アプリケーションセキュリティ & 安全な開発

画面に何も出ないから大丈夫？「ブラインドSQLインジェクション」という見えない泥棒の話こんにちは。セキュリティの現場に長くいると、「エラーメッセージを消しておけば攻撃されない」と信じているエンジニアに時々出会います。確かに、画面に「SQL ...

SMTPという「レガシーな信頼」が生む死角：メールヘッダーインジェクションの深層SMTP（Simple Mail Transfer Protocol）というプロトコルは、インターネット黎明期の「性善説」の上に成り立っている。現代の高度なアプ...

メールヘッダーインジェクション：その「改行」がシステムをゾンビ化させる現場でインシデント対応をしていると、「まさかメール送信機能が攻撃の踏み台にされるとは」と青ざめる開発者に何度も出会う。メールヘッダーインジェクションは、Webアプリケーシ...

「メールの宛先が勝手に増えてる？」メールヘッダーインジェクションの正体と防犯対策こんにちは。セキュリティの世界へようこそ。皆さんは普段、Webサイトのお問い合わせフォームなどで「自動返信メール」を受け取ったことはありますか？実は、その裏側に...

HTTPヘッダーインジェクション：プロトコル解釈の「隙間」を突く攻撃の解剖学現代のWebアーキテクチャにおいて、SQLインジェクションやXSSは「過去の遺物」として対策が自動化されつつある。しかし、HTTPヘッダーインジェクション（CRLF...

HTTPヘッダーインジェクション：その「改行」がシステムを陥落させる現場でインシデント対応をしていると、「まさか、そんなところで？」という箇所で足元をすくわれるケースによく遭遇します。その筆頭格がHTTPヘッダーインジェクションだ。多くのエ...

その「入力」、信頼しすぎていませんか？HTTPヘッダーインジェクションの正体と防犯術こんにちは！セキュリティの世界へようこそ。日々開発や運用に携わっていると、「入力値のチェックは大事だよ」という話を耳にタコができるほど聞かされると思います。...

テンプレートエンジンは「魔法のメモ帳」？それとも「鍵のかかっていない玄関」？こんにちは。セキュリティの世界へようこそ。今日は、少し専門的だけど、知っておかないと「家ごと盗まれてしまう」ほど恐ろしい「SSTI（サーバーサイドテンプレートインジ...

XPathインジェクション：レガシーの皮を被った「XMLの心臓」を射抜く死角多くのエンジニアが「SQLインジェクションは過去の遺物」と高を括る一方で、エンタープライズの深部やレガシーなB2B連携システムでは、今もなおXML処理が静かに息を潜...

XPathインジェクション：XMLの「裏口」を塞ぐための最前線知識「XML？ まだそんなレガシーな技術を使っているのか？」と鼻で笑うエンジニアもいるかもしれない。だが、金融、物流、そして企業のレガシーな基幹システムにおいて、XMLは今もなお...