カミンスキー攻撃について

セキュスペ

hogehoge.www.example.jp.の解決に対し、応答がこうなる。アンサーセクションANSWER SECTION hogehoge.www.example.jp. 86400 IN A なんでもいい解決した結果。ここは何でも良い。権威セクションAUTHORITY SECTION www.example.jp. 86400 IN NS dns1.攻…

2017-10-10

情報セキュリティ対策のしおり　覚書

セキュスペ

サポートの切れたOSやソフトウェア脆弱性が見つかっても、脆弱性を解消するための修正プログラムが作成されないため危険。ネットワークからの攻撃対策ファイアウォール機器(企業) ブロードバンドルータ(個人) パーソナルファイアウォールスケアウェア脅…

2017-10-09

情報漏えい対策のしおり　覚書

セキュスペ

企業の情報資産を、許可なく持ち出さない大切な情報は持ち出さない、仕事を家に持って帰らないこと。情報漏えいの原因となった管理ミスの例引越し後に個人情報の行方がわからなくなった例：誤廃棄受け取ったはずの個人情報が紛失した受け渡し確認が不…

2017-10-09

標的型攻撃メール対策のしおり覚書

セキュスペ

トロイの木馬怖い機能別のマルウェア（ウイルス)を次々に取り込む（ダウンローダとなる）自分自身をアップデートする事で、ウイルス定義を無効化するウイルス対策ソフトの無効化を試みる自分自身を隠蔽する(rootkitとなる) 検知したら業務パソコンの場…

2017-10-03

オープンリダイレクタ対策の正規表現によるドメインのチェック

セキュスペ

preg_match('/example.com/',$url); これは$urlにexample.comが含まれることを確認する正規表現だが、このように、example.comをファイル名に含むファイルを作っておくことで回避できる。http://wana.com/example.com.php 次に、/dir/test.phpのような、ス…

2017-10-03

クリックジャッキング

セキュスペ

例えば、ショッピングサイトの場合正規サイトの内容をiframeで偽懸賞サイトの上にかぶせる。このとき、偽懸賞サイトのの応募と正規サイトの購入ボタンの位置を合わせる事で、もし正規サイトにログインしているユーザがボタンを押したら意図せず商品を購入さ…

2017-10-03

DOMベースのXSS

セキュスペ

検索画面で、検索した文字列を //keywordはクエリdocument.write(keyword);や document.innerHTML=keyword; こうしてエスケープ処理せずに表示するとkeywordにscriptタグが書けるのでXSSが可能な場合がある。安全なやり方文字表示用のdivを作っておき、var…