securityintronational

こんにちは。セキュリティの世界へようこそ。現場でバリバリとコードを書いていると、「画面に表示する文字」には気を使いますよね。でも、「画面の裏側でやり取りされる手紙（HTTPヘッダー）」にまで意識を向けている人は、意外と少ないものです。今日は...

シェルという「毒杯」の扱い方：OSコマンドインジェクションの深淵を歩くセキュリティアーキテクトとして多くのコードベースを監査してきたが、未だにアプリケーション層で「シェルを直呼び」する実装を目にする。これは、弾丸の入った銃の引き金を、ユーザ...

現場のエンジニアへ告ぐ：OSコマンドインジェクションは「フィルタリング」では防げない「escapeshellarg() を使っているから大丈夫ですよね？」コードレビューで後輩からこう聞かれるたび、私はいつも胃が痛くなる思いをします。残念なが...

玄関の鍵を「壊して」侵入する泥棒たち：OSコマンドインジェクションの恐ろしさこんにちは。現場の最前線でセキュリティと向き合っているエンジニアです。今日は、アプリケーション開発における「最も危険で、かつ最も防ぎやすい」攻撃の一つ、OSコマンド...

XPathインジェクションの深淵：XMLデータストアを「見えない攻撃」から守るための防衛哲学多くの開発者がSQLインジェクションには過敏になる一方で、XMLデータベースや設定ファイル、あるいはSOAPメッセージを処理するバックエンドに潜む「...

XPathインジェクション：XMLの「構造」が牙を剥く瞬間やあ。現場で戦うエンジニア諸君。今日は、多くの開発者が「XMLなんて古い技術だろ？」と油断している隙を突く、XPathインジェクションについて話そう。REST APIが主流の現代でも...

こんにちは。セキュリティの世界へようこそ。現場で泥臭いインシデント対応をしていると、「教科書には載っていないけれど、実はここが一番危ない」という盲点によく出くわします。今日は、少し古いようでいて、今なおWebシステムの裏口をこじ開ける「XP...

LDAPインジェクションの深淵：プロトコル構造に潜む「論理の脱獄」をどう封じ込めるか多くのエンジニアがSQLインジェクションには敏感だが、LDAPインジェクションに対しては「古い技術」「社内LANの中だから安全」という甘い認識でいる。これは...

LDAPインジェクション：なぜ今さら「枯れた技術」の盲点を突かれるのか現場でインシデント対応をしていると、「LDAPなんて古い技術でしょ？ 今さら脆弱性なんてあるの？」という言葉を耳にすることがある。だが、これこそが攻撃者が最も好む「慢心」...

こんにちは。現場で泥臭いインシデント対応に追われている皆さん、お疲れ様です。今日は、少し地味だけど、やられると致命傷になりかねない「LDAPインジェクション」についてお話しします。セキュリティと聞くと難しく感じるかもしれませんが、まずは「家...