PHPのJSON HashDosに関する注意喚起
4年前にHashDos（Hash Collision Attack）に関する効率的な攻撃方法が28C3にて公開され、PHPを含む主要言語がこの攻撃の影響を受けるため対策を実施しました。しかし、PHP以外の言語が、ハッシュが衝突するデータを予測困難にする対策をとったのに対して、PHPは、GET/POST/COOKIE等の入力データの個数を制限するという対症療法を実施したため、PHPにはHashDosに対する攻撃経路がまだ残っているということは、一部の技術者には知られていました。例えば、以下の様なつぶやきにも見ることができます。 だって、 hashdos 脆弱性の時、 Python とかの言語が、外部入力をハッシュに入れるときに衝突を狙えないように対策したのに、phpだけPOST処理で対策したからね？ json を受け取るような口もってるphpアプリのほとんどがhashdos残ってるんじゃない
PHPのイタい入門書を読んでAjaxのXSSについて検討した(3)～JSON等の想定外読み出しによる攻撃～ - ockeghem(徳丸浩)の日記
昨日の日記の続きで、Ajaxに固有なセキュリティ問題について検討します。今回はJSON等の想定外読み出しによる攻撃です。これら攻撃手法は本来ブラウザ側で対応すべきもので、やむを得ずWebアプリケーション側で対応する上で、まだ定番となる対策がないように思えます。このため、複数の候補を示することで議論のきっかけにしたいと思います。 まず、作りながら基礎から学ぶPHPによるWebアプリケーション入門XAMPP/jQuery/HTML5で作るイマドキのWeから、Ajaxを利用したアプリケーションの概念図を引用します（同書P20の図1-23）。 前回、前々回は、(5)のHTTPレスポンスの前後で、JSON等のデータ作成（エンコード）に起因するevalインジェクションや、(5)のレスポンスを受け取った後のHTMLレンダリングの際のXSSについて説明しました。 しかし、問題はこれだけではありません。正常
Zend Framework: Documentation
Zend_Json には、XML 形式のデータを JSON 形式に変換するための便利なメソッドがあります。 この機能は IBM developerWorks の記事 に触発されて追加したものです。 Zend_Json には、静的関数 Zend_Json::fromXml() が搭載されています。この関数は、XML を受け取って JSON を作成します。 入力パラメータには、任意の XML 文字列を渡すことができます。 また、オプションのパラメータで論理値を渡し、 変換処理中に XML の属性を無視するかどうかを指定することができます。 このパラメータを省略した場合のデフォルトの挙動は、 XML の属性を無視します。この関数の使用法は、以下のようになります。 // fromXml 関数の入力には、XML を含む文字列を渡します $jsonContents = Zend_Json::fromX
Jsphonをcodereposにアップロードしました。 - XOOPS専門-株式会社RYUS
haltです。 皆さんはJsphonというライブラリをご存知でしょうか。 www.hawklab.jp のhawkさんが書 かれたPHPでJSONをエンコードしたりデコードする為のライブラリです。PHPにはjson_encodeとjson_decodeという関数がありますが、比較的新しいPHPにしか実装されていない為、古いバージョンでJSONを利用する場合は別途ライブラリが必要になります。 非常に多くのライブラリやアプリケーションがこのJsphonを利用しているのですが、残念 ながらhawkさんがJsphonを公開していた www.hawklab.jp が閉鎖してしまった為、ライブ ラリの入手ができなくなりました。 そこで、JsphonがPHPライセンスである事に着目し、私のディスク内にあったJsphonをcodereposにアップロードしました。 codereposとは、http://c
GT Nitro: カーレーシング・ドラッグレーシングゲーム - Google Play のアプリ
GT Nitro: Car Game Drag Raceは、典型的なカーゲームではありません。これはスピード、パワー、スキル全開のカーレースゲームです。ブレーキは忘れて、これはドラッグレース、ベイビー！古典的なクラシックから未来的なビーストまで、最もクールで速い車とカーレースできます。スティックシフトをマスターし、ニトロを賢く使って競争を打ち破る必要があります。このカーレースゲームはそのリアルな物理学と素晴らしいグラフィックスであなたの心を爆発させます。これまでプレイしたことのないようなものです。 GT Nitroは、リフレックスとタイミングを試すカーレースゲームです。正しい瞬間にギアをシフトし、ガスを思い切り踏む必要があります。また、大物たちと競いつつ、車のチューニングとアップグレードも行わなければなりません。世界中で最高のドライバーと車とカーレースに挑むことになり、ドラッグレースの王冠
PHP5.2.0でserialize()とjson_encode()はどちらが速いのか
結論としては速度はほぼ同じ。 ただし、配列の階層を深くしたときには面白い結果が出た。 コード(test.php)： <?php // Configure Command => './configure' '--disable-all' '--without-all' '--enable-json' $data = array(); for ($i = 0; $i < $argv[1]; $i++) { $data[] = array(uniqid() => uniqid(), $data); // 階層をどんどん深くする配列 //$data[] = uniqid(); // 単純な配列 } if (@$argv[2] == '1') { $buf = json_encode($data); json_decode($buf); } else { $buf = serialize($data
［PHPウォッチ］第31回 パフォーマンス向上など，数々の新機能を搭載したPHP 5.2.0リリース
PHP 5.2.0が2006年11月2日にリリースされた。機能拡張だけでなく，200を超えるバグフィックスも行われている。ここにはセキュリティ・ホールへの対応も含まれているため，速やかにアップグレードすることが望まれる。 PHPリリース関連情報 PHP 5.2.0にて搭載された主な新機能 PHP 5.2.0は最初にRC版が公開されてから3カ月以上の期間を経て，リリースされたPHPの最新版である。PHP 5.1系と比べて，数多くの新しい機能が搭載されたため，まずは主な新機能の特徴を紹介していく。 ・ パフォーマンス向上と，より正確なメモリー利用状況のトラッキングを備えたメモリーマネージャの採用。 PHPの実行エンジンであるZend Engineにおいて，新しいメモリーマネージャが実装された。これにより，PHPが大きなブロック単位でメモリーの割り当てを行い，そのヒープをPHP自身で管理するよう
hawklab.jp
このドメインを購入する。 hawklab.jp 2019 Copyright. All Rights Reserved. The Sponsored Listings displayed above are served automatically by a third party. Neither the service provider nor the domain owner maintain any relationship with the advertisers. In case of trademark issues please contact the domain owner directly (contact information can be found in whois). Privacy Policy
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
