徳丸浩の日記

この記事は PHP Advent Calendar 2020 の19日目です。18日目は @You-saku さんの PHPでYoutubeのAPIを利用したい でした。 私は以前、PHPのすべてのバージョンを使う環境として、 phpall 、 phpcgiall 、 modph...

3日前に、auじぶん銀行の巧妙な不正出金についてYouTube動画を公開しました。みんな見てねー。 auじぶん銀行アプリに対する不正出金の驚くべき手口 そうしたところ、先程私のiPhoneに以下のようなSMSが届きました。 ふーん、au自分銀行のときは宅配事業者を装ったSMSとい...

最近自宅引きこもりで時間ができたので、YouTube動画を投稿するようになりました。みんな見てねー。 徳丸浩のウェブセキュリティ講座 そんなことで、次の動画は、お気に入りのPHPの脆弱性 CVE-2018-17082  を取り上げようと思ったんですよ。表向きXSSで出てい...

サマリ PHP 7.2以降、PDOの内部実装が変更された。動的プレースホルダ（エミュレーションOFF）にてバインド時にPDO::PARAM_INTを指定した場合、PHP 7.1までは文字列型としてバインドされていたが、PHP 7.2以降では整数型としてバインドされる。 この...

サマリ Capital OneからのSSRF攻撃による大規模な情報漏えい等をうけて、Amazonはインスタンスメタデータに対する保護策としてInstance Metadata Service (IMDSv2) を発表した。本稿では、IMDSv2が生まれた背景、使い方、効果、限...

この記事は PHP Advent Calendar 2019 の5日目の記事です。 はじめに 私は6年前に、 PHP Advent Calendar 2013 として「 PHPだってシェル経由でないコマンド呼び出し機能が欲しい 」という記事を書きました。その中で、OSコマ...

サマリ PHPサーバーサイドプログラミングパーフェクトマスター には、PHP入門書としては珍しくクロスサイト・リクエストフォージェリ(CSRF)対策についての説明があるが、その方法には問題がある。アルゴリズムとして問題があることに加えて、実装上の問題があり、そのままコピペして...