provephp.com

blog.ohgaki.net

Security | yohgaki's blog

http://blog.ohgaki.net/category/computer/security

正規表現でのメールアドレスチェックは見直すべき – ReDoS. は二つ以上の議論を理解しながら読まなければならないので解りづらい、とご意見を頂いたので セキュアコーディング方法論再構築の試み を再構築してみる として書き直してみました。 追記 解りづらい、とご指摘があったので セキュアコーディング方法論再構築の試み を再構築してみる. 参考 セキュアコーディングについて詳しくない場合、このブログを読む前に セキュアコーディング セキュアプログラミングの歴史. OWASPに対して失礼な誤解 – 入力バリデーションは重要なセキュリティ対策. OWASPは 入力バリデーション とても重要な セキュリティ対策 として考えていますが、OWASP的にはセキュリティ対策ではない、少なくとも重要なセキュリティ対策ではない、というとんでもない誤解はOWASPに対して大変失礼な誤解と言えます。 Webシステムを対象としたWebシステム開発 Webセキュリティ パフォーマンスチューニングのコンサルティング、セミナー開催、書籍などの執筆、 PROVE for PHP. 所属 エレクトロニック サービス イニシアチブ.

blog.ohgaki.net

セキュアプログラミング（防御的プログラミング）の歴史をざっと振り返る | yohgaki's blog

https://blog.ohgaki.net/secure-defensive-programming-history

しかし、セキュリティを無視していたのではありませんが、ざっくり言うと60年代、70年代、80年代は プログラムを作る ことに専念し セキュアなプログラムを作る ことはあまり重視されていませんでした。 つまり、昔は 外部からの攻撃 など考える必要がほとんどなく 予定されているデータ で プログラムが動きさえすればOK だったのです。 当時のUNIXはプロセス分離 メモリ保護 カーネル ユーザーモードなど、マルチユーザーに必要なセキュリティ機能はありましたが、単純なスタックオーバーフロー攻撃を防御する機能さえありませんでした。 が作られたのはモリスワーム事件 1988/11/2 があった直後 1988/11/30 でした。 DEF CON Black Hatなど、セキュリティカンファレンスは攻撃技術の発達のみでなく、防御する側の発展にも大きく貢献しています。 モリスワーム事件から 動くプログラムを作る から 安全に動くプログラムを作る 方向に変わってきました。 出典が見つけられませんでしたがモリスワームの翌年 モリスワーム事件は1988年11月2日 くらいには、概念が考えられたのではないか と思われます。

blog.ohgaki.net

PHP Security | yohgaki's blog

https://blog.ohgaki.net/category/misc/php-security

文字列 ハッシュ の安全な比較方法 – hash equals. User input) { / ユーザー提供の秘密情報不一致 die('不正なアクセスです'); }. Hash equals($secret st, $user input) { die('不正なアクセスです'); }. どうして Content-Typeヘッダー でコード実行ができたのか 気になったので調べたメモです。 コード実行ができた理由は 国際化 翻訳 用のメッセージ処理メソッドが、プログラミング言語のようにパースして実行する仕様 であったことでした。 なぜ強い型を持つ言語はセキュリティ的に強いのか – データ型のバリデーションと構造化されたセキュリティ対策. 強いデータ型を持つ言語は弱いデータ型の言語 PHPやJavaScriptなど に比べよりセキュアなのか なぜよりセキュアなのか 簡単に解説します。 結論から書くと 強いデータ型 はそれだけでは 強いセキュリティ構造 を作るモノではなく、少しだけ安全なコードを書く手助けくらいの効果しか期待できません。 既存の鍵から別の鍵を導出する方式としては HKDF RFC 5869.

blog.ohgaki.net

Computer | yohgaki's blog

https://blog.ohgaki.net/category/computer

このブログをご覧になった方は、上記申込書にご記入いただき、件名を H29ビジネスマインド養成講座申込 として info@es-i.jp へお送り頂ければ申し込み処理を行います。 お手数ですが、弊社 エレクトロニック サービス イニシアチブ 0866-90-2131 までお電話ください。 日時 平成29年11月11日 土曜日 13:00 から 18:00. 場所 岡山大学自然科学棟 第2講義室 PDF案内書に地図を記載. 文字列 ハッシュ の安全な比較方法 – hash equals. User input) { / ユーザー提供の秘密情報不一致 die('不正なアクセスです'); }. Hash equals($secret st, $user input) { die('不正なアクセスです'); }. どうして Content-Typeヘッダー でコード実行ができたのか 気になったので調べたメモです。 コード実行ができた理由は 国際化 翻訳 用のメッセージ処理メソッドが、プログラミング言語のようにパースして実行する仕様 であったことでした。 文字列 ハッシュ の安全な比較方法 - hash equals.

