[security] タグが付いた質問
120
質問
0
票
0
回答
25
閲覧数
how to create a system that does not retain credit card information [クローズ済み]
I'm currently creating a web service.
I am asking users to enter their credit card information, but please tell me how to create a system that does not retain credit card information and exchange it ...
1
票
1
回答
92
閲覧数
oauth2.0 利用時の認可コードはサーバー間で共有しても良い?
OAuth2.0において、認可サーバーから発行された認可コードをサーバー間で共有し、認可サーバーからの発行先と異なるサーバーからリソースへアクセスすることは仕様上許容される操作なのでしょうか。
推奨されないであろうということはわかるのですが、RFC6749などを確認する限り、サードパーティーアプリケーションは単一のサーバーであるということが定義されていないため、...
1
票
0
回答
93
閲覧数
eBPFのサンプルコード実行時に Argument list too long
現環境
eBPFの環境構築を以下のページを参考にして、動かしています。
ubuntu 20.04.3 LTS でeBPFをインストール
uname -a
Linux *** 5.4.0-156-generic #173-Ubuntu SMP Tue Jul 11 07:25:22 UTC 2023 x86_64 x86_64 x86_64 GNU/Linux
困っていること
...
0
票
0
回答
111
閲覧数
UPnPを用いて、ファイヤーウォールをバイパスする手法
UPnPを少し調べると、脆弱性が存在していることがわかりました。
ddos用のボットネット構築に用いられたり、スパムメール配信やワンクリック詐欺など,,,,,
その中でファイヤーウォールを回避することも可能という記事を見つけました。
UPnProxy: Blackhat Proxies via NAT Injections
4ぺージにfirewallの回避方法があったのですが、...
-2
票
3
回答
269
閲覧数
miraiマルウェアの感染経路
miraiマルウェアが気になり、様々な記事や実際のコードを読んでみました。
IoTセキュリティガイドラインの国際標準化動向
「Mirai」とはどんなウイルス?感染の脅威や仕組み、対策を解説!
miraiマルウェアは安直なユーザ名とパスワードに設定された機器に対し、辞書攻撃をすることで、IPカメラなどのIoTデバイスに感染することがわかりました。
感染後は、ラテラルムーブメントにより、...
0
票
2
回答
219
閲覧数
他人のセッションIDを使用されたときの対策
セキュリティの件で質問なんですがCakePHP3.9で作ったwebサービスで脆弱性診断を受けてログインユーザーAのセッションIDを使ってログインユーザーBがログインユーザーAの権限で操作できてしまうという報告がありました。
他人のセッションIDを使えばその人になりすまして操作できるのは当たり前だと思うのですが、...
0
票
0
回答
128
閲覧数
IPカメラへのexploitをしたい
以下の動画を参考にtapo c200 v1に対してexploitを実行したいと考えています。
Exploitdb-TP-Link Tapo c200 1.1.15 - リモートコード実行 (YouTube)
動画とは異なりますがgithubの方から使うコードはダウンロードしてきており、いつでも実行できるようにしています。
ですが、いざしてみるとずっと実行されたままで、...
0
票
0
回答
45
閲覧数
nmapで、ERROR: script execution faild (use -d to debug)と表示される
kali linuxでNmapで脆弱性スキャンを行ったところ、このようなエラーが起きました。
|_http-stored-xss: Couldn't find any stored XSS vulnerabilities.
|_http-csrf: Couldn't find any CSRF vulnerabilities.
|_http-dombased-xss: Couldn't find ...
-2
票
1
回答
141
閲覧数
個人情報をアクセス制限をかけたWeb上で管理すると、どういうリスクがありますか?
最終的にやりたいこと
・(自分の)個人情報を後で参照しやすいよう(データベースのように)管理したい
対象
・メールアドレス
・パスワード
・API Secret Key など
※項目は色々あり
案
・サーバへインストールしたPHPとMySQLで作成
・PHPでIPアドレス制限をかける(あるいはメールアドレスによるログイン認証を導入。もしくはIPアドレス制限+ログイン認証)
・URLは誰にも教えない
...
