Vulnerability– category –
-
HTMLインジェクションとは？仕組み・被害例・XSSとの違い・対策をわかりやすく解説
利用者が入力したテキストが「そのままページに表示される」仕組みは、Webサービスのあちこちに存在します。検索キーワードの表示、エラーメッセージへの入力値の埋め込み、プロフィール欄の出力…。このような箇所でHTMLの特殊文字をエスケープしていない... -
Webキャッシュデセプション（Web Cache Deception）とは？キャッシュを誤誘導して個人情報を盗む攻撃の仕組みと対策をわかりやすく解説
セッション中のアカウント画面が、本人以外の第三者にそのまま見えてしまう。そんな事態を引き起こすのが「Webキャッシュデセプション（Web Cache Deception）」という攻撃手法です。CDN や リバースプロキシが当たり前になった今、この脆弱性は Webサービ... -
CSSインジェクションとは？スタイルシートを悪用したデータ窃取・フィッシングの仕組みと対策をわかりやすく解説
WebアプリへのXSS対策は万全でも、CSSが注入されれば攻撃者は「JavaScriptなしで」ページ内のCSRFトークンや入力値を外部サーバーに送信できます。CSSインジェクションは、スクリプト系フィルタをすり抜けるため検出が難しく、現場エンジニアでも見落とし... -
ClickFix攻撃とは？クリップボードを悪用してコマンドを自分で実行させるサイバー攻撃の手口と対策をわかりやすく解説
「ブラウザのエラーを修正するには、このコマンドをコピーして実行してください」——そんな画面がWebブラウザ上に現れたとき、指示に従ってコマンドを打ち込んでしまったとしたら何が起きるでしょうか。 ClickFix攻撃は、偽の警告画面を使って「ユーザー自... -
パディングオラクル攻撃とは？CBC暗号の脆弱性を突いた解読手法の仕組みと対策をわかりやすく解説
暗号化しているから安全だ、と思っていませんか。実は、暗号化のモードの選び方や実装の細部によっては、暗号文を繰り返し送りつけるだけで平文を丸ごと復元されてしまう攻撃が成立することがあります。それが「パディングオラクル攻撃」です。 セッション... -
パス・ザ・ハッシュ（Pass the Hash）攻撃とは？仕組み・被害例・Active Directory環境での対策をわかりやすく解説
社内のWindowsサーバーに不審な認証ログが記録されている。パスワードを変更したはずなのに、攻撃者が繰り返しアクセスしてくる――そんな事態が起きたとき、原因のひとつとして疑うべきなのが「パス・ザ・ハッシュ攻撃」です。 この記事では、パスワードを... -
アカウント列挙（Account Enumeration）脆弱性とは？ログインフォームでユーザー名が漏洩する仕組みと対策を解説
「このメールアドレスは登録されていません」 サービスのログインフォームに表示されるこの一文が、攻撃者にとって貴重な情報源になっていることをご存知でしょうか。 アカウント列挙（Account Enumeration）は、Webアプリケーションの応答の差を突いてユ... -
安全でない設計（Insecure Design）とは？OWASP A04の概念・設計欠陥パターン・脅威モデリングで防ぐ実践ガイド
パスワードの保存方法を誤る、SQLを直接組み立てる——こういった「実装ミス」はコードを書き直せば直せます。しかし、そもそも「認証フロー全体の設計に抜け穴があった」「センシティブな処理にレート制限をかけることを設計段階で考えていなかった」という... -
セキュリティのログ記録と監視の失敗（OWASP A09）とは？ログ欠如が招く見えない侵害と中小企業の対策実践ガイド
システムが侵害されているのに、何日も気づかなかった──そういう事態を引き起こす大きな原因のひとつが、ログ記録の不備と監視体制の欠如です。攻撃者は侵入後に痕跡を消したり長期間潜伏したりすることで被害を最大限に広げようとします。その足がかりを... -
認証の失敗（Identification and Authentication Failures）とは？OWASP A07の脆弱性と対策を現場目線で解説
「ログインエラー率が急に上がっている」「同じIPから何百回もログイン試行されている」——こんなアラートを見て不安になった経験はないでしょうか。認証の実装は「とりあえず動いている」では不十分で、小さな設定ミスが攻撃者に突破口を与えます。 この記...
