Computer – ページ 27 – yohgaki's blog

Linux Foundationは全面的にDrupalと呼ばれるCMSに移行したそうです。日本のLinux Foundationも当然、Drupalに移行しています。そこでLinux Foundationの小薗井さんから一度講師をして欲しい、と頼まれていました。PHPカンファレンスにいったので、その次の日の日曜日、9月6日の勉強会に参加してきました。

外国人の方が多い、と聞いていたのですが本当に外国人の方の割合が多かった。20名弱(?)ほどのうち4名くらい(?)は外国人の方、日本人の方(?)でも帰国したばかりで日本語がたどたどしいと言われている方もいました。とてもインターナショナルな感じで学生のころを思い出しました。

ユーザ会のURL: http://groups.drupal.org/japan

勉強会の様子は次のような感じです。

その時に使った資料を公開します。

テーマはPHPを使った安全なWebプログラミングの概要です。

クリックしてSecure-PHP-Programming.pdfにアクセス

かなり古い資料をリフレッシュさせたのですが、時代の流れを感じました。昔は「まあ、いいか」と判断していた部分も今でもは「絶対ダメ」になっていたりしました。とは言っても「Webアプリセキュリティ対策入門」はこれより新しく書いたもなので今でも十分通用します。ちょうど良い時期に出版したといえるのかも知れません。

資料にタイポや概要の説明であっても分かり辛い点と思える箇所などありましたら、ぜひ教えて下さい。

DrupalなどのCMSは興味の対象外だったのですが、NetCommonsといい個人的にはブーム(遅すぎ?)になっています。ToDoリストにやりたいことが山積みです…

Computer, Misc

第二回目のオープンラボ岡山は8月8日（土曜日）

8月 4, 2009 投稿者 yohgaki

告知の為のブログみたいになってきていますが、岡山のITとオープンソースの勉強会、オープンラボ岡山の第2回目です。

私は、前回Perlを使ったWebサイト構築のセキュリティで注意すべき点を紹介しました。今回は、RubyかPythonと思っていたのですが、DDDによるデバックを紹介してほしい、とリクエストがあったのでDDDによる簡単Cプログラムのデバック術、をテーマに話をします。

http://openlab.okaya.ma/

まだ、登録済みの参加者が少ないようです。長時間ですが、気楽な勉強会なので全く疲れません。都合良い方は是非どうぞ。

第2回 – オープンラボ岡山

開催日時

2009年8月8日（土）13:00-18:00
会場

さんかく岡山　会議室Ａ（定員50名）
http://www.city.okayama.jp/shimin/danjo/center/
参加費

300円

参加者は運営委員を含めて参加費を負担していただきます。また(基本的には)当日の講師/発表者も参加費を負担します。
参加費は、会場にかかる費用等で変動することがありますが、500円程度を目安にご負担いただいております。
この参加費は、当日必要な経費（会場・プロジェクタ代）などに活用します。
余剰金がでた場合には、次回開催時の費用に当てます。

懇親会

岡山駅近辺で考えています。
参加登録

http://utage.org/enkai/menu.cgi?ENKAI_CODE=openlab01
主催

オープンラボ岡山　実行委員会
共催

* 岡山Javaユーザ会( http://java.okaya.ma/ )
* 瀬戸内Linuxユーザ会（ http://www.stlug.org/ )
* LinuxKernelHackJAPAN( http://hira-consulting.com/wiki )
* オープンセミナー＠岡山実行委員会( http://openseminar.okaya.ma/ )
* 日本PostgreSQLユーザ会中国支部( http://www.postgresql.jp/ )

