語句ログ - ニュース、プログラミング、システムトレードの用語解説

ミクシィの「脆弱性報告制度」

Fri, 24 Jan 2014 00:16:41 +0900

2013年9月30日から2014年3月31日までの期間で実施されている、ミクシィならびにその子会社がリリースしたWebアプリケーションやクライアントアプリケーション、スマホアプリなどの未知の脆弱性を対象にした脆弱性報告制度で、脆弱性の報告者には修正が完了した後、報酬として相当額のギフト券が贈られる。

報酬額は脆弱性が与える影響範囲や成立条件によって異なり、「XSSによって、重要なユーザデータの取得、削除などが可能」な問題」は12万5000円、「SQLインジェクションによって、重要なユーザデータの取得、削除などが可能」な問題は50万円、「リモートから、Webサーバ上で、任意のコードが実行可能」な脆弱性には100万円となっている。

脆弱性報告制度 mixi Developer Center (ミクシィデベロッパーセンター)

体系的に学ぶ安全なWebアプリケーションの作り方　脆弱性が生まれる原理と対策の実践
ソフトバンククリエイティブ著者：徳丸浩

amazon.co.jpのカスタマーレビューを見る
powered by amalink

Link(2) | Trackback(0) | Comment(0)

キーワード

ミクシィ 脆弱性 報奨金

語句ログ - ニュース、プログラミング、システムトレードの用語解説 - 日本の注目ニュース、コンピュータープログラミング（C/C++,Perl,PHP,SQL）、システムトレード（FX,CFD,株価指数,先物）に関する語句（Word）を日本語や英語で解説

PHPメールフォームのサンプルスクリプト

Wed, 13 Jun 2012 13:04:06 +0900

PHPの開発環境でプログラムからメールを送信できるかチェックするために作成した、ごく簡単なメールフォームのサンプルスクリプト（プログラム）です。

mailmform.phpを実行すると入力フォームが表示され。送信ボタンを押す（クリック）すると入力した内容がメール送信されます。

<?php
//------------------------------------------------------------------------------
//    mailform.php - sample mailform php script
//------------------------------------------------------------------------------

mb_language("Japanese");
mb_internal_encoding("UTF-8");

define("MAILTO", "*******@****.***");

$proc = isset($_POST['proc']) ? $_POST['proc'] : '';
//echo $proc; // for debug
if ($proc == 'send') {
    _send();
}
else {
    _input();
}

// 初期表示
function _input() {
    $formdata = array();
    $formdata['subject'] = '';
    $formdata['name'] = '';
    $formdata['from'] = '';
    $formdata['body'] = '';
    _input_form($formdata, '');
}

// 入力フォーム表示
function _input_form($formdata, $message) {

    // XSS対策
    $formdata['subject'] = htmlspecialchars($formdata['subject'], ENT_QUOTES);
    $formdata['name'] = htmlspecialchars($formdata['name'], ENT_QUOTES);
    $formdata['from'] = htmlspecialchars($formdata['from'], ENT_QUOTES);
    $formdata['body'] = htmlspecialchars($formdata['body'], ENT_QUOTES);

echo <<<EOF
<html>
<head>
<meta http-equiv="Content-Type" content="text/html; charset=utf-8" />
<title>サンプルメールフォーム</title>
</head>
<body>
<h2>サンプルメールフォーム</h2>
<p>$message</p>
<form action="mailform.php" method="post">
<input type="hidden" name="proc" value="send">
件名：<br />
<input type="text" name="subject" size="50" value="${formdata['subject']}" /><br />
名前：<br />
<input type="text" name="name" size="50" value="${formdata['name']}" /><br />
メールアドレス：<br />
<input type="text" name="from" size="50" value="${formdata['from']}" /><br />
本文：<br />
<textarea name="body" cols="50" rows="10">${formdata['body']}</textarea><br />
<br />
<input type="submit" value="送信" />
</form>
</body>
</html>
EOF;

    exit();
}

// メール送信
function _send() {

    // パラメータ取得
    $formdata = array();
    $formdata['subject'] = isset($_POST['subject']) ? $_POST['subject'] : '';
    $formdata['name'] = isset($_POST['name']) ? $_POST['name'] : '';
    $formdata['from'] = isset($_POST['from']) ? $_POST['from'] : '';
    $formdata['body'] = isset($_POST['body']) ? $_POST['body'] : '';

    // 入力チェック
    if ($formdata['subject'] == '') {
        _input_form($formdata, '件名を入力してください');
    }
    if ($formdata['name'] == '') {
        _input_form($formdata, '名前を入力してください');
    }
    if ($formdata['from'] == '') {
        _input_form($formdata, 'メールアドレスを入力してください');
    }
    else {
        if (!preg_match('/^[-+\\w]+(\\.[-+\\w]+)*@[-a-z0-9]+(\\.[-a-z0-9]+)*\\.[a-z]{2,6}$/i', $formdata['from'])) {
            _input_form($formdata, '正しいメールアドレスを入力してください');
        }
    }
    if ($formdata['body'] == '') {
        _input_form($formdata, '本文を入力してください');
    }

    // 送信
    $header = "From: " . mb_encode_mimeheader($formdata['name']) . ' <' . $formdata['from'] . '>';
    $result = mb_send_mail(MAILTO, $formdata['subject'], $formdata['body'], $header);
    if ($result) {
        _input_form($formdata, 'メールを送信しました');
    }
    else {
        _input_form($formdata, 'メール送信に失敗しました');
    }
}

?>

Link(5) | Trackback(0) | Comment(0)

