栞/#security
- 2007年6月
PHPコードが埋め込まれたGIFファイルの件。
PHPコードの一部にGIFが埋め込まれてるってこと。
CSRF対策とリクエストメソッド。
URLのブラックリストを取得できるAPI。
脆弱性のTOP10。
「PHP-Intrusion Detection System」、PHP向けのWAFみたいなやつ。
SQLインジェクションを利用、DBの構造を把握した上で攻撃。
ModSecurityの設定をGUIで行うためのツール。
「SET NAMESだと文字エンコーディングを利用したSQLインジェクションに脆弱となる可能性があります。」
OpenIDのセキュリティモデル。
- 2007年5月
SQLインジェクションのスキャナ紹介。
DoSの回避、mod_evasiveについて。
ファイルをアップロード、複数のアンチウイルスソフトで検査。
ログイン成功時のリダイレクト先を任意のサイトに指定できる場合はダメ。
カタカナでCAPTCHA。
PHPでパラメータを無害化する試み。WAFのように扱える、かも。
「情報セキュリティ関連の文書をいくつか掲載しています」
タグの除去などを行ってくれるライブラリ、HTML Purifierについて。
- 2007年4月
Piece Frameworkのフロー制御機構について。
マスターパスワードとサイトのドメインを連結、MD5を利用してパスワードを生成。