タグ「csrf」についてのクリップ一覧｜@nifty クリップ http://clip.nifty.com/tag/csrf タグ：「csrf」で絞り込まれたクリップ一覧です。 2009-12-23T08:17:03Z Facebook にクロスサイト リクエスト フォージェリ攻撃の脆弱性 - japan.internet.com Webテクノロジー http://clip.nifty.com/entry?url=http%3A%2F%2Fjapan.internet.com%2Fwebtech%2F20090821%2F11.html&title=Facebook%20%E3%81%AB%E3%82%AF%E3%83%AD%E3%82%B9%E3%82%B5%E3%82%A4%E3%83%88%20%E3%83%AA%E3%82%AF%E3%82%A8%E3%82%B9%E3%83%88%20%E3%83%95%E3%82%A9%E3%83%BC%E3%82%B8%E3%82%A7%E3%83%AA%E6%94%BB%E6%92%83%E3%81%AE%E8%84%86%E5%BC%B1%E6%80%A7%20-%20japan.internet.com%20Web%E3%83%86%E3%82%AF%E3%83%8E%E3%83%AD%E3%82%B8%E3%83%BC 続きを読む続きを読む

クリップへ追加するクリップへ追加する

]]> http://japan.internet.com/webtech/20090821/11.html 1522949 tsupo 2009-08-21T05:11:17Z security csrf img facebook 開発者のための正しいCSRF対策 http://clip.nifty.com/entry?url=http%3A%2F%2Fwww.jumperz.net%2Ftexts%2Fcsrf.htm&title=%E9%96%8B%E7%99%BA%E8%80%85%E3%81%AE%E3%81%9F%E3%82%81%E3%81%AE%E6%AD%A3%E3%81%97%E3%81%84CSRF%E5%AF%BE%E7%AD%96 http://www.jumperz.net/
■はじめにウェブアプリケーション開発者の立場から見たCSRF対策について、さまざまな情報が入り乱れている。筆者が2006年3月の時点において国内のウェブサイトやコンピュータ書籍・雑誌などでCSRF対策について書かれている記事を調べた結果、おどろくべきことに、そのほとんどが誤りを含んでいたり、現実的には使用できない方法を紹介したりしていた。そこで本稿ではウェブアプリケーション開発者にとっての本当に正しいCSRF対策についてまとめることとする。また、採用すべきでないCSRF対策とその理由も合わせて紹介する。

■あらゆる機能がターゲットとなりうるウェブアプリケーションの持つ全ての機能がCSRF攻撃の対象となりうる。まずこのことを認識しておく必要がある。

AmazonのようなショッピングサイトやGoogleのような検索サイト、そしてはてなダイアリーやMixiのような日記やブロ... 続きを読む続きを読む

クリップへ追加するクリップへ追加する

]]> http://www.jumperz.net/texts/csrf.htm 15639 t 2008-09-16T11:27:22Z security csrf 0x000000 Hacking & Security: HTML Control Without Javascript. http://clip.nifty.com/entry?url=http%3A%2F%2Fwww.0x000000.com%2F%3Fi%3D635&title=0x000000%20Hacking%20%26%20Security%3A%20HTML%20Control%20Without%20Javascript. HTML Control Without Javascript. posted on: 01 09 08 →

In some cases users turn off Javascript for some security reasons. HTML has limited scripting, in fact it has almost zero scripting capabilities. Well, that is only true if one discards the FOR attribute on a label element, part of form contr... 続きを読む続きを読む

クリップへ追加するクリップへ追加する

]]> http://www.0x000000.com/?i=635 461967 tsupo 2008-09-03T09:15:13Z security csrf internet summarysite html4 JavaScript無しでフォームをコントロール http://clip.nifty.com/entry?url=http%3A%2F%2Fblog.ohgaki.net%2Fjavascript&title=JavaScript%E7%84%A1%E3%81%97%E3%81%A7%E3%83%95%E3%82%A9%E3%83%BC%E3%83%A0%E3%82%92%E3%82%B3%E3%83%B3%E3%83%88%E3%83%AD%E3%83%BC%E3%83%AB JavaScript無しでフォームを制御する方法はHTML4が策定されている時に追加された機能です。
http://www.w3.org/TR/html401/interact/forms.html#h-17.2.1Read more » 続きを読む続きを読む

