カテゴリー: Computer

Computer, Development, Programming
Computer, PHP Security, Programming, Security

安全なAPI過信症候群の処方箋 – execv/SQLite3編

12月 11, 2014 #OSコマンドインジェクション, #SQLインジェクション, #アンチプラクティス, #脆弱性 投稿者 yohgaki

またプリペアードクエリなど、安全とされるAPI万能と考えている方に会ったのでエントリを書きました。広く病気として治療すべき、と思いエントリを書きます。安全なAPI過信症候群と名付けました。

安全なAPI過信症候群（同類にプリペアードクエリ過信症候群など）：「安全」とされるAPIを使えば安全と、盲目的に信用し考慮すべきリスクを考えない症候群。ITエンジニアが発症し最も重要なセキュリティ対策である入力バリデーションを「必要ない、できない、セキュリティ対策ではない」エスケープは「必要ない、有害である」とする場合、かなり重度の場合が多い。

このブログでは既に何度もプリペアードクエリクエリは不完全である、と指摘しています。プリペアードクエリを使っていれば安全と盲目的に信じている方向けの基礎知識を紹介します。コマンド実行APIのexecvと最も多く利用されているRDBMS、SQLite3が題材です。

現実を知れば安全とされるAPIを盲信することも危険だと解り、安全なAPI過信症候群を完治できると思います。

追記：普通のRDBMS編も作りました。SQLiteの仕様でデータ型がどうなっているか簡単に説明しました。

もっと読む

Computer, Development

Phalcon2.xのRPMパッケージを作る

12月 4, 2014 #Framework, #Phalcon, #PHP 投稿者 yohgaki

このエントリはPhalcon PHP Advent Calendar 2014 4日目のエントリです。2日目としてPhalcon 1.xのRPMパッケージを作っています。今回はPhalcon2のRPMパッケージをphp-phalcon2.xパッケージとして作ります。多分動くと思いますが、ほとんどテストしていないので問題があったらコメントをお願いします。

php-phalconとphp-phalcon2パッケージは同時にインストールできないので注意してください。

もっと読む

Computer, Development, PHP Security, Programming, Secure Coding

PHP/Apache httpdのファイルアップロード/ダウンロード処理

12月 3, 2014 #PHP, #セキュアコーディング技術 投稿者 yohgaki

最近、ファイルアップロード／ダウンロード対策に関する検索が増えているようなので書きました。PHPの場合、スクリプトがアップロードされ実行されてしまうと致命的です。アップロードされたファイルを公開ディレクトリに保存することは好ましくありあせん。しかし、既にそうなっているアプリケーションの場合、改修が困難な時もあります。このような場合もより安全に利用できる設定を紹介します。

参考：「スクリプトアップロード対策」も合わせてどうぞ。

もっと読む

Computer, Development

Phalcon PHPのRPMパッケージを作る

12月 2, 2014 #Framework, #Linux, #Phalcon, #PHP 投稿者 yohgaki

PHP最速フレームワークのPhalconですが、RPMパッケージを使ったシステムへのインストールは最速ではありません。Ubuntuの場合、パッケージがあってapt-getで一発インストールできるのですが、デフォルト／EPELリポジトリにはRHEL/CentOS/Fedora用のRPMパッケージはありません。そこでPhalconのRPMパッケージを自分で作る手順を紹介します。

このエントリはPhalcon PHP Advent Calendar 2014 2日目のエントリです。

追記：SRPMファイルのダウンロードリンクを忘れていました。次のURLでダウンロードできます。

私が普段使っている環境はビルドツールが全て揃っています。もし依存性（BuildRequires、Requires）などが足りなかったら教えてください :)

もっと読む

Computer, Development, Security
Computer, Development, PHP Security, Programming, Secure Coding
Computer, Security
Computer, Linux

Fedora 20（Kernel 3.14.x用）のパッチ済みVmware Workstation 9モジュール

7月 4, 2014 投稿者 yohgaki

モジュールにパッチを当てていたことを忘れてVmware Workstation 9をバージョンアップしてしまいました。当然ですがモジュールがビルドできないので使えない状態になってしまいました。現在、利用しているVmware Workstation 9用のパッチは検索しても簡単には見つからないようなので、手元に残っていたモジュールソースのアーカイブを利用して使えるようにしました。

かなり無責任なエントリですが、Linux 3.14カーネルとVmware Workstationを利用されている方なら参考にはなると思います。また忘れそうなので自分用のメモです。

もっと読む

Computer, Linux

PCをZ97チップセットのマザーボードに更新

6月 18, 2014 #Linux 投稿者 yohgaki

数年ぶりにLinuxをインストールしているメインPCにしているPCのマザーボードを交換、同時にCPU、メモリ、ディスクも新しい物にしました。近々このマザーボードは別のマザーボードに交換すると思います。SSDも交換するかも知れません。Linuxユーザーの為に情報を共有したいと思います。

Linuxは大抵の環境で動作しますが、まだまだいろいろある、という話です。

詳細な調査を行ったのではありません。取り敢えず自分が使う環境を整備する為に試した時のメモ程度だと理解してください。コメント歓迎します。

もっと読む

Computer, Development, Programming, Security

Rails ActriveRecordとSQLインジェクションと実際のアプリケーション

5月 14, 2014 #Framework, #Rails, #Ruby, #SQLインジェクション, #セキュアコーディング技術, #ソースコード検査, #脆弱性 投稿者 yohgaki

先日はActive RecordのSQLインジェクションパターンを紹介しました。今回は脆弱なコードを見つける事を試みようと思います。脆弱とは言っても攻撃可能であることは意味しません。コーディングとして脆弱であるという意味です。実際に攻撃可能であるかどうかまでは確認していません。

 

もっと読む

Computer, Development, Programming, Secure Coding
Computer, Database, Programming, Security
Computer, Development, PHP Security, Programming, Security

SSL脆弱性に備えたパスワード認証方法を考える

4月 11, 2014 #パスワード, #認証 投稿者 yohgaki

ここ数年だけでもSSLに対する攻撃方法やバグが何度も見つかっています。SSLで通信を暗号化していてもパスワード認証時のトラフィックを解読されてしまえば、パスワードが漏洩していまいます。パスワードが判ってしまえば、攻撃者は何度でも被害者のアカウントを利用できます。

脆弱性でなくても、SSLも無効化したMITM（中間者攻撃）も可能です。SSLだから安心、とは考えられません。これを何とかできないか、考えてみます。

参考：

もっと読む

Computer, PHP Security, Programming, Secure Coding

なぜRubyと違い、PHPの正規表現で^$の利用は致命的な問題ではないのか？

4月 10, 2014 #PHP, #Ruby, #セキュアコーディング技術, #正規表現 投稿者 yohgaki

Rubyデフォルトの正規表現では^は行の先頭、$は改行を含む行末にマッチします。PHPのPCREとmbregexでは^はデータの先頭、$は改行を含む行末にマッチします。

この仕様の違いはデータのバリデーションに大きく影響します。

参考： PHPer向け、Ruby/Railsの落とし穴 の続きの解説になります。こちらのエントリもどうぞ。

 

もっと読む