B忘log - Hi-LoのBlog: セキュリティ(その他)

ラベル セキュリティ(その他) の投稿を表示しています。すべての投稿を表示

2008/03/16

CISSP 受験

CISSPを受験してきました.
セミナーを受けたけど, それ以外に何にも勉強していないから,
受かったかどうか心配.

最大6時間までの試験で, 5時間半粘りました.
最後は疲れ切ってしまって, もういいやって気持ちになったくらいです.

WSUS 2.0のバックエンドのMSDEは3.0のWMSDEと違い,
DBに直接アクセスできる.
おすすめのソフトはMicrosoft SQL Server Management Studio Express
http://www.microsoft.com/downloads/details.aspx?displaylang=ja&FamilyID=c243a5ae-4bd1-4e3d-94b8-5a0f62bf7796

MSDEへの接続に使用する設定は
Server name: ホスト名\WSUS
Authentication: Windows Authentication

で, 適用されていないパッチの一覧をホスト毎に取得するSQL文などを
作ってみた.

脆弱性を見つけても金にならないのか?

"セキュリティ調査と「恐喝」の差"より.
http://slashdot.jp/security/article.pl?sid=08/02/12/010245

ロシアのセキュリティ調査企業GlegがRealPlayerに脆弱性を見つけたが
詳細は最低10,000ドル以上払わないと出さないとのこと.

"ユーザを人質に取った「恐喝」ではないかと批判"している所も
あるらしいけれど, どうかなぁ.

我々は無駄な時間を割いているのか?

"セキュリティ部門は無駄な時間を割いている"より.
http://slashdot.jp/security/article.pl?sid=08/02/12/035237

セキュリティ部門が行っている仕事の1/3程度は時間の無駄との記事が
あるらしい.

XSS練習サイト

XSS Challenges
http://xss-quiz.int21h.jp/

時間があるときにやってみたいです.
結構難しそう.
UTF-7 XSSとかあるらしいです.

PHPでプログラムを書くな

Ruby開発者のまつもとゆきひろさんの日記より.
http://www.rubyist.net/~matz/20080126.html#p04

いろんなものがfalseだったりするせいで、新たな比較演算子「===」が必要
hashやlistがobjectが区別できない
オブジェクト指向機能が壊れている
lambda(無名関数)がない。create_functionはlambdaじゃない
short_open_tagsやらsafe_modeやらregister_globalsがonになってるかもしれない
引数の順番がわかりにくい(in_arrayとかstrposとか)
strpos('abcd','a')は0を返すが、0は偽である
PHPで書かれたたくさんのアプリがあるがどれもHTMLとロジックが分離されてない(本当？)
「PHPは初心者に学びやすい」と言われる。確かにそうかもしれないが、おかげでどれだけのSQLインジェクションやらXSS脆弱性やら、ひどいコードが放置されていることか
グローバル。使うんじゃないってば。

8・15 終戦記念日

今日は終戦記念日.
中国・韓国あたりから, サイバー攻撃があるかもしれない
とのことで, 1日, *.go.jpあたりと, 中国のその系のBBSやら
2chやらを徘徊

結局何もなく, トラフィックの異常も見つからず, 何もない
1日でした. まぁ, ある意味良かったんですけど.

そうそう, MS06-040あたりと思われる445/TCPのトラフィックは
増えていたな.

セキュリティ企業は信用できるのか?

slashdot.jpの記事より.
http://slashdot.jp/security/06/07/24/1839208.shtml
セキュリティ企業が信用ならないとの報告.
セキュリティソフトを作っている多くのソフトは, そのターゲットが
Windowsとなっている.
つまり, みんながWindowsを使わなくなると飯の種を失うことになる.

ということは, よりセキュアなOSであるLinux, Unix, Mac OS Xなどに
移行されないような行動に出るはずである.
例えば, セキュリティインシデントが, Windowsよりも, LinuxやUnixに
より多く報告されればよい.

商用セキュリティスキャナ on セキュリティホールmemo ML

セキュリティホールmemoのメーリングリストで, 商用セキュリティスキャナについて
流れてきた.
http://www.st.ryukoku.ac.jp/~kjm/security/memo/
http://memo.st.ryukoku.ac.jp/archive/200603.month/index.html

QualysGuardは出てこなかったが, その方はRetinaにおちついていたようである.
http://www.qualysguard.com/products/overview/
http://www.eeye.com/html/products/retina/index.html

私の感想としては, InternetScannerは××だからやめた方がいい.
まず, Signatureが全然追加されないから, 何も見つけることができないし,
数ヶ月遅れで公開される日本語訳は意味不明.
おまけに最低要件のスペックが比較的高い. Pentium 1.2GHz以上 & Mem 512MB以上.
ノートに入れようと思ったら, 新しく買わないといけないじゃないか.

