田中 勇也 wrote a new post, 脆弱性の種類 バッファオーバーフロー 3週間 3日前
バッファオーバーフローについて説明していきます。
■概要
バッファオーバーフローは、プログラムが入力を処理する際に、許容されるバッファサイズを超えてデータを書き込むことによって発生します。これにより、メモリの領域外にデータを書き込んでしまい、プログラムの挙動を不正に操作することが可能になります。
■想定される被害
バッファオーバーフローによって、以下のような被害にあう可能性があります。
どのような被害を受ける[…]
田中 勇也 wrote a new post, パスワードリセットの不備 1か月 3週間前
パスワードリセットの不備について説明していきます。
■概要
パスワードリセットの不備は、ユーザーがパスワードを忘れた場合やアカウントへの不正アクセスを検知した場合に利用され、適切に実装されていないと攻撃者によるアカウントの乗っ取りや不正なパスワードリセットが行われる可能性があります。
■想定される被害
パスワードリセットの不備によって、以下のような被害にあう可能性があります。
どのような被害を受ける可能性があ[…]
田中 勇也 wrote a new post, 脆弱性の種類 セッション管理の不備 2か月 3週間前
セッション管理の不備について説明していきます。
■概要
セッション管理の不備は、Webアプリケーションやシステムがユーザーセッションを管理する際に発生するセキュリティ上の脆弱性です。不適切なセッション管理は、様々な攻撃ベクトルに対して脆弱性を作り出し、ユーザーデータの漏洩、権限の昇格、なりすまし、セッションハイジャックなどのセキュリティ問題を引き起こす可能性があります。
■想定される被害
セッション管理の不備に[…]
田中 勇也 wrote a new post, 脆弱性の種類 CookieのSecure属性不備 3か月 3週間前
CookieのSecure属性不備について説明していきます。
■概要
Secure属性は、Cookieに設定できる1つの属性であり、この属性が設定されている場合、Cookieは安全な暗号化された通信（HTTPS）でのみ送信されるようになります。Secure属性が未設定の場合、CookieはHTTPとHTTPSの双方で送信され、セキュリティの問題が発生する可能性があります。
■想定される被害
CookieのSec[…]
田中 勇也 wrote a new post, 脆弱性の種類 CookieのHttpOnly属性未設定 4か月 3週間前
CookieのHttpOnly属性未設定について説明していきます。
■概要
HttpOnly属性は、Cookieに設定できる1つの属性であり、この属性が設定されている場合、JavaScriptからCookieにアクセスできなくなります。
これにより、悪意のあるスクリプトからのCookieの盗み取りを防ぎ、クロスサイトスクリプティング（XSS）攻撃の影響を軽減します。
■想定される被害
CookieのHttpO[…]
田中 勇也 wrote a new post, 脆弱性の種類 認可制御の不備 5か月 3週間前
認可制御の不備について説明していきます。
■概要
認可制御の不備は、、セキュリティ上の脆弱性で、不正アクセスや権限の異常な拡張など、アプリケーションやシステムの認可プロセスに不備がある場合に発生します。認可制御は、認証（Authentication）と並ぶ重要なセキュリティ要素で、ユーザーやシステムが特定の機能やリソースにアクセスする権限を制御します。
■想定される被害
認可制御の不備によって、以下のような[…]
田中 勇也 wrote a new post, 脆弱性の種類 XML External Entity 6か月 3週間前
XML External Entityについて説明していきます。
■概要
XML External Entity（XML 外部エンティティ参照）は、アプリケーションがXML文書の解析する際[…]
田中 勇也 wrote a new post, 脆弱性の種類 XMLインジェクション 7か月 3週間前
XMLインジェクションについて説明していきます。
■概要
Webアプリケーションで、不正なXMLデータがアプリケーションに挿入されることによって、攻撃者が機密情報を取得したり、アプリケーションを破壊したりすることができる可能性があります。
XMLインジェクションは、アプリケーションがユーザーからの入力を信頼せずにXMLデータとして解釈したり処理したりする場合に発生します。
攻撃者は、不正なXML要素や属性を挿入して[…]
田中 勇也 wrote a new post, 脆弱性の種類 XPathインジェクション 8か月 4週間前
XPathインジェクションについて説明していきます。
■概要
Webアプリケーションで、XML文書を解析する際に発生するセキュリティ上の脆弱性で、XPathインジェクションは、ユーザーの入力を適切に検証・処理せずにXPathクエリに含めることにより、攻撃者が意図しないXPathクエリを実行させることができる脆弱性です。
XPathはXML文書内の要素を指定するためのクエリ言語であり、ウェブアプリケーションでXMLデー[…]
田中 勇也 wrote a new post, 脆弱性の種類 ローカルファイルインクルード 9か月 4週間前
ローカルファイルインクルードについて説明していきます。
■概要
一般的なWebアプリケーションでは、ローカルのファイルシステム上のファイルをインクルード（組み込み）する場合があります。
この際、攻撃者が制御可能なパラメータ（通常はURLのクエリパラメータやフォームの入力値）を利用して任意のファイルを読み込むことで、セキュリティ上の問題が発生する可能性があります。
■想定される被害
ローカルファイルインクルード[…]
田中 勇也 wrote a new post, 脆弱性の種類 リモートファイルインクルード 10か月 4週間前
