[security] タグが付いた質問
6
質問
11
票
5回答
3万 件の閲覧数
脆弱性対策におけるhtmlspecialchars()の使用箇所について
PHPでスクリプト挿入攻撃やXSS対策として、サイタイズのためにhtmlspecialchars()を使うことがあると思いますが、使用する際の詳細が気になったので質問します。具体的には以下の2点です:
サニタイズ関数を適用するタイミングについて
【ユーザからの入力時】【HTMLへの出力時】【その中間】の3パターンが考えられますが、ベストなのはどれでしょうか?GET・POSTパラメータの処理と、...
5
票
2回答
4万 件の閲覧数
PHP での SQL インジェクション対策はどのように行いますか?
PHP と MySQL を利用しています。
以下のようにユーザー入力値など外部からの文字列を使用して SQL クエリーを生成する場合、SQL インジェクションの危険性があります。
$dbh = new PDO('mysql:host=127.0.0.1;dbname=test', 'username', 'password');
$email = $_POST['email'];
$...
11
票
5回答
2,856 件の閲覧数
SSLで保護されていないページにログインフォームが存在するサイトについて
SSLで保護されたログインページはあるものの、保護されていないトップページなどにもログインフォームが存在するサイトをたまに見かけます。
このような状態だとフォーム内容のPOSTリクエスト自体はSSLで保護されていますが、ログインフォームそのものが改竄されたページに誘導された場合に、入力した情報が盗まれる可能性があると思います。(いわゆるフィッシング)
...
5
票
2回答
307 件の閲覧数
JavaScript&HTMLクライアント利用時の、クライアントの正当性を担保する方法について
バックエンドAPIサーバーと通信するクライアントを、JavaScript&HTMLで作成しようとしています。
バックエンドで「正しいクライアントからのリクエストか否か」を調べるためには、クライアントに専用の秘密の文字列を埋め込んでおき、それをリクエストパラメータまたはヘッダに含めて送信するのが一般的なのではないかと思います。
しかし、JavaScript&...
8
票
2回答
360 件の閲覧数
HTTP通信における、中間の攻撃者による内容の改竄について
HTTP通信によって対象ホストから帰ってきた文章が、ローカルと対象ホストの間にある悪意のある中継サーバーによって改竄されてしまったものになっていることはありますか。
これが可能だったとして、そのような話をあまり聞かないのは、(つまり、 HTTPで文章を取得しても、ほとんど大体は改竄されていないのは) なぜでしょうか。
4
票
1回答
4,900 件の閲覧数
insecure_private_key の置き換えについて
vagrantがバージョン1.7以降になってから
初回のbox作成・起動時にinsecure_private_key を
置き換えていると説明されていますが、具体的に何がどうなっているのでしょうか。
質問の経緯は以下のとおりです。
現在ubuntu 15.04でvagrant 1.7.2を使っています。
以前、ホストOSにwindows7を使っていた頃、
vagrantが1....