カテゴリー: Development

Computer, Development, Programming
Computer, Development, Programming
Computer, Development, Programming
Computer, Development, Programming

MOPB-21-2007:PHP compress.bzip2:// URL Wrapper safemode and open_basedir Bypass Vulnerability

3月 18, 2007 #MOPB, #PHP 投稿者 yohgaki

Stefanさんの承諾を得て日本語訳を公開しています。このブログの「the Month of PHP Bugs」カテゴリでMOPBの翻訳ページを一覧できます。分かりやすいように意訳できる部分は意訳します。厳密に原文の通り訳していないので正確性を重視される方は原文をご覧ください。

もっと読む

Computer, Development, Programming
Development, Security

SQLインジェクションカンニングシート

3月 18, 2007 #SQLインジェクション, #脆弱性 投稿者 yohgaki

XSSに比べSQLインジェクションは非常に簡単に防げる脆弱性ですが、まだまだなくなりません。

SQL Injection Cheat Sheetが公開されています。

http://ferruh.mavituna.com/makale/sql-injection-cheatsheet/

追記：上記ページはもう無いようです。以下のURLをご覧ください。

XSS Cheat Sheatと同じような形式になっています。PostgreSQL、MySQL、MS SQL Server、Oracle、その他と攻撃可能なDBMSもわかるようになっています。

OWASPの資料：

参考：

完全なSQLインジェクション対策

CWE-20は知られているか？ 〜 開発者必修のNo.1脆弱性のハズが知られていない 〜

Computer, Development, Programming
Computer, Development, Programming
Computer, Development, Programming
Computer, Development, Programming
Development

トラックバックスパムの防止方法

3月 10, 2007 投稿者 yohgaki

ボットによるコメントスパム防止はCAPTCHAによって行えますが、同じ事をトラックバックスパムにも利用できます。

通常のトラックバックURLは固定アドレスになっていますが、トラックバック送信の鍵をクエリパラメータに含めます。当然鍵は使い捨てでブルートフォース攻撃ができない、URL取得ページ・鍵にします。鍵付きのトラックバックURLを取得するにはCAPTCHA画像の値を送信ないとURLを取得できないようにすればOKです。
# もちろん使った鍵を削除し、鍵には十分に短い有効期限を設定する

それでもSPAMを受け続けるなら鍵付きトラックバックURLをメールアドレスに送信するようにすると良いです。

同じような仕組みのスパム対策はどこかにあるでしょうか?

Computer, Development, Programming
Computer, Development, Programming
Computer, Development, Programming
Computer, Development, Programming