リモートファイルインクルードについて説明していきます。
■概要
一般的なWebアプリケーションでは、動的なページ生成を行うために外部のファイルやコンポーネントをインクルード（組み込み）する場合があります。
この際、インクルードされるファイルのパスや場所を動的に指定する場合、セキュリティ上の問題が発生する可能性があります。
■想定される被害
リモートファイルインクルードによって、以下のような被害にあう可能性があ[…]
田中 勇也 wrote a new post, 脆弱性の種類 ログアウト機能の不備や未実装 12か月前
ログアウト機能の不備や未実装について説明していきます。
■概要
Webアプリケーションではログインを行いセッションが維持されている間、サービスを利用できます。
通常ログアウトを行うとセッションが破棄され、再度ログインをしないとサービスは利用できませんが、ログアウト機能の実装に不備があったり、そもそもログアウト機能が未実装だった場合、ユーザにになりすましてサービスを悪用されてしまう可能性があります。
■想定される[…]
田中 勇也 wrote a new post, 脆弱性の種類 パスワードリセットの不備 1年前
パスワードリセットの不備について説明していきます。
■概要
Webアプリケーションではユーザの認証を行うためにパスワードを利用しますが、パスワードを忘れるユーザも多いため、パスワードをリセットする機能が備わっていることが一般的です。
ただその性質上、パスワードリセット機能に脆弱性があった場合に、影響が大きくなる場合が少なくありません。
セブン＆アイホールディングスの決済サービス「7pay」のようにパスワードリセット[…]
田中 勇也 wrote a new post, 脆弱性の種類 クリックジャッキング 1年 1か月前
クリックジャッキングについて説明していきます。
■概要
攻撃者がWebページ上に透明なリンクやボタンを配置し、それをクリックさせることで、被害者が意図しない操作を行わせる攻撃手法です。
具体的には、攻撃者がWebページ上に配置した透明なボタンなどをクリックすると、その下にある本来のボタンなどがクリックされるようになっており、被害
■想定される被害
クリックジャッキングによって、以下のような被害にあう可能性があ[…]
田中 勇也 wrote a new post, 脆弱性の種類 メールヘッダインジェクション 1年 2か月前
メールヘッダインジェクションについて説明していきます。
■概要
Webアプリケーションの中には、問い合わせフォームやアンケートフォームのように、メールを送信する機能を有するものがあります。
通常、メールの送信先は変更できませんが、実装に不備があると別のメールアドレスを指定できる可能性があります。
これを「メールヘッダインジェクション」と呼びます。
■想定される被害
メールヘッダインジェクションによって、以下[…]
田中 勇也 wrote a new post, 脆弱性の種類 HTTPヘッダーインジェクション 1年 3か月前
HTTPヘッダーインジェクションについて説明していきます。
■概要
Webアプリケーションの通信で利用されるHTTPでは、HTTPヘッダと呼ばれる「どのような情報がリクエストされ、どのようなコンテンツを返すか」を定義する役割があります。
Webアプリケーションでは、ユーザからの様々な入力値を処理しますが、入力値の処理に不備があったままHTTPヘッダに出力する場合、攻撃者によってHTTPレスポンスヘッダに任意のヘッダフ[…]
田中 勇也 wrote a new post, 脆弱性の種類 オープンリダイレクト 1年 4か月前
オープンリダイレクトについて説明していきます。
■概要
Webアプリケーションには、アプリケーション内の他ページや外部サイトに遷移するためのリダイレクト機能を備えてるものがあります。
リダイレクト機能に不備がある場合、攻撃者によってユーザを悪意あるサイトに誘導される可能性があります。
これを「オープンリダイレクト」と呼びます。
リダイレクト機能に以下の点があるとオープンリダイレクトが発生します。
・リダイレ[…]
田中 勇也 wrote a new post, 脆弱性の種類 セッションフィクセーション 1年 5か月前
セッションフィクセーションについて説明していきます。
■概要
前回、セッションIDの発行や管理に不備がある場合、攻撃者によってセッションIDが乗っ取られてしまう「セッションハイジャック」を説明しました。
セッションフィクセーションは、セッションハイジャックとは異なりセッションIDを乗っ取るのではなく、攻撃者が利用しているセッションIDを何らかの方法でユーザに強制させ、攻撃方法となります。
セッションIDを強制さ[…]
田中 勇也 wrote a new post, 脆弱性の種類 セッションハイジャック 1年 6か月前
セッションハイジャックについて説明していきます。
■概要
Webアプリケーションでは、ユーザを識別するためにWebサーバからセッションIDと呼ばれる識別情報が発行され、それによりブラウザとサーバ間のセッションを管理しています。
セッションIDの発行や管理に不備がある場合、攻撃者によってセッションIDが乗っ取られてしまい、そのユーザになりましてアクセスされる可能性があります。
これを「セッションハイジャック」と呼びま[…]
田中 勇也 wrote a new post, 脆弱性の種類 ディレクトリトラバーサル 1年 7か月前
ディレクトリトラバーサルについて説明していきます。
■概要
Webアプリケーションには外部からのパラメータにファイル名を直接指定しているものがありますが、その実装に不備がある場合、攻撃者に非公開ディレクトリにアクセスされる可能性があります。
ディレクトリを横切る(トラバース)ということで「ディレクトリトラバーサル」と呼びます。
※パラメータとは
URLの末尾部分「？」以降の文字列で、サーバに情報を送信する際に[…]
入会申込
ログイン