0
票
3
回答
351
閲覧数
匿名掲示板のIDをクッキーに保存するのは危険ですか?
匿名掲示板を作成中です。仕様とご相談したいことは次の通りになります。
・イメージとしては5ちゃんねるみたいな匿名掲示板
・ログインはなし
・匿名だが各人にIDが振り分けられる
・IDの管理について悩んでいる
利用者が別のページに遷移したり、しばらく経って再び訪問した際、同じPCの同じブラウザからアクセスしたことを知るために、サーバーが発行したランダムな文字列のIDをサーバーのDBに保存し、...
0
票
1
回答
208
閲覧数
ログインIDとして使うメールアドレスは Case Sensitive / Insensitive?
メールアドレスは大文字小文字を区別しないで運用される慣習のようです。一方で、ここ StackExchange を含めてメールアドレスをログイン ID として使うサービスは多数あります。
Q. ログイン ID としてメールアドレスをユーザーが POST してきたとき、これを受け取るサービス側はログイン ID としてのメールアドレスの大文字小文字を区別すべきでしょうか、しないべきでしょうか?
i.e;
...
0
票
0
回答
110
閲覧数
ログイン認証なしでのFireStore使用のセキュリティについて
FireBaseのHostingとFireStoreを使ったアプリを考えています。
セキュリティ面で懸念があり、以下の内容について見識がある方がいらっしゃいましたら、ご教授いただきたいです。
また、もし今の構成でセキュリティリスクが高い場合、おすすめの構成なども頂けるとなおありがたいです。
【作りたいアプリ概要】
・Webブラウザで使用するアプリ
・一般公開、ログイン認証なしで誰でも投稿可能
(・...
0
票
1
回答
316
閲覧数
Rails API × Next におけるCSRF対策はCORSの設定だけで良いのかどうか
[Rails API × Next]の構成で、セッションCookieを使ってログイン状態の管理をする予定です。
この場合、Rails APIにCORSの設定をするだけで、CSRF対策は万全といえるのでしょうか??
CORSが設定されていれば、悪意のある外部サイト(異なるオリジン)からのリクエストを防いでくれるので、セッションCookieを利用した偽造リクエストもできないのかなと思っています。
...
2
票
1
回答
104
閲覧数
DBサーバーのセキュリティグループ(sg)に、webサーバーにアタッチされているsgを設定することについて
疑問点
AWS において、DBサーバーのセキュリティグループ(sg)に、webサーバーにアタッチされているsgを設定したいのですが、
webサーバーにアタッチされているsgの内容を踏まえて、そのsgをDBのsgに設定して良いのか疑問があります。
疑問内容
以下がwebサーバーに設定されているsgの詳細です。
※インバウンド
HTTP(TCP):0.0.0.0/0
SSH(TCP):マイIP
...
0
票
2
回答
128
閲覧数
Azure製品がセキュリティ要件を満たしているのか知りたい
Azureの下記サービスの使用を検討しています。
Azure SQL Database
Azure Storage
上記のサービスが下記のセキュリティ評価を満たしているかご存知でしょうか?
調べてみたのですが、情報がありませんでした。ユーザ様のセキュリティ要件に
該当する内容ですので何卒ご回答をお願いします。
セキュリティ要件:
データセンターがティア4以上
ISMSクラウドセキュリティ認証(...
0
票
2
回答
178
閲覧数
攻撃を受ける可能性について
お世話になります。
サーバーが外部より侵入・攻撃を受ける可能性についてお伺いしたいのですが、
以下コマンドを実行し、SSL証明をOFFにしたままにした場合、
どういったリスクがあるか、ご教授いただけないでしょうか。
よろしくお願い致します。
git config --global http.sslVerify false
2
票
0
回答
518
閲覧数
grub2の脆弱性に対する外部からの攻撃可能性について
https://access.redhat.com/security/cve/CVE-2022-28733
現在、上記grub2の脆弱性について影響調査を進めております。
ページの内容をみたところ、ipv4パケット操作に関する脆弱性であることや、attack vectorがNetworkとなっておることから、外部から攻撃が可能なものと読み取っております。
とはいえ、...