クリップへ追加するクリップへ追加する

]]> http://blog.ohgaki.net/javascript 461960 tsupo 2008-09-03T09:10:15Z security csrf internet summarysite html4 ついに起きたＸＳＳ攻撃・セキュリティーは１日にしてならず セキュリティー-最新ニュース:IT-PLUS http://clip.nifty.com/entry?url=http%3A%2F%2Fit.nikkei.co.jp%2Fsecurity%2Fnews%2Findex.aspx%3Fn%3DMMIT2g000021082008&title=%E3%81%A4%E3%81%84%E3%81%AB%E8%B5%B7%E3%81%8D%E3%81%9F%EF%BC%B8%EF%BC%B3%EF%BC%B3%E6%94%BB%E6%92%83%E3%83%BB%E3%82%BB%E3%82%AD%E3%83%A5%E3%83%AA%E3%83%86%E3%82%A3%E3%83%BC%E3%81%AF%EF%BC%91%E6%97%A5%E3%81%AB%E3%81%97%E3%81%A6%E3%81%AA%E3%82%89%E3%81%9A%20%E3%82%BB%E3%82%AD%E3%83%A5%E3%83%AA%E3%83%86%E3%82%A3%E3%83%BC-%E6%9C%80%E6%96%B0%E3%83%8B%E3%83%A5%E3%83%BC%E3%82%B9%3AIT-PLUS 続きを読む続きを読む

クリップへ追加するクリップへ追加する

]]> http://it.nikkei.co.jp/security/news/index.aspx?n=MMIT2g000021082008 440441 tsupo 2008-08-21T06:02:39Z security web csrf internet summarysite xss 個人だから甘いのかな - ぼくはまちちゃん！(Hatena) http://clip.nifty.com/entry?url=http%3A%2F%2Fd.hatena.ne.jp%2FHamachiya2%2F20080804%2Fsecurity&title=%E5%80%8B%E4%BA%BA%E3%81%A0%E3%81%8B%E3%82%89%E7%94%98%E3%81%84%E3%81%AE%E3%81%8B%E3%81%AA%20-%20%E3%81%BC%E3%81%8F%E3%81%AF%E3%81%BE%E3%81%A1%E3%81%A1%E3%82%83%E3%82%93%EF%BC%81%28Hatena%29 続きを読む続きを読む

クリップへ追加するクリップへ追加する

]]> http://d.hatena.ne.jp/Hamachiya2/20080804/security 421628 bookey 2008-08-04T13:56:15Z security csrf internet summarysite xss グーグル、ウェブ脆弱性検知ツール「RatProxy」をリリース:ニュース - CNET Japan http://clip.nifty.com/entry?url=http%3A%2F%2Fjapan.cnet.com%2Fnews%2Fmedia%2Fstory%2F0%2C2000056023%2C20376601%2C00.htm&title=%E3%82%B0%E3%83%BC%E3%82%B0%E3%83%AB%E3%80%81%E3%82%A6%E3%82%A7%E3%83%96%E8%84%86%E5%BC%B1%E6%80%A7%E6%A4%9C%E7%9F%A5%E3%83%84%E3%83%BC%E3%83%AB%E3%80%8CRatProxy%E3%80%8D%E3%82%92%E3%83%AA%E3%83%AA%E3%83%BC%E3%82%B9%3A%E3%83%8B%E3%83%A5%E3%83%BC%E3%82%B9%20-%20CNET%20Japan 続きを読む続きを読む

