[B! security][資料] efclのブックマーク

Web セキュリティに関するインターンで伝えようとしたこと - co3k.org

これは VOYAGE GROUP エンジニアブログ：Advent Calendar 2014 の 17 日目のエントリです。 VOYAGE GROUP ではもの創り実践プログラム Treasure というエンジニア向けインターンシップを開催しています [1] [2] 。 Treasure 全体の様子は既に VOYAGE GROUP エンジニアブログにて前編と後編に分けて紹介されていますが、このエントリでは、前半パートにおいて僕が担当した Web セキュリティに関する講義についてお話ししていきます [3] 。講義は休憩や実際に手を動かしてもらいつつで 3 時間半という長丁場でしたが、なぜか随所で笑いが巻き起こる状態で非常に評判がよく、同じ内容を独立した 1 day インターンシップとして京都でも開催させていただけました [4] 。これもひとえに必死に内容に食らいついてくれたイ

efcl 2014/12/21

ウェブアプリのセキュリティの基礎知識についての講義

リンク

HTML5 を利用したWeb アプリケーションのセキュリティ問題に関する調査報告書

HTML5は、WHATWG および W3C が HTML4に代わる次世代の HTML として策定を進めている仕様であり、HTML5およびその周辺技術の利用により、Web サイト閲覧者 (以下、ユーザ) のブラウザ内でのデータ格納、クライアントとサーバ間での双方向通信、位置情報の取得など、従来の HTML4よりも柔軟かつ利便性の高い Web サイトの構築が可能となっています。利便性が向上する一方で、それらの新技術が攻撃者に悪用された際にユーザが受ける影響に関して、十分に検証や周知がされているとは言えず、セキュリティ対策がされないまま普及が進むことが危惧されています。JPCERT/CCでは、HTML5を利用した安全な Web アプリケーション開発のための技術書やガイドラインのベースとなる体系的な資料の提供を目的として、懸念されるセキュリティ問題を抽出した上で検討を加え、それらの問題

efcl 2013/11/11

広義のHTML5やWebWorkerやXHR Lv2などによって起こりえる脆弱性等の問題やXSSフィルターやCSP等についてまとめられた資料

リンク

ブラウザやウェブについて知っておきたい20のこと

メディア関係者向けお問い合わせ先メールでのお問い合わせ: pr-jp@google.com メディア関係者以外からのお問い合わせにはお答えいたしかねます。その他すべてのお問い合わせにつきましては、ヘルプセンターをご覧ください。

efcl 2011/06/03

ブラウザを常に最新にする理由やWebである利点などについてわかりやすい説明をしている絵本的なもの Chrome以外についてもWeb技術に関して優しい説明になってるので、どうしてそうしないとダメなのかと疑問に思ってる人

リンク

XSS例題（下書き中） - st4rdustの日記

課題草案︵第四版︶アリスのサーバにはtext/html︵charsetはUTF-8︶でサーブされるHTML4.01相当のHTML文書を吐き出すサービスがある。以下はそのHTMLの一部分なのだが、第三者であるイブは、一定の条件に従った文字を出力できることに気がついた。 <script type="text/javascript"> ここらへんにイブが何か書ける </script>文字について一文字ずつ投入して調べたところイブが出力できる文字は、以下の通りであった。スペース改行セミコロン三種類の括弧　( ) [ ] { } ローマ字数字イブは試みに、alert(1) 他、いろいろ出力したのだが、エラー表示となり駄目であった。つまり、( や ) については、書きだせる場合とそうではない場合があり、どうやらWAFによって、特定のケースではエラーとなりハネラレルことにイブは気がついた。ア

efcl 2011/05/09

window.nameにスクリプトの断片を仕込んでlocationで実行。同様の手法でeval(name)で最短の実行 http://twitter.com/hasegawayosuke/statuses/67479170933997568

リンク

フォレンジック調査サンプルマインドマップ

フォレンジック調査サンプルマインドマップ [トップ] [調査ツール] [セミナー] [ForensicsAQ] [Forensics MAP] [Ji2 Home] [Ji2 Forensics] コンピュータ・フォレンジック調査において、代表的な調査すべき項目をマインドマップ化したサンプルファイルです。︻注意︼全ての調査すべき項目を網羅的に記載しているものではありません、個別ケースに応じて不要な項目や、別途必要となる項目が多数ありますので、あくまで項目案としての利用を想定した資料となっています。 Windows 系サーバシステムにおける侵害発生時の調査項目︵案︶マップ [pdf] [説明]Windows サーバが外部からの不正アクセスなどを受けた場合の、代表的な調査項目案になります。Webアプリケーションなど、アプリケーション固有の調査項目については含まれていません。Wi

efcl 2010/11/08

フォレンジック調査の項目をまとめたファイル。検査手法。

リンク

フォレンジック調査｜情報漏えい対策・調査の会社ネットエージェント

フォレンジック調査とはフォレンジック(forensic)とは、「法廷の」「法医学の」「科学捜査の」という意味であり、特にコンピュータなどのデジタルデータを対象とした電磁的記録の証拠保全及び調査・分析を行う場合は、コンピュータ・フォレンジック（デジタル・フォレンジック）と呼ばれます。フォレンジック調査では、PCのハードディスクから犯罪の証拠となるメールやドキュメントファイルを特定したり、サーバのログファイルから不正アクセスの記録を見つけ出すことによって、インシデントの全容を解明します。フォレンジック調査が必要となるケースフォレンジック調査が必要となるケースとして、社員による企業の業務情報、個人情報などの不正な持ち出し、クラウドサービス利用による情報漏えい、コンピュータウイルス感染などのインシデントが考えられます。その際に、被害範囲と影響範囲をすばやく特定することで、原因の解明と関係

efcl 2010/10/06

『文字コードとフォレンジック』文字の検索 Unicode文字の合成・結合、正規化、サロゲートペア

リンク