インジェクション攻撃（SQLi, OSコマンドなど）のメカニズムと対策

ツールに「任せて」安心していませんか？SASTを武器にするための現場の極意「SAST（静的解析ツール）を入れておけばインジェクション攻撃は防げる」――そう信じているなら、今すぐその認識を改めたほうがいい。現場で数々のインシデントを見てきた私...

泥棒が「合鍵」を作る前に食い止めろ！DASTで見つけるインジェクションの盲点こんにちは。セキュリティの世界へようこそ。いきなりですが、皆さんの家の玄関を想像してみてください。頑丈な鍵をかけていても、もし「郵便受けから手を突っ込んで内側のサム...

WAFは「最終防衛ライン」ではない：インジェクション防御の深層アーキテクチャ多くのエンジニアがWAFを「魔法の盾」と誤解している。しかし、現場の泥臭いインシデントハンドリングを経験した者なら知っているはずだ。WAFは、アプリケーションレイヤ...

SSTI：テンプレートエンジンという「パンドラの箱」をどう封印するかセキュリティの現場に長くいると、OSコマンドインジェクションやSQLインジェクションといった古典的な脆弱性は「解決済み」という幻想を抱きたくなる。しかし、モダンなWebアプ...

テンプレートエンジンの「魔法」が「悪魔」に変わる瞬間：SSTIの正体と防衛戦現場でコードをレビューしていると、時々ぞっとする光景に出くわす。「ユーザーの入力値をテンプレートエンジンに直接投げ込む」という実装だ。開発者は「テンプレートエンジン...

JSONPの悪夢から解放されよう：CORSで実現する、安全なクロスドメイン通信の現代的アプローチおう、お前さんたち。今日も一日、コードと格闘お疲れさん。俺は、あの手この手でシステムに穴を開けようとする連中と日々戦っている、このセキュリティチ...

JSONPはもう卒業！CORSで安全に「お隣さん」とデータをやり取りしよう皆さん、こんにちは！サイバーセキュリティの世界へようこそ。今回は、Web開発でよく耳にする「JSONP」という技術と、それに代わる「CORS」という仕組みについて、で...

テンプレートエンジンの「自動エスケープ」という幻想：ヒューマンエラーをアーキテクチャで封じ込めるセキュリティの現場で長年ログを追っていると、ある共通の事実に気づく。それは、「人間は必ずミスをする」という前提を欠いたシステムは、どれほど精巧に...

---テンプレートエンジンの「盲点」を突くXSSを防げ！自動エスケープ設定、その真の価値と実践皆さん、こんにちは。世界中で発生するサイバーインシデントの最前線で、今日も頭を悩ませているセキュリティチーフエンジニアの〇〇です。「XSS対策はW...

皆さん、こんにちは！セキュリティバイブルの主筆を務めている者です。ウェブアプリケーション開発の最前線でコードと格闘する皆さんに、今日はちょっとだけ、いつもとは違う視点から開発のヒントをお届けしたいと思います。特に、これからセキュリティを学び...