クリップへ追加するクリップへ追加する

]]> http://japan.cnet.com/news/media/story/0,2000056023,20376601,00.htm 383746 tsupo 2008-07-04T05:39:15Z security csrf internet summarysite webapplication xss sqlinjection commandinjection OpenIDのライブラリにはCSRFに脆弱な物が多い http://clip.nifty.com/entry?url=http%3A%2F%2Fblog.ohgaki.net%2Fopenid-csrf&title=OpenID%E3%81%AE%E3%83%A9%E3%82%A4%E3%83%96%E3%83%A9%E3%83%AA%E3%81%AB%E3%81%AFCSRF%E3%81%AB%E8%84%86%E5%BC%B1%E3%81%AA%E7%89%A9%E3%81%8C%E5%A4%9A%E3%81%84 CSRF - It comes very handy. It seams that no matter how much you talk about it, very few pay attention on the problem. And it is not a problem that you can afford to have. And among the XSS issues, which most OpenID libraries have, CSRF (Cross-site Request Forgery) seams to be the most pervasive form of attack.http://www.gnucitizen.org/blog/hijacking-openid-enabled-accounts
とほとんどのOpenIDのライブラリはCSRFに脆弱だそうです。
tiny problemと書いてありますがとても重要な問題です。OpenIDのようなSSO (Single Sign On）システムが脆弱だとそれを利用しているシステム全体が危険に... 続きを読む続きを読む

クリップへ追加するクリップへ追加する

]]> http://blog.ohgaki.net/openid-csrf 255031 bookey 2008-02-05T08:42:53Z security csrf openid internet summarysite authentication 【PHP TIPS】 58. すごいリロード対策：ITpro http://clip.nifty.com/entry?url=http%3A%2F%2Fitpro.nikkeibp.co.jp%2Farticle%2FCOLUMN%2F20070910%2F281585%2F&title=%E3%80%90PHP%20TIPS%E3%80%91%2058.%20%E3%81%99%E3%81%94%E3%81%84%E3%83%AA%E3%83%AD%E3%83%BC%E3%83%89%E5%AF%BE%E7%AD%96%EF%BC%9AITpro
Linuxサーバーデスクトップビギナーズ
　ITpro ＞ オープンソース/Linux ＞ サーバーLinux入門
新連載5本開始
日経Linux4月号にて

PHP TIPS
【PHP TIPS】 58. すごいリロード対策
まず、日本のサイトにある一般的な登録フォームの画面遷移は入力画面→入力確認画面→完了... 続きを読む続きを読む

クリップへ追加するクリップへ追加する

]]> http://itpro.nikkeibp.co.jp/article/COLUMN/20070910/281585/ 177735 null 2007-10-22T08:37:57Z csrf セキュリティ 川o・-・）＜2nd life - crossdomain.xml と CSRF 脆弱性について http://clip.nifty.com/entry?url=http%3A%2F%2Fd.hatena.ne.jp%2Fsecondlife%2F20070718%2F1184716398&title=%E5%B7%9Do%E3%83%BB-%E3%83%BB%EF%BC%89%EF%BC%9C2nd%20life%20-%20crossdomain.xml%20%E3%81%A8%20CSRF%20%E8%84%86%E5%BC%B1%E6%80%A7%E3%81%AB%E3%81%A4%E3%81%84%E3%81%A6 ようこそゲストさん 最新の日記記事一覧ユーザー登録ログインヘルプ川o・-・）＜2nd life< Shibuya.JS 運営について | はて☆すた OP>2007 07 18■crossdomain.xml と CSRF 脆弱性についてcrossdomain.xml を安易に設置すると CSRF 脆弱性を引き起こす可能性があります。というのも、ここ数が月、それなりの数の crossdomain.xml による CSRF 脆弱性を発見し(現在、それらのサイトでは対策がなされています)、まだまだ Web プログラマに脆弱性を引き起こす可能性がある、という考え方が浸透してないんじゃないか、と思ったので。先月、Life is beautiful: ウェブサービスAPIにおける『成りすまし問題』に関する一考察にも crossdomain.xml について書かれてたのですが、その後もいくつかのサービスで crossdomain.xml を許可ドメインすべてにしているサービスがあったので、注意喚起としてエントリーに書き起こします。自分も一年半ぐらい前は、crossdomain.xml を許可ドメイン... 続きを読む続きを読む