1
票
0
回答
99
閲覧数
クライアント証明書の方がAPI Keyよりもセキュアなのでしょうか?
2つのシステムのAPI連携方法を検討しています。API Keyよりもクライアント証明書の方がセキュアそうに感じているのですが、実際はどうなのでしょうか?API Key、クライアント証明書ともに攻撃者に流出、推測したら情報流出のリスクがあるのでセキュリティ強度は同じと考えるべきでしょうか?
1
票
1
回答
149
閲覧数
専用サーバーを利用することで仮想サーバーよりもホスティング業者からの攻撃への保護が追加されますか
サーバーの選定にあたってVPS、クラウド、専用サーバーのキーワードで調べていたら以下の記述を見つけました:
匿名VPNの「ibVPN」をおすすめしないこれだけの理由
クラウドやVPSを積極的に利用し、ランニングコストを抑えています。 もちろん専用サーバも中にはあるのでしょうが、混ぜている時点で不可。
いくらクラウド/VPS上でノーログだとしても、...
1
票
1
回答
142
閲覧数
エンドツーエンドの暗号化ではメディアコンテンツの暗号化は難しいのですか?
ツイッターを見ていると、このようなツイートを見かけました
E2EE は原理上鍵交換が信頼できる形で行われてるか利用者から検証することがかなり難しい、データ量の都合でメディアコンテンツは暗号化されない(できない)ことが多い、概念が難しすぎて一般客からはそうしたあれこれの妥当性を理解できない、などベネフィットとダルさがあまり釣り合ってないと思う
https://twitter.com/ssig33/...
0
票
1
回答
319
閲覧数
設置したphpファイルをDLするとき、php処理部分を表示した状態でファイルをダウンロードされてしまう危険はありますか?
web系プログラムに関して知識が浅いので教えてください。
サーバーに設置されているファイルの中身の <?php ~ ?> で囲われた部分はブラウザの開発者ツールやソースコード表示画面からは自動的に非表示になり、php処理が記載されているファイルをDLしても勝手に非表示になる認識ですが、このphp処理部分が記載されている状態でDLされてしまう事はあるのでしょうか。
また、...
0
票
3
回答
374
閲覧数
ウェブサイト閲覧で感染するコンピューターウィルスの仕組みってどうなってるんでしょうか。
最近htmlを真面目に組むようになりました。
そこで、参考に複数のサイトを眺めていると色々と危険なページを見つけることがあります。
キャッシュポイズニングされてたりetc.
サイトを閲覧しただけで感染するタイプのウィルスがありますが、あれはhtmlやphp、JavaScript等のサイトを構築する言語で生成されるのでしょうか。
それともウェブサイトにアクセスした瞬間、...
0
票
1
回答
353
閲覧数
DBサーバーへ接続する際のIPブロックについて
Vercelの公式ドキュメントの記述についてですが、
DBに接続する際のIPブロックについて違和感を感じる記述があったので、妥当な内容なのか教えてもらえないでしょうか。
https://vercel.com/docs/concepts/solutions/databases
こちらのページの「Allowing & Blocking IP Addresses」の項目です。
...
3
票
2
回答
215
閲覧数
プライベートネットワーク内のDBにパスワードを設定する意味はありますか?
プライベートネットワーク内にサーバー(192.168.0.100)があり、dockerでmongodbサーバーを建てたとします。特に外部に公開する予定はなく、公開する方法も理解できていません。
このmongodbはローカル内でしかアクセスしないのでパスワードを設定しても意味がないという認識で間違いないでしょうか?それとも何かリスクはありますか?
0
票
1
回答
198
閲覧数
シークレットキーの管理はどの様に行うべきか
状況
Laravel8とFirebase Authenticationを用いてWebアプリケーションを作成しました。
以下のサイト様を参考に、resources/keys/配下にFirebaseからダウンロードしたjsonファイルを設置し、アプリケーション側で利用しています。
Laravel6.0 の認証を Firebase のTwitter Oauth認証で行ったメモ
.env
...
