の主張に同調する人を見かけない。それもそのはずで、大垣氏の主張は間違っていると私は... [ 詳細 ] [ 関連 ] [ ニコニコ風 ]
|
なぜPHPアプリにセキュリティホールが多いのか?第25回 PHPのアキレス腱 ── セッション管理2009年5月13日大垣靖男PHP, セキュリティ, セッションアダプション123PHPにはHTTPセッション管理モジュールが標準で付いてきます。このセッションモジュールには非常に重大なセキュリティ上... [ 詳細 ] [ 関連 ] [ ニコニコ風 ]
|
PHPには広く知られているにも関わらず放置されている既知のセキュリティ脆弱性が幾つかあります。その一つがセッションモジュールのセッションアダプション(Session Adoption)脆弱性です。この脆弱性は現在広く利用されているWebアプリケーションの安全性に、非常に大きな影響を与える脆弱性です... [ 詳細 ] [ 関連 ] [ ニコニコ風 ]
|
PHP4のサポートは2008/8/8を持って終了しました。サポート終了に合わせて、最後のPHP4リリースとなる4.4.9がリリースされています。サポートが終了していますが、稼動中のPHPの半分はまだPHP4であるとる統計情報もあり、まだまだ現役です。PHPプロジェクトのサポート終了したため、PHP... [ 詳細 ] [ 関連 ] [ ニコニコ風 ]
|
大垣靖男さんの連載からなぜPHPアプリにセキュリティホールが多いのか?：第21回 文字エンコーディングとセキュリティ（3）｜gihyo.jp … 技術評論社一見この動作は無害のように思えるかもしれませんが，ブラウザなど，“\”がエスケープ文字になっているシステムでは重大な問題となります。" wid... [ 詳細 ] [ 関連 ] [ ニコニコ風 ]
|
随分前から共有型Webホスティングサービスでは安全性を確保できないので、安全性を重視するサイト(ECなど)は最低限でも仮想ホスト型の共有サービスを利用すべきである、と言っています。今回のエントリはPHPをApacheモジュールで共有型ホスティングサービスを利用しているユーザに影響します。SSLを利... [ 詳細 ] [ 関連 ] [ ニコニコ風 ]
|
ZendFrameworkで作る『イマドキ』のWebアプリケーション
第0回 PHPのWeb開発フレームワーク
2009年1月1日
大垣靖男
PHP, フレームワーク, Zend Framework, Dojo123PHPは構文も容易で，開発者が言語を習得するのは非常に簡単です。また，性能もよいた... [ 詳細 ] [ 関連 ] [ ニコニコ風 ]
|
|
なぜPHPアプリにセキュリティホールが多いのか?
第11回 スクリプトインジェクションを防ぐ10のTips
2007年12月17日
大垣靖男
PHP, セキュリティ, プログラミング
前回はスクリプトインジェクションがなくならない理由を紹介しました。それをふまえて今回はスクリプトインジェクションを... [ 詳細 ] [ 関連 ] [ ニコニコ風 ]
|
なぜPHPアプリにセキュリティホールが多いのか?
第10回 スクリプトインジェクションが無くならない10の理由
2007年11月12日
大垣靖男
PHP, セキュリティ, プログラミング
SQLインジェクション対策は非常に簡単です。しかしブラウザに対する「スクリプトインジェクション」はなかなか無く... [ 詳細 ] [ 関連 ] [ ニコニコ風 ]
|
大垣靖男
「PHPのセキュリティは最悪だ」とよく聞きませんか？
本連載では，そのあたりの本当のところを探りながら，Webアプリケーションのセキュリティ対策について考えます。大垣靖男（おおがきやすお）
University of Denver卒。同校にてコンピュータサイエンスとビジネスを学ぶ。株式... [ 詳細 ] [ 関連 ] [ ニコニコ風 ]
|
PHP/脆弱性リスト「修正できない（されない）脆弱性」「修正されていない脆弱性」プログラムの脆弱性原因などを記載したページです。ベストプラクティス的な項目も含めています。これらの仕様自体が問題とは言えないまでもセキュリティ上の問題の原因(アタックベクタの一部)となり得る仕様はプログラマと知っておく... [ 詳細 ] [ 関連 ] [ ニコニコ風 ]
|
誤解を招く記事 - LAMPセキュリティを強化する4つの方法で紹介した記事ように、最近「言語を替えるとセキュリティが向上する」といった間違った認識が広まりつつあるように思えます。結論からいうと、セキュリティに関連する機能が同等な言語であれば「言語を替えるとセキュリティが向上するいう考え」は妄想です... [ 詳細 ] [ 関連 ] [ ニコニコ風 ]
|
【セキュリティ最前線】 セキュリティホールをついて遊ぶ第2回：PHPのSQLインジェクションを実体験著者：大垣 靖男公開日：2008/1/18（金）PHPでSQLインジェクションを実体験本記事では、セキュリティに対する課題を実体験していく。第2回となる今回は、いよいよ実際にテスト環境を構築し、攻撃... [ 詳細 ] [ 関連 ] [ ニコニコ風 ]
|