クリップへ追加するクリップへ追加する

]]> http://d.hatena.ne.jp/secondlife/20070718/1184716398 107339 tsupo 2007-07-18T02:46:49Z security flash csrf internet computer crossdomain.xml #6　IT戦士 天野 仁史／こんにちはこんにちは！ Hamachiya2（中編）　はまちちゃんはいかにしてXSS/CSRFを見つけるか｜gihyo.jp http://clip.nifty.com/entry?url=http%3A%2F%2Fgihyo.jp%2Fdev%2Fserial%2F01%2Falpha-geek%2F0017&title=%236%E3%80%80IT%E6%88%A6%E5%A3%AB%20%E5%A4%A9%E9%87%8E%20%E4%BB%81%E5%8F%B2%EF%BC%8F%E3%81%93%E3%82%93%E3%81%AB%E3%81%A1%E3%81%AF%E3%81%93%E3%82%93%E3%81%AB%E3%81%A1%E3%81%AF%EF%BC%81%20Hamachiya2%EF%BC%88%E4%B8%AD%E7%B7%A8%EF%BC%89%E3%80%80%E3%81%AF%E3%81%BE%E3%81%A1%E3%81%A1%E3%82%83%E3%82%93%E3%81%AF%E3%81%84%E3%81%8B%E3%81%AB%E3%81%97%E3%81%A6XSS%2FCSRF%E3%82%92%E8%A6%8B%E3%81%A4%E3%81%91%E3%82%8B%E3%81%8B%EF%BD%9Cgihyo.jp 続きを読む続きを読む

クリップへ追加するクリップへ追加する

]]> http://gihyo.jp/dev/serial/01/alpha-geek/0017 83486 tsupo 2007-05-22T09:59:37Z security csrf internet life entertainment hamachi xss ITmedia News：Google Readerにログイン妨害の脆弱性 http://clip.nifty.com/entry?url=http%3A%2F%2Fwww.itmedia.co.jp%2Fnews%2Farticles%2F0704%2F19%2Fnews018.html&title=ITmedia%20News%EF%BC%9AGoogle%20Reader%E3%81%AB%E3%83%AD%E3%82%B0%E3%82%A4%E3%83%B3%E5%A6%A8%E5%AE%B3%E3%81%AE%E8%84%86%E5%BC%B1%E6%80%A7 続きを読む続きを読む

クリップへ追加するクリップへ追加する

]]> http://www.itmedia.co.jp/news/articles/0704/19/news018.html 73580 tsupo 2007-04-20T05:36:54Z security csrf internet computer googlereader ＠IT：「ぼくはまちちゃん」 ――知られざるCSRF攻撃 http://clip.nifty.com/entry?url=http%3A%2F%2Fwww.atmarkit.co.jp%2Ffsecurity%2Fcolumn%2Fueno%2F33.html&title=%EF%BC%A0IT%EF%BC%9A%E3%80%8C%E3%81%BC%E3%81%8F%E3%81%AF%E3%81%BE%E3%81%A1%E3%81%A1%E3%82%83%E3%82%93%E3%80%8D%20%E2%80%95%E2%80%95%E7%9F%A5%E3%82%89%E3%82%8C%E3%81%96%E3%82%8BCSRF%E6%94%BB%E6%92%83 セキュリティ動向チェック
Security&Trust ウォッチ（33）

「ぼくはまちちゃん」——知られざるCSRF攻撃
上野宣
2005/4/27
○○さんの日記 2005年04月19日
00：00
ぼくはまちちゃん！ ... 続きを読む続きを読む

クリップへ追加するクリップへ追加する

]]> http://www.atmarkit.co.jp/fsecurity/column/ueno/33.html 68524 fairy 2007-04-01T00:54:53Z security csrf