PASSWORD_BCRYPTアルゴリズムの72文字制限は過去に言及されていますが、掘り下げて調べてみると、どうやら真実は少し違うようでした。厳密には、72文字で切り詰められるのは間違いないですが、その仕様に誤解がありました。

PHP: password_hash()の72文字目の正体 / The 72nd character of BCrypt is NULL character?

モダンなブラウザにおいて、CSSインジェクションはXSSの脅威が内在しているのか、という興味・探究心から考察した。なお、現状は組み合わせ技の程度で、途中経過を取りまとめた記事である。

JavaScriptはCSSインジェクションのDOMを見るか？ / Possibility of DOM based XSS attack by Pseudo-elements from CSS Injection

Gekko系(Firefox)ブラウザはContent-Lengthヘッダを厳密に処理するので、Length分のbodyのみレンダリングされ、あふれた部分は無視される。 この挙動を悪用し、HTTPヘッダインジェクションを組み合わせることで、ちょっと変な攻撃テクニックができる

FirefoxのContent-Lengthの挙動と攻撃可能性 / Firefox Content-Length Behavior and Attackability

Overpass-the-hash Attackを体験しよう！

Experience Overpass-the-hash Attack / Mimikatz usage

CVE-2017-12615とCVE-2017-12617を再度検証し、取りまとめてみました。

Tomcatの一連のRCEの脆弱性について / Tomcat RCE CVE-2017-12615, CVE-2017-12617

PHPオブジェクトインジェクションの攻撃に関してまとめました。

PHPオブジェクトインジェクションの攻撃 / PHP Object Injection Attack

先月くらいにGitHubのザコいXSSを報告しました。大したXSSではないです。

GitHubのXSSの話 / XSS report on gist

Safariのフィッシング対策設定の無効化することで、アドレスバー偽装(厳密には挙動が微妙です)が可能です。

Safariのアドレスバー偽装 2016 / Safari address bar spoofing 2016

URLにBasic認証を埋め込む方法があるのですが、これをオープンリダイレクトの攻撃に応用できます。日々の健全な脆弱性診断にご活用ください。

Basic認証を用いたオープンリダイレクトの攻撃手法 / Attack method of open redirect using basic authentication

日々の健全なXSSにお役立てください。 ●極力短いコードでXSS ●CSSを駆使して即時発火させる ●記号を使わないXSS ●WAFをバイパスしそうなXSS ●hiddenでXSS ●引用符で文字列を囲まないalert

今日から始めるXSS / XSS Tips