アプリケーションセキュリティ & 安全な開発

門番を欺く「ファイルアップロード」の盲点 — なぜあなたのアップローダーはWebシェルを許してしまうのか現場で数多のインシデントを見てきたが、Webアプリケーションにおける「ファイルアップロード機能」ほど、開発者の善意が攻撃者の武器にすり替...

その「ファイルアップロード」、泥棒に勝手口を開けているのと同じですよ？こんにちは。セキュリティの世界で泥臭い現場を駆け回っているエンジニアです。皆さんが開発しているWebサービスで、「ユーザーがアイコン画像をアップロードする機能」や「ドキュ...

SSTI（サーバーサイドテンプレートインジェクション）の深淵：なぜ「テンプレートエンジン」が最大の脆弱性になるのかやあ、現場の最前線でコードと格闘しているエンジニア諸君。インジェクション攻撃といえば、SQLiやOSコマンドインジェクションを...

テンプレートエンジンは「魔法の箱」じゃない！SSTIから身を守るための基礎知識こんにちは！セキュリティの現場で日々、泥臭い攻防を繰り広げているエンジニアです。今日は、Web開発で避けては通れない「テンプレートエンジン」と、そこに潜むちょっと...

そのテンプレートエンジン、裏口が開いていませんか？：SSTIからRCEに至る「静かなる侵入」のメカニズム現場でコードをレビューしていると、いまだに「テンプレートエンジンを使っているから安全だ」という甘い認識に遭遇する。しかし、Jinja2や...

こんにちは。セキュリティの世界へようこそ。現場でバリバリコードを書いていると、「動けばいいや」とついユーザーからの入力をそのまま画面に表示させてしまうこと、ありますよね。でも、その「親切心」が、実は泥棒に合鍵を渡しているのと同じだとしたらど...

CSPは「魔法の杖」ではない：Report-Onlyモードで見極める攻撃の兆候と防御の境界線セキュリティアーキテクトやテックリード諸氏であれば、一度はCSP（Content Security Policy）の導入で挫折した経験があるはずだ。...

CSPは「導入して終わり」ではない：Report-Onlyモードで防御の「誤爆」をゼロにする戦略現場でセキュリティ設計の話をすると、決まって「CSP（Content Security Policy）を入れたらサイトの機能が壊れた」という悲鳴...

こんにちは！セキュリティの世界へようこそ。日々、コードを書いたりサーバーを管理したりしていると、「セキュリティ対策をしなきゃ」と思う場面は多いですよね。でも、いきなり強固な鍵をかけてしまったせいで、自分たちまで締め出されてシステムが動かなく...

XSSを起点とした「信頼の連鎖」の破壊：CSRFトークン窃取という悪夢アプリケーションセキュリティの現場で、私たちはしばしば「脆弱性のサイロ化」という罠に陥る。SQLインジェクションにはバリデーターを、XSSには出力エンコードを、CSRFに...