Webセキュリティ専門の学習

XSSは「死んだ技術」か？―フィッシングの最前線で見える、DOM操作の泥沼「XSS？ 今さらそんな古典的な脆弱性で記事を書くのか？」もし君がそう思ったなら、現場の最前線から少し距離を置いているのかもしれない。確かに、モダンなフレームワーク（...

「XSSはただの警告」と甘く見るな――フィッシングを許す最悪の攻撃シーケンスと、現場で生き残る防御戦略現場でコードをレビューしていると、「XSSなんて今さらアラートが出るだけでしょ？」という慢心したエンジニアに出くわすことがある。だが、今の...

その「ログイン画面」、本当に本物ですか？——XSSで仕掛けられる「見えない泥棒」の正体こんにちは。セキュリティの世界へようこそ。今日は、多くのエンジニアが「一度は聞いたことがあるけれど、実際どう動いているのかピンとこない」というXSS（クロ...

玄関の鍵を閉めても「窓」が開いていたら？：XSSとCSRFの恐ろしい連鎖こんにちは。セキュリティの世界で長く泥臭い現場を見てきた私から、今日は「Webサイトの防犯」について、少しだけリアルな話をさせてください。「うちはCookieにパスワー...

盲点としての javascript: スキーム：ブラウザの解釈仕様と「ホワイトリスト」の真実現場でコードレビューをしていると、今なお javascript: スキームを起点としたXSS脆弱性に遭遇する。OWASP Top 10が浸透し、フレ...

なぜ「javascript:」スキームは、未だに開発者の盲点であり続けるのか「href属性のバリデーションなんて、正規表現でhttpが含まれているか確認すればいいだろう？」もし君がそう考えているなら、今すぐその甘い認識を捨ててくれ。現場のイ...

こんにちは。現場の最前線でコードと格闘し、時にインシデントの火消しに奔走しているエンジニアの皆さん、お疲れ様です。今日は、Webセキュリティの「基本中の基本」でありながら、意外と見落としがちな「javascript:スキーム」の攻撃と対策に...

レガシーの亡霊を葬る：JSONPという「終わった」技術が招くXSSの深淵「JSONPはもう死んだ」――そう信じているアーキテクトは多い。しかし、レガシーシステムの墓場を掘り返せば、今なお生き残るJSONPの残骸が、脆弱性の温床として蠢いてい...

JSONPという「呪い」を解く：コールバック関数検証の不備が招くXSSの深淵現場でレガシーシステムの延命保守をしていると、時折出会うのが「JSONP」という亡霊だ。CORS（Cross-Origin Resource Sharing）が標準...

「セキュリティってなんだか難しそう…」と身構えていませんか？大丈夫です。今日は、Web開発の現場で時々見かける「JSONP」という仕組みと、そこに潜む落とし穴について、一緒に紐解いていきましょう。エンジニアとして現場に出ると、教科書では習わ...