securityintronational

あなたのWebサイトが「合鍵」を作られる前に。ログ分析でインジェクション攻撃を暴く方法こんにちは。セキュリティの世界で「防衛の最前線」を歩んできた人間として、今日はお話ししたいことがあります。Webサイトやアプリを開発しているとき、「どうせ...

「WAFを入れていれば安心」という幻想を破壊する：インジェクション攻撃の最前線「WAF（Web Application Firewall）を導入しました。これでSQLインジェクション対策は万全ですよね？」現場で若手エンジニアからこの質問を受...

「家の鍵を壊さず、泥棒だけを追い返す」— WAFで実現するスマートなWeb防犯こんにちは！セキュリティの世界へようこそ。Webサイトを作っていると「SQLインジェクション」や「OSコマンドインジェクション」といった恐ろしげな言葉を耳にするこ...

出力エンコーディングの「幻想」を剥ぐ：文脈依存型防御のアーキテクチャ多くの開発者が陥る致命的な誤解がある。「フレームワークが自動でエスケープしてくれるから大丈夫だ」という慢心だ。しかし、現場の最前線に立つ我々にとって、その「自動エスケープ」...

「とりあえずhtmlspecialchars」で安心するな：文脈依存の出力エンコーディングが守るWebの防波堤現場のコードレビューをしていると、必ずと言っていいほど目にする光景がある。「とりあえず htmlspecialchars を通して...

なぜ「入力」だけでなく「出力」が命取りになるのか？セキュリティのプロが教える「エンコーディング」の基本こんにちは！現場で泥臭くインシデントと戦い続けているエンジニアです。皆さんは「セキュリティ対策」と聞くと、何を思い浮かべますか？多くの人が...

「ブラックリストは死んだ」：インジェクション防御の境界線と、型安全なアーキテクチャへの回帰セキュリティ・カンファレンスの廊下で若手エンジニアから「このバリデーション、正規表現で危険な文字を除外しているから大丈夫ですよね？」と聞かれるたび、私...

境界線は「拒否」ではなく「許可」で引け：インジェクション攻撃を無力化するホワイトリスト思考現場のエンジニア諸君、日々お疲れ様。今日もどこかのサーバーで、脆弱性を突こうとする無数のリクエストがログを埋め尽くしているはずだ。よく「バリデーション...

なぜ「悪いもの」だけを探すのは無駄なのか？インジェクション攻撃からアプリを守る「ホワイトリスト」の哲学こんにちは。セキュリティの現場で日々、泥臭いインシデントと向き合っているエンジニアです。今日は、プログラミングを始めたばかりの方や、セキュ...

「ORMは魔法の杖ではない」：SQLインジェクションの深淵と、設計者が踏み抜く「境界」の罠ORM（Object-Relational Mapping）を導入すればSQLインジェクション（SQLi）は過去の遺物になる――。もしあなたが本気でそ...