アプリケーションセキュリティ & 安全な開発

DOMベースXSS：その「便利さ」が招く、ブラウザの中の泥棒にご用心こんにちは。セキュリティの現場で日々、複雑な攻撃と格闘しているエンジニアです。今日は、Web開発の現場で「意外と見落とされがちな落とし穴」である「DOMベースXSS（クロス...

蓄積型XSSの深層：データベースという「毒の培養槽」をどう解毒するか多くのジュニアエンジニアは、XSSを「アラートボックスが出るだけの嫌がらせ」と過小評価している。だが、現場で死線を越えてきた我々にとって、Stored XSS（蓄積型XSS...

蓄積型XSSの恐怖：なぜあなたのDBは「時限爆弾」と化すのか現場でインシデント対応をしていると、「XSSなんて今更でしょ？」という慢心した空気を感じることがある。だが、断言しよう。蓄積型（Stored）XSSを見逃しているシステムは、爆弾の...

忍び寄る「毒入りの手紙」：蓄積型XSSというデータベース汚染の恐怖こんにちは。セキュリティの世界へようこそ。今日は、Web開発者なら一度は耳にするであろう「XSS（クロスサイトスクリプティング）」の中でも、特にタチが悪い「蓄積型（Store...

玄関の鍵を閉めたはずなのに…「反射型XSS」という名の招かれざる客こんにちは。セキュリティの世界で「デジタルな防犯」を専門にしているエンジニアです。今日は、開発現場で避けては通れない「XSS（クロスサイト・スクリプティング）」という攻撃につ...

CSRFは「死んだ脆弱性」ではない：ログの深淵から読み解くセッションハイジャックの萌芽「CSRF（クロスサイトリクエストフォージェリ）？ まさか、今の時代にトークン検証を忘れるエンジニアなんていないだろう」もしあなたがそう考えているなら、そ...

CSRFは「死んだ」のか？：ログから読み解く攻撃の予兆と防御の鉄則「CSRF（クロスサイトリクエストフォージェリ）？ 今どきSameSite属性があるし、もう対策済みでしょ」もし君がそう思っているなら、一度本番環境のWAFログを深く覗いてみ...

なぜ「知らないうちに銀行振込」が行われるのか？CSRF攻撃の仕組みと守り方こんにちは！セキュリティの現場で日々、泥臭いインシデントと向き合っているエンジニアです。今日は、Web開発者なら絶対に避けて通れない「CSRF（シーエスアールエフ）」...

OAuth 2.0認可コード：その「短命さ」が守る境界線と、実装の泥臭い盲点OAuth 2.0の認可コード（Authorization Code）を単なる「一時的なトークン」と捉えているなら、それはセキュリティアーキテクトとしては甘い。これ...

認可コードは「使い捨てのチケット」だ。再利用の隙が命取りになる理由現場でインシデント対応をしていると、OAuth 2.0の実装で「認証さえ通ればいい」という甘い考えに基づいた設計をよく目にする。特に認可コード（Authorization C...