4年前にHashDos（Hash Collision Attack）に関する効率的な攻撃方法が28C3にて公開され、PHPを含む主要言語がこの攻撃の影響を受けるため対策を実施しました。しかし、PHP以外の言語が、ハッシュが衝突するデータを予測困難にする対策をとったのに対して、PHPは、GET/POST/COOKIE等の入力データの個数を制限するという対症療法を実施したため、PHPにはHashDosに対する攻撃経路がまだ残っているということは、一部の技術者には知られていました。例えば、以下の様なつぶやきにも見ることができます。 だって、 hashdos 脆弱性の時、 Python とかの言語が、外部入力をハッシュに入れるときに衝突を狙えないように対策したのに、phpだけPOST処理で対策したからね？ json を受け取るような口もってるphpアプリのほとんどがhashdos残ってるんじゃない
もはや PHP まったく書いてないのに PHP 関係のエントリばかりが増えていくというのは奇妙なものですね。 さて、今年の 2 月に Zend Framework より公開された以下のアドバイザリについては皆様すでにチェック済みのことでしょう。 ZF2014-01: Potential XXE/XEE attacks using PHP functions: simplexml_load_*, DOMDocument::loadXML, and xml_parse http://framework.zend.com/security/advisory/ZF2014-01 僕自身は Zend Framework を使っていなかったので、「あーなんか XXE [1] への対策漏れしている場所とかあったのかなー」とかなんとかでよく読まずにスルーしていたのですが、最近になって調べてみたところどうも
「XML」「セキュリティ」という単語でWeb検索すると、多くヒットするのはXMLデジタル署名やXML暗号などを説明したWebページです。 本日の日記では、それとはちょっと違うテーマ（XXEと呼ばれる攻撃）について書きます。 脆弱なコードと攻撃方法 さっそく脆弱性があるサンプルプログラムです。 import java.io.*; import javax.servlet.*; import javax.servlet.http.*; import org.w3c.dom.*; import org.apache.xerces.parsers.*; import org.xml.sax.*; public class Test1 extends HttpServlet { public void service(HttpServletRequest request, HttpServletRe
PHPで、RSS等のXMLを取得し、パースしています。 その際、 ・不正な文字 ・不正な文字コード をうまく除去できずに、エラーが沢山出ます。 preg_matchを使うので、urlencode で変な記号が入らないようにしていますが、 別のとこでエラーがでたりします。 unterminated entity reference ... Compilation failed: nothing to repeat at offset Entity: line 499: parser error : Input is not proper UTF-8, indicate encoding ! Bytes: 0xE3 0x2E 0x2E 0x2E in というようなのが多いです。 php5のsimplexml_load_string等で今はパースしています。 文字コードを整え、不正文字を見つけれ
滝沢カレンは整形をしていないナチュラル美人だと判明！証拠写真63枚でデビューから2023年まで検証してみた。
MagpieRSSを使ってPHPで簡単RSSパース トップ 差分 一覧 ソース 検索 ヘルプ PDF RSS ログイン カテゴリ[PHP] 今までPHPでRSSをパースするときはPEARのXML Parserをextendしてオリジナルのパーサーを作っていたが、CDATAの読み込みの所がうまくいかなかったりしてあまりよろしくなかった。が、このMagpieRSSってのー使えば簡単じゃん。 使い方 http://magpierss.sourceforge.net/ で最新版をダウンロード .incファイルとextlibをアップロード UTF-8で使う場合はrss_fetch.incのMAGPIE_OUTPUT_ENCODINGの値をUTF-8にする こんな感じでPHPを記述 <?php require_once 'rss_fetch.inc'; $url = 'http://yusukebe.
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
