クロスサイトスクリプティング（XSS）の全種類（反射型・格納型・DOM型）と防御

境界防御の幻想を捨てろ：IDORを根絶するアーキテクチャの極意世の中のセキュリティガイドラインは、「入力値をバリデーションせよ」という呪文を繰り返す。だが、IDOR（Insecure Direct Object Reference）の真の恐...

なぜ、あなたの「IDOR」は防げないのか？――脆弱性の盲点と、泥臭いサーバーサイド実装の鉄則現場でコードをレビューしていると、いまだに「URLのIDを少し変えるだけで他人のデータが見えてしまう」という、初歩的かつ致命的なミスに出くわす。これ...

「自分のものだけ」を正しく守る。API開発者が絶対に避けるべきIDOR（権限不備）の落とし穴こんにちは！現場でセキュリティの最前線に立っていると、日々いろいろな「想定外」に遭遇します。今日は、Webアプリケーション開発者が最初にぶつかる壁で...

セッション固定化の亡霊：ID再生成の「不作為」が招くアーキテクチャの崩壊昨今のWebアプリケーション開発において、XSS（クロスサイトスクリプティング）はもはや「古典的な脆弱性」として片付けられがちだ。だが、現実はどうか。DOM-based...

セッション固定化攻撃（Session Fixation）を根絶する：ログインの「儀式」を怠るな現場でインシデント対応をしていると、意外なほど見かけるのが「ログイン前後のセッションIDの使い回し」だ。最新のフレームワークを使っているから大丈夫...

玄関の鍵を使い回していませんか？「セッション固定化攻撃」からサービスを守るための処方箋こんにちは。セキュリティの現場で長年戦っていると、「完璧なシステムなんて存在しない」という事実に直面します。でも、だからといって無防備でいいわけではありま...

権限昇格の「最短距離」：Mass Assignmentがもたらすアーキテクチャの死角セキュリティの現場で、「想定外のパラメータ」ほど怖いものはない。多くの開発者がXSSやSQLインジェクションといった「目に見える悪意」には過敏だが、APIの...

権限昇格の最短ルート「マスアサインメント」をコードで封殺する：実務者が語る脆弱性防衛術やあ、現場の最前線でコードと格闘している諸君。今日は、多くのエンジニアが「まあ、フレームワークがよしなにやってくれるだろう」と油断している隙に、システムを...

こんにちは。現場で泥臭いインシデント対応に明け暮れながら、コードの裏側にある「悪意の形」を追い続けているセキュリティエンジニアです。今日は、初心者エンジニアの皆さんが一度は陥る、けれど絶対に放置してはいけない「マスアサインメント（Mass ...

レートリミットは「盾」ではない、「回路遮断機」である多くのエンジニアがレートリミットを「APIの保護手段」と呼びたがるが、セキュリティの最前線に立つ我々にとって、それは単なるトラフィック制御ではない。これは、未知の脆弱性が突かれた際、システ...