Computer

オープンセミナー2009＠四国

7月 23, 2009 投稿者 yohgaki

例年、香川県高松で行っているオープンセミナー2009@四国は今週末、7/25(土)午後からです。都合が良い方は是非どうぞ。

オープンセミナー2009＠四国

オープンセミナーはオープンソースとインターネットをテーマにした無料セミナーです。このセミナーの企画と運営はオープンソースのユーザコミュニティのボランティアで行われています。昨年は香川県高松市、徳島県徳島市、岡山県総社市で開催され、今年も既に岡山県総社市で開催しており、徳島県徳島市にて開催予定です。首都圏ではこのようなオープンソースユーザコミュニティが主催するセミナーや勉強会は数多くありますが、地方ではまだまだ少ないのが現状です。すばらしい講師陣である事は講師名で検索して頂くと直ぐに分ります。コミュティ主催のセミナーに参加が初めての方もお気軽にお越し下さい。

■名称：オープンセミナー2009＠四国
■参加費：無料
■開催日時：2009年7月25日 13:00から17:00(受付 12:30〜)
■開催場所：サンポートホール高松　５４会議
http://www.sunport-hall.jp/
サンポートホール高松　施設概要　各階平面図
http://www.sunport-hall.jp/shisetu/heimen/index.htm
■アクセス：JR高松駅より徒歩1分。
電車または車でお越し下さい。（有料駐車場あり）
http://www.sunport-hall.jp/shisetu/access.htm
■主催: 瀬戸内Linuxユーザ会（STLUG）http://www.stlug.org/
■共催：日本PostgreSQLユーザ会 http://www.postgresql.jp/
岡山Javaユーザ会
四国BSDユーザ会（S*BUG）
■懇親会：高松駅近辺。費用学生3,000円社会人 5,000円（事前にお申し込みください）

————————————————————————
■セミナー

12:30- 受付開始

13:00-13:50
　○講師：吉田和弘様（日本Rubyの会／株式会社ミッタシステム）
「GPUプログラミング実践編」

14:00-14:50
　○講師：片山昌樹様（有限会社マギシステム）
「ボット最新動向〜米韓サイバー攻撃を読み解く〜」

15:00-15:50
　○講師：相馬純平様（アジャイルプロセス協議会）

16:00-16:50
　○講師：澤田潔様（日本PostgreSQLユーザ会）
「PostgreSQLを安心して使い、性能を見える化する
〜OSSによる病院情報システム(HIS)の強化〜」
内容：
前半は、病院の基幹情報システム（電子カルテ）の隙間・谷間のサブシステムを、病院側のエンジニアが、オープン・ソース・ソフトウェアを活用して開発し、病院職員に満足されつつ、ささやかながらも医療の効率化に貢献した事例をご紹介します。
後半は、現在医療現場の課題となっている「安心・安全・透明性」に絡めて、PostgreSQLを題材に、データベースシステムを安心して使い性能を見える化する話題を提供し、参加された皆さんと議論を深めたいと思います。

16:50-17:00 閉会の挨拶

————————————————————————

■問い合わせ先、懇親会申し込み先：
日本PostgreSQLユーザ会四国支部（株式会社Result内）
四国支部長：山下武志　TEL: 087-832-5527
メール：tyama@mbp.ocn.ne.jp

懇親会費は学生 3,000円/社会人 5,000円を予定しています。
会場から徒歩で移動可能な居酒屋などを予定しています。
懇親会参加をご希望の方は以下のメールをお送りください。
………………………………………………………..
To: tyama@mbp.ocn.ne.jp
Subject: [オープンセミナー2009@四国懇親会参加申込]
——————–
※ 氏名(ふりがな)： ( )
　所属：
　連絡先郵便番号：
　連絡先住所：
　Tel:
　Fax:
※ E-Mail:

〜〜〜〜〜〜〜〜〜〜〜〜〜〜〜〜
　山下武志
　E-mail <tyama @mbp.ocn.ne.jp>
〜〜〜〜〜〜〜〜〜〜〜〜〜〜〜〜

Computer

オープンラボ岡山第1回 7/18

7月 16, 2009 投稿者 yohgaki

「オープンラボ岡山」とは毎月1回、第三土曜日にICT関連の勉強をなんでも行う勉強会です。ロボットの制御、Web開発、言語、カーネル、データベース、セキュリティ、ネットワーク管理、システム管理、勉強したいことをなんでも勉強する勉強会です。

http://openlab.okaya.ma/

詳しい事はリンク先を見ていただくとして、7/13(土)午後から、参加資格なし(誰でもOK。だたし参加登録だけは必用。席の確保の為)、参加費は500円、懇親会ありです。

