securityintronational

SSRFは「サーバーの肩を借りた内部侵入」だ。その盲点を撃ち抜け。現場でインシデント対応をしていると、いまだに「SSRF（Server-Side Request Forgery）」を単なる「外部サイトへのリクエスト機能」と誤解しているエンジ...

玄関の鍵を閉めても「勝手口」から泥棒が？SSRFという脅威を理解するこんにちは。セキュリティの世界へようこそ。日々、私たちは「ログインパスワードを複雑にする」「怪しいメールのリンクをクリックしない」といった、いわば家の正面玄関を堅く閉ざす努...

オープンリダイレクト脆弱性、その「甘さ」が招く破滅への道サイバーセキュリティの世界では、日々新たな脅威が生まれ、古典的な脆弱性も巧妙な手口で悪用され続けています。今回、我々が深掘りするのは、一見すると些細な、しかしその「甘さ」が致命的な結果...

なぜ「ただのリダイレクト」があなたのキャリアを終わらせるのか：オープンリダイレクトの深淵現場でコードレビューをしていると、未だに「リダイレクト機能なんて、ただの header('Location: ' . $_GET) だろ？」と軽く考えて...

「あなたのサイトから泥棒が？」オープンリダイレクトの恐怖と、信頼を守るための防犯術こんにちは！セキュリティの世界へようこそ。日々、脆弱性診断やインシデント対応の現場に立っていると、「まさか、この程度のコードで？」と驚くような隙から攻撃を受け...

ヘッダーインジェクションの深淵：プロトコル解釈の不一致と「見えない壁」の設計セキュリティの最前線にいる諸君なら、HTTPレスポンスヘッダーへの汚染がいかに「静かなる致命傷」であるかは理解しているはずだ。多くのエンジニアは「バリデーションさえ...

ヘッダーインジェクション：なぜ「たかがヘッダー」がサイトを乗っ取るのかエンジニア諸君、日々コードを叩いていると、ついつい「HTTPヘッダーなんて所詮メタデータだろ？」と軽視したくなる気持ちはわかる。だが、セキュリティの世界で最も致命的な事故...

「ヘッダーに混ぜるな危険！」——HTTPヘッダーインジェクションを、家の鍵の仕組みで理解しようこんにちは！セキュリティの世界へようこそ。システム開発の現場にいると、「HTTPヘッダー」という言葉を耳にすることがあるかもしれません。普段は黒子...

こんにちは。セキュリティの世界へようこそ。現場で泥臭いインシデント対応をしていると、「完璧な鍵をかけたはずの家」なのに、「玄関のメモ帳に合鍵の場所が書いてあった」せいで侵入される……そんなケースを山ほど見てきました。今日は、開発現場でつい軽...

こんにちは。セキュリティの最前線で泥臭いインシデント対応を続けている者です。今日は、開発現場でつい見過ごされがちだけど、一度突かれるとシステムが「全滅」しかねない恐ろしい罠、「安全でないデシリアライゼーション」についてお話しします。難しそう...