0
票
1
回答
98
閲覧数
MacOSのコマンドラインで、悪意のあるプロセスを特定する方法
アンチウイルスソフトなどで、マルウェアや、悪意のあるプロセスなどを特定することができると思いますが、これをOSSを使って、コマンドラインでやる方法はありますか?
0
票
1
回答
675
閲覧数
HTTPSサイトでSecure属性を持たないCookieの取り扱いに関して
HTTPSのみを使用するウェブアプリケーションでは基本的にCookieへのSecure属性付与が推奨されると存じます。
その上で、HTTPを使用中にMITMによりCookieが窃取されるのは理解できますが、
HTTPS環境でも以下の様な罠リンクを踏ませる事でCookieの窃取が出来ると記載が有りました。
<img src="http://www.sample.jp:443/&...
1
票
1
回答
253
閲覧数
NUXTでのKEY情報の隠蔽について
NUXTからAPIを叩く際にKey設定をうまく設定しないと漏洩すると複数のところでみるので、自分の手元でも本当にそうなるのか確認したいのですが、場所がよくわかりらず。。。
具体的にどの場所に書かれているのかご教授頂けますと幸いです。
例えば、こちらのブラウザーから確認できるという表現や
NuxtJSでgenerate時のみmicroCMSのAPIキーを隠す - Qiita
...
1
票
1
回答
171
閲覧数
クラウドIISの仮想フォルダのセキュリティ確保について教えてください
さくらVPS for Windows Serverというクラウドサービスを使い、IISでサイトを公開しています。
IISでは社内アプリのダウンロードサイトを公開しています。
そのサイト自体は、AzureADと連携させて、マイクロソフトアカウントでログインするようにしていますので、安全かと判断しています。
一方で、社内アプリ自体は、.NET Framework のClickOnceを使っていて、...
0
票
4
回答
432
閲覧数
PHP ユーザーログインパスワードの保存先
PHPを学び始めて1年以内の者です。
・$_SESSIONにパスワードを格納するのは安全ではない
・DBにはハッシュ化したパスワードのみを保存
以上をふまえ、
ユーザー情報変更ページで、各々が自分のパスワードを変更をできるよう設定したいのですが
編集ページのform内に「現在のパスワード: ****** 」というようにアスタリスクで表示させたい場合、
慣例となっているやり方はあるのでしょうか。
(...
0
票
0
回答
180
閲覧数
おとり用サーバー(ハニーポット)の作り方
インターネットからの不正アクセス(主に高度標的型攻撃)を分析する目的で、おとり用サーバー(いわゆるハニーポット)を作成しました。目的は下記です。
①どこから(IP/プロバイダ/国など)の攻撃が多いか分析
②攻撃に使用されるツールの取得
③C&CサーバーのIP取得
作成にあたり、他のサーバーへ被害が及んではいけないためある程度できることを絞っています。ただそのせいか、...
0
票
1
回答
171
閲覧数
Postgres の COPY tablename FROM stdin with csv はSQLインジェクションの危険性がありますか?
使用しているのはpython、psycopg2
下記のようなコードが実行するとき、一回ファイルの中身を読み込み、標準入力からDBへ書き込みます。
もし、ファイルの中身にSQLインジェクションができるような記述がある場合、OSに解釈され、SQLインジェクションが発生する可能性があるのでしょうか?
conn_config = dict(port="5432", dbname=&...
1
票
0
回答
90
閲覧数
iOS のアプリは暗号化されているらしいのですが、それはどのような機構で実現されているのでしょうか?
モバイルアプリのセキュリティについて調べていく過程で、 https://stackoverflow.com/a/5557283/3090068 のような記事を何回か見掛けたりします。どういうことかというと、 iOS において、配布されているアプリは暗号化されている、という趣旨の記述です。
質問
iOS アプリが仮に暗号化されているとして、それはどのタイミングで、誰が、何を、...