blog.ohgaki.net

yohgaki | yohgaki's blog

https://blog.ohgaki.net/author/yohgaki

このブログをご覧になった方は、上記申込書にご記入いただき、件名を H29ビジネスマインド養成講座申込 として info@es-i.jp へお送り頂ければ申し込み処理を行います。 お手数ですが、弊社 エレクトロニック サービス イニシアチブ 0866-90-2131 までお電話ください。 日時 平成29年11月11日 土曜日 13:00 から 18:00. 場所 岡山大学自然科学棟 第2講義室 PDF案内書に地図を記載. 文字列 ハッシュ の安全な比較方法 – hash equals. User input) { / ユーザー提供の秘密情報不一致 die('不正なアクセスです'); }. Hash equals($secret st, $user input) { die('不正なアクセスです'); }. どうして Content-Typeヘッダー でコード実行ができたのか 気になったので調べたメモです。 コード実行ができた理由は 国際化 翻訳 用のメッセージ処理メソッドが、プログラミング言語のようにパースして実行する仕様 であったことでした。 文字列 ハッシュ の安全な比較方法 - hash equals.

blog.ohgaki.net

PostgreSQL | yohgaki's blog

https://blog.ohgaki.net/category/computer/postgresql

以前でもトリガーやルール、 CTE(Common Table Expression). OWASP Secure Coding Practices – Quick Reference Guide. その中でも比較的簡潔かつ体系的にセキュアプログラミングを解説した資料が OWASP Secure Coding Practices – Quick Reference Guide. CERT Top 10 Secure Coding Standard. つい先程、PostgreSQL GitリポジトリからPostgreSQL 9.4のソースを取得 ビルドして記事を書いています。 文字列 ハッシュ の安全な比較方法 - hash equals. Webシステムを対象としたWebシステム開発 Webセキュリティ パフォーマンスチューニングのコンサルティング、セミナー開催、書籍などの執筆、 PROVE for PHP. の開発、 PHP4.x/5.xレガシーPHPセキュリティパッチサービス. Yohgaki さんのプロフィールを Facebook で表示. Yohgaki さんのプロフィールを Twitter で表示.

blog.ohgaki.net

MySQL | yohgaki's blog

http://blog.ohgaki.net/category/computer/mysql

OWASP Secure Coding Practices – Quick Reference Guide. その中でも比較的簡潔かつ体系的にセキュアプログラミングを解説した資料が OWASP Secure Coding Practices – Quick Reference Guide. CERT Top 10 Secure Coding Standard. 安全なAPI過信症候群 – 普通のRDBMS編. 昨日書いた 安全なAPI過信症候群の処方箋 execv/SQLite3 編. PostgreSQLの場合、識別子のエスケープAPI libpqのPQescapeIdentifier が提供されておりPHPでも pg escape identifier(). PostgreSQLの場合は” ダブルクオート で識別子を囲むことにより、ダブルクォート無しでは利用できない文字 例えば日本語 も識別子に利用できるようになります。 MySQLには文字エンコーディングを変更する SET NAMES SQL文が用意されています。 Pg set client encoding.

blog.ohgaki.net

Don’t use PHP7 type hint for external data | yohgaki's blog

http://blog.ohgaki.net/dont-use-php7-type-hint-for-external-data

Don’t use PHP7 type hint for external data. PHP7, expected 2015 Q4, comes with scalar type hints. That supports “int”, “float”, “array”. While it is good thing to have type hints for basic data types, but it changes the way data was handled in older PHP versions. The fact that Windows build has always 32 bit integer currently is ignored. PHP7 has 64 bit integer support under Windows. PHP7’s Scalar Type Hints. And has 2 modes. To use strict mode, user has to declare it in script file as follows. Php decla...

blog.ohgaki.net

yohgaki's blog | 書かない日記 | ページ 2

http://blog.ohgaki.net/page/2

OWASPに対して失礼な誤解 – 入力バリデーションは重要なセキュリティ対策. OWASPは 入力バリデーション とても重要な セキュリティ対策 として考えていますが、OWASP的にはセキュリティ対策ではない、少なくとも重要なセキュリティ対策ではない、というとんでもない誤解はOWASPに対して大変失礼な誤解と言えます。 デフォルト文字エンコーディング設定の仕様変更は PHP 5.6リリースの際に私が行った変更. PHP 55以下のmbstring正規表現デフォルト文字エンコーディングは”EUC-JP”でした。 All functions that take encoding option use php.internal encoding as default (e.g. htmlentities/mb strlen/mb regex/etc). と書いているのですが、これだけではmb eregなどのデフォルト文字エンコーディングが変わっている事に気が付かない方も多い 気が付かない方が多い と思います。 の開発、 PHP4.x/5.xレガシーPHPセキュリティパッチサービス.