securityintronational

XSSは「死んだ」のか？：コンテキストを理解しない者は、現場で即死する「XSS？ 今どきフレームワークが勝手にエスケープしてくれるでしょ？」インシデント対応の現場で、若いエンジニアからよく聞く言葉だ。だが、答えは「No」だ。フレームワークが...

クロスサイトスクリプティング(XSS)の攻撃ベクトルとコンテキスト依存の出力エンコーディング：あなたのWebサイト、泥棒に狙われていませんか？こんにちは！サイバーセキュリティの世界へようこそ。ここでは、難解な専門用語をかき集めて「わかったつ...

SQLインジェクションという「古くて新しい」死角：プリペアドステートメントの先にある真実「SQLインジェクションなんて、今どきフレームワークが自動でやってくれるだろう？」もし貴方が現場のテックリードとしてそう考えているなら、それは危険な慢心...

SQLインジェクションを「過去の遺物」にする：動的クエリの誘惑を断ち切る極意エンジニア諸君。セキュリティの現場で長年戦っていると、最新のAIハッキングツールよりも、結局のところ「15年前と全く同じSQLインジェクション」で沈没するシステムが...

「泥棒に合鍵を渡すな！」SQLインジェクションの正体と、今日からできる鉄壁の守り方こんにちは。現場で泥臭いインシデント対応に明け暮れるセキュリティエンジニアです。今日は、Webアプリケーションにおける「最大の鬼門」と言われるSQLインジェク...

OWASP Top 10の「皮」を剥ぐ：リスク評価の裏側と、我々が直面する次世代の深淵OWASP Top 10は、セキュリティの「教科書」として語られることが多い。しかし、現場の最前線に立つ我々にとって、あれは単なるチェックリストではない。...

なぜ「OWASP Top 10」を暗記するだけでは不十分なのか？現場でコードを書いていると、「OWASP Top 10」という言葉は耳にタコができるほど聞かされるだろう。だが、多くのエンジニアが陥る罠がある。それは、「リストの中身を丸暗記す...

なぜ「OWASP Top 10」を知るだけで最強になれるのか？――脆弱性の歴史と「泥棒」から学ぶセキュリティの基本こんにちは！セキュリティの世界へようこそ。「OWASP Top 10」という言葉、聞いたことはありますか？エンジニア界隈では「...