アナウンスが直前ということもありまだ、余裕がかなりあるようです。

私はPerlを使った安全なWebプログラミングをテーマに話をします。

Computer, Misc

gihyo.jpにPHP 5.3の紹介記事を書きました

7月 15, 2009 #PHP 投稿者 yohgaki

「PHP 5.3の新機能と変更点」と題した記事を書きました。

http://gihyo.jp/dev/feature/01/php53

レイトスタティックバインディングは何に使うのか?と疑問に思っている方も多いようです。新しい機能がどう使えるのか解説するとともに、追加されたモジュールや関数、削除された機能、注意が必用な変更箇所などを紹介しています。

4回に分けて公開されます。気がついた点などはメールかコメントを頂けるとありがたいです。

Computer, Programming

第3回　はじめてのZendFrameworkアプリケーション

5月 13, 2009 #Framework, #PHP 投稿者 yohgaki

第3回　はじめてのZendFrameworkアプリケーションがgihyo.jpで公開されています。

http://gihyo.jp/dev/serial/01/zf-ajax/0003

コメント、質問、不具合など、気づかれた事がございましたらコメントを頂けると助かります。

次回はこのダメダメな初めてアプリケーションを少しマシにします。
その次は4/30にリリースされたZend Framework 1.8の紹介をします。

Computer

オープンセミナー2009@岡山

5月 12, 2009 投稿者 yohgaki

今年もオープンセミナー2009@岡山を5月30日に岡山県立大で開催します。

午前は軽いライトニングトークと勉強会風のセッション、午後はセミナー形式のセッションになります。車で来る事もできるのでお気軽に参加下さい。

http://os2009.okaya.ma/wiki.cgi?page=%B3%AB%BA%C5%B3%B5%CD%D7

Computer

Strict Sessionパッチ – PHP 5.2.8

2月 7, 2009 投稿者 yohgaki

PHP 5.2.8がリリースされてしばらくたち、既にPHP 5.2.9RC1が出ています。更新が遅れていましたが、PHP 5.2.8用のStrict SessionパッチをWikiに入れておきました。

http://wiki.ohgaki.net/index.php?PHP%2Fpatch%2FStrictSession

参考:　
PHP:既知のセキュリティ脆弱性 – Session Adoption
PHP4.4.9のセキュリティ状態

Computer, Development, Programming

Zend_Toolの使い方 – パスに入れない

1月 30, 2009 #Framework, #PHP 投稿者 yohgaki

Zend_ToolのzfコマンドがZendFrameworkのバージョンによって使えたり、使えなかったりする問題で困っていたのですが原因が分かりました。

Zend_Toolのzfコマンドでプロジェクトを作成すると

$ zf create project

ZendFrameworkのファイルをカレントディレクトリのlibraryに全てコピーします。プロジェクトの雛形にはapplication/boostrap.phpが含まれ、ここでinclude_pathが設定されます。boostrap.phpは、エントリポイントとなるpublic/index.php

// @see application/bootstrap.php
$bootstrap = true;
require ‘../application/bootstrap.php’;

から毎回必ず呼ばれるので

// you may wish to add other paths here, or keep system paths: set_include_path(‘../library’ . PATH_SEPARATOR . get_include_path()
set_include_path(‘../library’);

ZendFrameworkのアーカイブはどこに展開しても構わないようになっています。

この事は知っていたのですが、zfコマンドを使わないでZendFrameworkを使えるよう、PEARをインストールしたディレクトリにlibrary/Zendディレクトリをコピーし、デフォルトのphp.iniでinlcude_pathに設定してZendFrameworkを使うようにしていました。

