アプリケーションセキュリティ & 安全な開発

「お問い合わせフォームを作ったから、これで安心！」……そう思っていませんか？実はそのフォーム、泥棒に「勝手に家中の合鍵を作らせて、好きな場所に郵便物を送りつけさせる」ような大きな隙があるかもしれません。今回は、エンジニアの誰もが一度は通る道...

HTTPヘッダーインジェクションの深淵：プロトコル解釈の「隙間」を突く攻撃者たちHTTPヘッダーインジェクション。この脆弱性を「古い攻撃手法」と侮っているなら、君のアーキテクチャは既に危うい。現代のWebアプリケーションにおいて、この攻撃は...

HTTPヘッダーインジェクション：その「一行の油断」がシステムを崩壊させる理由エンジニア諸君、お疲れ様。今日もコードを書いているか？セキュリティの世界では「入力値はすべて疑え」と口酸っぱく言われるが、意外と盲点になりやすいのがHTTPレスポ...

こんにちは。セキュリティの世界へようこそ。現場でバリバリとコードを書いていると、「画面に表示する文字」には気を使いますよね。でも、「画面の裏側でやり取りされる手紙（HTTPヘッダー）」にまで意識を向けている人は、意外と少ないものです。今日は...

シェルという「毒杯」の扱い方：OSコマンドインジェクションの深淵を歩くセキュリティアーキテクトとして多くのコードベースを監査してきたが、未だにアプリケーション層で「シェルを直呼び」する実装を目にする。これは、弾丸の入った銃の引き金を、ユーザ...

現場のエンジニアへ告ぐ：OSコマンドインジェクションは「フィルタリング」では防げない「escapeshellarg() を使っているから大丈夫ですよね？」コードレビューで後輩からこう聞かれるたび、私はいつも胃が痛くなる思いをします。残念なが...

玄関の鍵を「壊して」侵入する泥棒たち：OSコマンドインジェクションの恐ろしさこんにちは。現場の最前線でセキュリティと向き合っているエンジニアです。今日は、アプリケーション開発における「最も危険で、かつ最も防ぎやすい」攻撃の一つ、OSコマンド...

XPathインジェクションの深淵：XMLデータストアを「見えない攻撃」から守るための防衛哲学多くの開発者がSQLインジェクションには過敏になる一方で、XMLデータベースや設定ファイル、あるいはSOAPメッセージを処理するバックエンドに潜む「...

XPathインジェクション：XMLの「構造」が牙を剥く瞬間やあ。現場で戦うエンジニア諸君。今日は、多くの開発者が「XMLなんて古い技術だろ？」と油断している隙を突く、XPathインジェクションについて話そう。REST APIが主流の現代でも...

こんにちは。セキュリティの世界へようこそ。現場で泥臭いインシデント対応をしていると、「教科書には載っていないけれど、実はここが一番危ない」という盲点によく出くわします。今日は、少し古いようでいて、今なおWebシステムの裏口をこじ開ける「XP...