キーワード

サンプルプログラム PHP メールフォーム

XSS脆弱性の修正

Tue, 25 May 2010 09:49:41 +0900

自分では対応したつもりのXSS脆弱性でしたが、まだまだ残っているという指摘を
受けたので再度見直して修正しました。使用する場合は最新版での使用をお願いします。

メールフォームCGI
Q&A CGI
ブックマークCGI
59Tracker
59bbs

なお、SourceForge.JPに置いてある「59Tracker」「59bbs」のパッケージはまだ最新版になっていない（明日までには更新する予定）ので、上記のページからダウンロードしてください。

Link(1) | Trackback(0) | Comment(0)

キーワード

XSS 脆弱性 セキュリティ CGI

Q&A CGI、ブックマークCGIにXSSの脆弱性

Thu, 20 May 2010 19:33:50 +0900

先日公開したQ&A CGI、ブックマークCGIにXSS（クロスサイトスクリプティング）の脆弱性があることが判明しました。

Q&A CGI、ブックマークCGIの書庫ファイルを修正版に差し替えましたので、利用する場合は最新版をダウンロードして下さい。

Link(3) | Trackback(0) | Comment(0)

キーワード

XSS 脆弱性 CGI

Webサイトの検索機能を悪用する「IFRAME SEOポイズニング」攻撃

Mon, 27 Apr 2009 04:03:26 +0900

Webサイトの検索機能を利用してウイルスを送り込む攻撃が流行しているそうです。

Webサイトの検索機能を悪用、「IFRAME SEOポイズニング」攻撃が流行

大手のニュースサイトやショッピングサイトなどでは、サイト内の情報（記事や商品情報など）を検索できるように検索機能（検索窓）を用意している。そういったサイトの中には、同様の検索が要求された場合に備えて、検索結果をキャッシュしているところがある。キャッシュされた情報は誰でもアクセス可能なので、Googleをはじめとする検索サイトにも収集される。このことを悪用するのが、今回の報告された攻撃だ。

これはキャッシュがどうこうという問題じゃないのではないでしょうか。検索結果のページに検索クエリーの文字列をそのまま含めるようになっているサイトで、検索機能のクエリーパラメータに問題のタグを設定して外部からリンクされると、検索エンジンにインデックスされてしまうので同じ結果になると思います。

これは、いやな攻撃ですね。

Link(1) | Trackback(0) | Comment(0)

キーワード

Web サイト 検索 IFRAME SEO ポイズニング XSS 脆弱性

「Movable Type 4.24」にクロスサイトスクリプティング（XSS）の脆弱性

Fri, 24 Apr 2009 22:46:06 +0900

情報処理推進機構（IPA）が、シックス・アパートが開発・販売している高機能ブログソフトウェア「Movable Type 4.24」にクロスサイトスクリプティング（XSS）の脆弱性があることを公表した。悪用された場合、ユーザーのブラウザ上で任意のスクリプトが実行される可能性がある。

最新版のMovable Type 4.25 では解決済であリ、シックス・アパートでは、最新版である Movable Type 4.25 へのアップグレード後、グローバルテンプレートの初期化を行うことを強く推奨している。

対象となるバージョン

Movable Type 4.24 (Professional Pack, Community Pack を同梱)
Movable Type Commercial 4.24 (Professional Pack を同梱)
Movable Type 4.24 Enterprise
Movable Type 4.24 (Open Source)
Movable Type 4.24 (Professional Pack, Community Pack を同梱), Movable Type 4.24 Enterprise から Movable Type 4.25 へアップグレードした環境

Movable Type におけるクロスサイトスクリプティングの脆弱性
Movable Type 4.24 でのセキュリティ上の問題について

Link(3) | Trackback(0) | Comment(0)

キーワード

ブログ ムーバブルタイプ Movable Type XSS 脆弱性

Twitter がワーム攻撃を受ける

Mon, 13 Apr 2009 22:13:28 +0900

とりあえず収まってはいるようですが、Twitterがワームによる攻撃を受けたそうです。

Twitterブログ: 週末のワーム

土曜日午前２時ごろ、４つのアカウントが登録され、ワームが広がり始めました。午前７時３０分から１１時まで、ついったーのセキュリティーチームがワームが広がる行程を調査し対処しましたが、約９０のアカウントが感染してしまいました。のちにそのアカウントの安全を確認し、復活しました。

その日の午後、第2次攻撃を受けました。この時新たに１００のアカウントが感染しましたが、同じく安全を確認し復活させました。このときワームを広げる不正コードを見つけて、削除しました。

月曜日の朝に、第３次攻撃を受けました。セキュリティーチームが集まって、リアルタイムでこの攻撃に対処しました。感染してしまったアカウントはすべて復活し、不正なコードは削除されました。ワームを広げるつぶやき約１万つぶやきが削除されました。

警告：Twitter、StalkDailyワームに襲われる（アップデート）

Twitter側から正式に問題が解決したと発表があるまで、安全策をとって、サードパーティーのTwitterクライアントを利用し、他のユーザーのプロフィール・ページを訪問するのを避けるのが賢明だろう。

ワームの攻撃とか人事じゃないので、ユーザーとしてだけじゃなくいろいろ気になるところです。

Twitter XSS 騒動

ネットワークセキュリティHacks 第2版 ―プロが使うテクニック & ツール 100+
著者：Andrew Lockhart
価格：3,360円
オライリー・ジャパン

by Amalink

Link(1) | Trackback(0) | Comment(0)

キーワード

Twitter つぶやき ワーム XSS 脆弱性