これがどうもダメだったようです。Zend_Toolのディレクトリ構成を見て、似通った構成だったのでもしかして、と思いinclude_path設定を変えて試してみました。すると動かないと思っていたバージョンでもzfコマンドが動作するようになりました。インクルードパスにZendFrameworkのライブラリをパスにいれると、意図しないスクリプトが読み込まれてエラーになったりしていたようです。中途半端に動く物もあったりしたのでですが「previrew版だから仕方ないか」と思って詳しく調べていませんでした。これで一つすっきりしました。

Zend_Toolを試す場合、ZendFrameworkのZendディレクトリはinclude_pathに入れないようにした方が良いようです。基本的な事ですが、探しても情報が見つからなかったので書いておきます。

Computer, Development, Programming, Secure Coding

PHP:既知のセキュリティ脆弱性 – Session Adoption

1月 24, 2009 #PHP, #セッション管理, #脆弱性投稿者 yohgaki

追記：より新しい情報については間違いだらけのHTTPセッション管理とその対策をどうぞ。

PHPには広く知られているにも関わらず放置されている既知のセキュリティ脆弱性が幾つかあります。その一つがセッションモジュールのセッションアダプション(Session Adoption)脆弱性です。この脆弱性は現在広く利用されているWebアプリケーションの安全性に、非常に大きな影響を与える脆弱性です。

セッションアダプション脆弱性とはセッション固定化攻撃を可能とする脆弱性の一種です。セッションアダプションに脆弱なセッション管理システムは、ユーザ(ブラウザ)が送信してきた未初期化のセッションIDを受け入れ、セッションを初期化してしまいます。PHPに限らず、RailsやJavaのフレームワーク等、多くのWebフレームワークに発見されている脆弱性です。

セッションアダプション脆弱性を利用すると、攻撃者は長期間に渡って他人のIDを使う成りすましが可能になる場合があります。IDを盗みたい犯罪者には利用価値の高い脆弱性です。

この脆弱性は、10年以上前から問題視されている国別TLD(ccTLD)の属性ドメイン(国別Top Level Domain, co.jp, or.jpなどのドメイン)にも下位ドメインからクッキーが設定でき、サブドメインのクッキー設定が無視される(送信順序、優先順位がいい加減)、というとんでも無いクッキーの仕様と組み合わせると、大量の他人のユーザセッションIDを取得(設定)し、成りすます事ができます。

セッションアダプション問題は全てのPHP、PHP 4.4.9/PHP 5.2.8/PHP 5.3/PHP 6.0に共通する脆弱性です。

最近、影響範囲はかなり狭くなりましたが、まだまだ注意が必要な脆弱性であり、根本的な解決にはパッチと適切なセキュリティ対策が必要です。

Computer, Programming

文字エンコーディングとセキュリティ（3）

1月 21, 2009 #文字エンコーディ投稿者 yohgaki

gihyo.jpのブログ型の連載である「なぜPHPアプリにセキュリティホールが多いのか?」の

http://gihyo.jp/dev/serial/01/php-security/0021

で、PHPのサンプルコードを書いているのに「JavaScriptなど」とJavaScript用のサンプルコードであるかの様に書いていました。

JavaScript -> PHPに書き換えても良いのですが、両方JavaScriptのサンプルを掲載するように編集者の方に依頼しておきました。

ご指摘頂いた方、ありがとうございます。

Computer, Development, Programming, Security

PHP4.4.9のセキュリティ状態

1月 20, 2009 #PHP 投稿者 yohgaki

PHP4のサポートは2008/8/8を持って終了しました。サポート終了に合わせて、最後のPHP4リリースとなる4.4.9がリリースされています。サポートが終了していますが、稼動中のPHPの半分はまだPHP4であるとる統計情報もあり、まだまだ現役です。

PHPプロジェクトのサポート終了したため、PHP 4.4.9のセキュリティ脆弱性はCVEなどでも報告されなくなりました。この為、普通にセキュリティ情報を収集していてもPHP4.4.9に対する脆弱性情報は入手できません。

カテゴリー: Computer