OWASP Top 10の基本概念と最新動向

認可の穴を塞げ：IDOR（ID参照の脆弱性）を「設計の常識」で殺す技術現場でインシデント対応をしていると、SQLインジェクションやXSSよりも遥かにタチが悪いと感じるのが「IDOR（Insecure Direct Object Refere...

こんにちは。セキュリティの現場で長年、泥臭いインシデント対応や防御設計の最前線に立っている者です。今日は、開発者なら誰もが一度は耳にするけれど、実は一番「やらかしやすい」脆弱性、IDOR（Insecure Direct Object Ref...

ORMの「魔法」が招く地獄：プリペアドステートメントの真実とネイティブクエリの暗部ORM（Object-Relational Mapping）を「データベース操作を簡単にするツール」と定義しているうちは、君のアプリケーションはいつまで経って...

ORMという「甘い罠」：なぜあなたのコードはSQLインジェクションを許すのか現場でコードレビューをしていると、未だに「ORMを使っているからSQLインジェクションは大丈夫ですよね？」という若手エンジニアの問いかけに出くわす。結論から言おう。...

「ORMを使っているからSQLインジェクションは大丈夫」は本当？現場のプロが教える安全な開発の極意こんにちは。現場で泥臭いインシデント対応をしていると、「ORM（HibernateやEntity Frameworkなど）を使っているからSQ...

LDAPインジェクションの深淵：プロトコル仕様の罠と「防御の境界」を再定義するLDAP（Lightweight Directory Access Protocol）は、認証基盤やディレクトリサービスとして、今なおエンタープライズの心臓部で鼓...

LDAPインジェクション：なぜ今も「盲点」になり続けるのか現場で長年インシデントを見てきたが、SQLインジェクションは撲滅の兆しが見えても、LDAPインジェクションは未だに「あ、そこ盲点だった」という顔で修正依頼が飛んでくる。LDAP（Li...

あなたのプログラムが「招かざる客」を招き入れていないか？LDAPインジェクションの罠と対策こんにちは。セキュリティの世界へようこそ。今日は、少し地味だけれど、もし穴があれば致命的な被害をもたらす「LDAPインジェクション」について、泥棒と家...

シェルを操る悪魔との対話：OSコマンドインジェクションの深層と「exec」への決別現場でインシデント対応をしていると、いまだに「なぜこれで突破されたのか？」と頭を抱えるエンジニアに遭遇する。OSコマンドインジェクション。この古くから存在する...

なぜ「OSコマンドインジェクション」は令和の今も消えないのか？ ― 現場の最前線から学ぶ防衛哲学「ユーザーからの入力をそのままシェルに渡す」。これを聞いてゾッとするなら、君はすでにエンジニアとしての生存本能を持っている。だが、現実はどうか。...