0
票
0
回答
92
閲覧数
Keychainの使用方法について
基本的なことで申し訳ないのですが教えてください。
開発時点でkeychainに事前に公開鍵などの情報を格納するにはどのように行えば良いのでしょうか?
keychainはentitlements fileにkeychain access groupsに利用されるitemが格納される程度の理解度です。
Xcodeなどからkeychainのベースを編集できたりできるものなのでしょうか?
...
2
票
1
回答
139
閲覧数
DDoSを予告されたときに、すぐにできる緩和策はありますか?
自らの運営するサービスに対するDDoS攻撃を予告された場合、突然攻撃されることと比較して良い点はありますか?
例えば、「1時間後に攻撃する」と予告された場合、1時間でできるなんらかの緩和策はあるのでしょうか。
また、30日後の攻撃を予告された場合はどうでしょうか。
-1
票
2
回答
990
閲覧数
ハッカーは個人宅のIPアドレスを入手した後どのように個別のパソコンに対して侵入を行うのでしょうか?
1.メールの送信元からグローバルIPアドレスを入手
2.この時点で相手のブロードバンド・ルータに当てられているIPアドレスがわかる。
ここまでは想像がつくのですが、その後DHCPサーバ機能でローカルのIPアドレスが割り振られていると思うのですが個別のパソコンに対してどのように攻撃するのでしょうか?
Ping グローバルIP.ローカルIPのようにパケットを投げかけたりできるのでしょうか?
3
票
2
回答
1,078
閲覧数
NATでセキュリティレベルが向上するのはなぜ?
NATについて授業を受け、その中でNATを使う利点に
IPv4の枯渇問題へ対処できる
一か所にIPアドレスの設定が集中しておりISPの移行などが容易
内部ローカルアドレスが隠蔽できるのでセキュリティレベルが上昇する
という3つが上げられました。
最初2つは理解できるのですが、3つ目の「セキュリティレベルが上昇する」とはどういう意味なのでしょうか?
僕の認識では、...
0
票
1
回答
127
閲覧数
RaisのomniauthでGoogleログインのコールバック時に403エラーとなる
RaisのomniauthでGoogleログインの実装を行っており、ローカル環境では正常に動作しています。
サーバー環境(CentOS, Nginx)ではGoogleの認証後に以下のようなURLにコールバックされた時、403エラーが表示されてしまいます。
https://dummy.com/auth/google_oauth2/callback?xxxxxxx&scope=email+...
0
票
2
回答
365
閲覧数
HTMLエスケープについて
質問
HTMLエスケープはどういう時に必要ですか?
質問経緯
・これまで、出力直前に必ずHTMLエスケープを実施してきました。ここでいうHTMLエスケープとは、PHPの htmlspecialchars のような、htmlタグを無効化するものを想定しています
・しかし、(HTMLエスケープ処理を)必ずしも毎回実行しなくてもよいのでは? と思ったので質問します
下記ケースでは、それぞれ(...
0
票
1
回答
685
閲覧数
ESET がインストールされた mac で、 ウェブアプリに [::1] のアドレスで接続できないのは何故?
セキュリティソフトの ESET を入れた mac にて開発を行っています。
この mac で、たとえば rails などの開発サーバーを立ち上げたとき、 127.0.0.1:3000 などの ipv4 経由のアクセスでは rails に問題なく疎通できますが、 localhost:3000 や [::1]:3000 でアクセスしようとすると、ネットワークが eset ...
2
票
1
回答
201
閲覧数
本番デプロイで/var/www以下を公開してもセキュリティ的に大丈夫ですか?
Linux&Laravel初心者です。本番デプロイについて、セキュリティが心配です。
/var/www 以下を公開ディレクトリ?にしています。
projectName = laraprojectです。公開ディレクトリ サーバのデフォルト値の/var/www/html
ここに htmlディレクトリに ->にindex.phpなどのpublicフォルダの中身を起き
vendor類の本体を /...