QualysGuard, Retinaはどちらも早くていい.
QualysGuardは数年前はまだ作りが甘かったがよくなった. ただし, 診断結果がQualys社にすべて
送られてしまうのが問題.
RetinaはWindowsが動くPCであればOK. ただ, 現在のところ, Retinaの送信したリクエストと
受け取った応答がレポート内に表示されないのが問題(QualysGuardではできる).
それから, Openなポートが全部はレポートに記載されないのも問題. 近日中に変更されるらしいが.

Windows 再インストール

今朝の出勤時の転倒, VoIPアダプタの沈黙に続く, 本日の不運.

WindowsのWMF形式ファイルの脆弱性を試していて, 業務をやっているPCを
つぶしてしまった. (;>_<;)
ほぼ1日, 再インストールにつぶれてしまった....

あのExploit, Proof of Conceptかと思いきや, 実際にexplorer.exeを
使い物にならなくしてくれた.

今のところ, 今日の不運はここまで.

日本のWEB改竄被害状況

日本のWEB改竄被害状況のまとめサイト
http://www.fearoot.com/

知っているサイトがリストアップされていたりする.

時々, のぞいてみよう.

fk-grubver 0.14.3

0.13.x以降, fk-grubver.plがポートレンジを適切に処理できていなかった問題により,
ポートの情報を全く取りに行かない場合がある問題を修正

fk-grubver 0.14.3

fk-grubver 0.14.2

fk-scanver.plでopenなポートが見つからなかった場合, _TARGET_PORTS_などの置換
対象文字列が空白で置き換えられてしまう問題を対策

fk-grubver 0.14.2

fk-grubver 0.14.1

先日出したやつの微調整

ssl接続で利用できる暗号アルゴリズムの確認機能周りの微調整
デフォルトでチェックする診断項目の追加

fk-grubver 0.14.1

fk-grubver 0.14.0

sslをサポートするサーバで, サポートされている暗号アルゴリズムの一覧を取得する
モジュール(ssl_detail.pl)の追加

Net::SSLeay:Handleの$Debugをいじっておかなければいけなかった問題に対応.

fk-grubver.plへの引数でポートを引き渡す際, '-'がついていないと正常に受け取れて
いなかった問題に対応.

fk-grubver.plの呼び出し時に実行(first), 終了時に実行(last), すべてのホストに
対して実行(all_host)をFKSConfig.pmで指定できるようにした.

メールを送信するモジュールを追加. (fk-grubver.plの終了時などに利用すれば便利)

libexec/内の各モジュールがでソケットをSSL化する部分を持っていたので, その部分を
lib/ConnectServer.pmに移動.

引数で与えられたコマンドを実行するモジュール do_cmd.pl を追加.

fk-grubver 0.14.0

Slashdotの記事より.
The Six Dumbest Ideas in Computer Security
http://www.ranum.com/security/computer_security/editorials/dumb/

コンピュータセキュリティにおける間違った考え方.

1. デフォルトOK(Default Permit)
2. 問題の個数で危険性を計る(Enumerating Badness)
3. 侵入テストで問題探し&修正(Penetrate and Patch)
4. クラッキングはスゴい(Hacking is Cool)
5. ユーザ教育すればOK(Educating Users)
6. 何もしないよりは何かした方が良い(Action is Better Than Inaction)

高木先生のこれも参考に.
http://takagi-hiromitsu.jp/diary/20050909.html#p01

登録: 投稿 (Atom)

B忘log - Hi-LoのBlog

2008/03/16

CISSP 受験

2008/03/04

wsus 2.0用SQL文

2008/02/13

脆弱性を見つけても金にならないのか?

我々は無駄な時間を割いているのか?

2008/02/05

XSS練習サイト

PHPでプログラムを書くな

2006/08/15

8・15 終戦記念日

2006/07/25

セキュリティ企業は信用できるのか?

2006/03/19

商用セキュリティスキャナ on セキュリティホールmemo ML

2005/12/30

Windows 再インストール

2005/12/22

日本のWEB改竄被害状況

2005/12/20

fk-grubver 0.14.3

2005/12/14

fk-grubver 0.14.2

2005/12/13

fk-grubver 0.14.1

2005/12/11

fk-grubver 0.14.0

2005/11/19

MD5のコリジョン

2005/11/14

fk-grubver 0.13.2

2005/11/11

fk-grubver 0.13.1

2005/09/16

中国からの攻撃@9.18 ?

2005/09/14

コンピュータセキュリティの6の間違い