PASSJ アフタースクールに参加してきました。
セキュリティ TIPS 講座
http://blogs.sqlpassj.org/afterschool/archive/2005/12/01/15020.aspx
内容は
・SQL インジェクション
・サーバ設定による対策
・サーバの監視
の3つに分けた構成でした。
私は仕事柄今回の内容は把握しているつもりですが、
今後、周りの人たちに勧めれるかどうかを知りたくて参加しました。
SQL インジェクションに半日、残り2つに半日っていう時間配分でした。
#あれだけ、SQL インジェクションについて語られる講義はあまりないのではないでしょうか?
また、講義中に脱線(?)した際の話題は河端さんの経験豊富が故の内容で参考になる部分も多々ありました。
内容的にもボリューム的にもこれから勉強しようと考えられている方には非常にお勧めです。
ハッとした点が1点ありました。ユーザ入力の文字数(データ サイズ)チェックです。
確かにエスケープ後にもチェックを行わないと、DB格納時にエラーになる可能性大ですね。
次回も、スケジュールがあえば参加してみたいです。
それと、講義中に Sysinternals のツール(私もいつもお世話になってます)がいくつか案内されていました。
それについて補足と言うか何と言うか...
NTFS の ACL をエクスポーとするツールで AccessEnum っていうツールがあります。
これは NTFS の ACL を TSV で出力してくれるので、Excel とかで利用できるので便利です。
#私はこれのソース コードを少しいぢって利用しています