0
票
1
回答
265
閲覧数
Androidの暗号化と鍵の管理について教えて下さい。
Androidでデータの暗号化と鍵の管理を行うには、Android Keystore Systemを使用するようにデベロッパーページなど記載されていますが、このキー管理はFactoryResetで消えてしまうようです。FactoryResetで消えずにセキュアな鍵の保持方法はないでしょうか?申し訳ないですがご教授下さい。
2
票
3
回答
1万
閲覧数
自作のプログラムがウイルスとして検出されてしまうのはなぜですか?
引数のポインタ渡しについてのプログラムなのですが、パソコンに入っているスーパーセキュリティというセキュリティソフトに引っかかってしまいました。参考書通りのプログラムなのでプログラム自体の問題かセキュリティソフトの問題なのかわかりません。プログラムの問題でウイルスが検出されるということがあるのかお教え願います。
#include <stdio.h>
void myFunc1(int ...
2
票
1
回答
278
閲覧数
google検索でreCAPTCHAの画像のフェードアウト速度が変化するのには技術的な理由がありますか
利用する図書館ではgoogleを利用しており、そこで検索するとreCAPTCHAが出てきます。
自宅ではチェックマークを押して画像を数回選ぶだけで済むのですが、図書館では画像が消えたり出てきたりするのが非常にゆっくりで、画像をクリックするのを5分ほど繰り返さないと先に進めませんでした。
reCAPTCHAでは正しい画像がクリックされたかで人間かロボットかを見分けると理解してますが、
...
1
票
3
回答
1,744
閲覧数
GitHubから通知された "Security Alert" の対処方法を教えてください
以下の質問についてご存知の方がいらっしゃいましたらご教示を願います。
【質問の主旨】
GitHubにプッシュしているディレクトリの一部のファイルについて"serialize-javascript"というお知らせが来ました。どのように対処すれば良いでしょうか?
【質問の補足】
1.
お知らせに基づいて内容を調べていくと、一部のディレクトリ内で使われている以下のコードが
...
-6
票
1
回答
367
閲覧数
マルウェアを作るにはどのような勉強をしたら良いですか? [クローズ済み]
マルウェアを作るにはどのような勉強をしたら良いですか?
セキュリティですか?pythonですか?もちろん技術的な興味です。
作る方法では無くて、作るのに必要不可欠な知識のことです。
5
票
2
回答
1,550
閲覧数
eval関数をwebフォームなどで使うとなぜ危険なのか?
evalをwebのフォームなどで使うとよくないと聞いたのですがなぜでしょうか?
よくない理由を書いている人が掲示板にいました。
If you apply eval() to a string that's given by a user (e.g. in a web form), you might get unintended behaviour which might get you ...
5
票
2
回答
459
閲覧数
BIOSパスワードはどんな安全性を担保していますか?
質問
BIOSパスワードは代表的にはどのようなものがあって、それぞれどんな安全性を担保していますか?
経緯
他の方の質問を読んでいて、「BIOSパスワード」と呼ばれるものが複数あると気付きました。英語版Wikipediaを見ると、次のようにBIOSのパスワードにも色々あると書かれています。
Setting various passwords, such as a password ...
7
票
3
回答
2,844
閲覧数
メールアドレスに記号を許すことによるリスクはありますか?
Gmail ではメールアドレスに + 記号を付けることでひとつのアカウントのメールアドレスにタグを付けて扱うことができます。しかしたとえばユーザー登録時のメールアドレスに + 記号が含まれていると「正しいアドレスを入力してください」とバリデーションエラーを出すウェブアプリにしばしば遭遇します。
RFC 5322 によると、メールアドレスのローカルパートには記号 !#$%&'*+-/=?^...
0
票
0
回答
100
閲覧数
AWSのEC2で作成したサーバのセキュリティ対策に使用できるサービスは何があるでしょうか
■保有知識
・AWSはネットで調べただけで実際の構築経験は無し
・セキュリティに関する設計、構築は未経験
■質問
AWSを使用します。
EC2サーバーを1台構築し、オンプレミスの社内サーバーと接続します。
業務アプリの評価用の環境なので、最小構成での構築とするつもりです。
(VPC内にEC2サーバーを1台構築し、EBSとS3を使用。自社環境のルーターとインターネットVPNで接続。)
...