NVH’s Blog

February 27, 2006

カタカナ

Filed under: hoc tap, 日本語

アイコン (icon)
アイコンボタン (icon button)
アイテニアム (Itanium)
アイドル (idle)
アイ・リンク (i.LINK)
アウトソーシング (outsourcing)
アウトバウンド (outbound)
アウトボックス (out-box)
アウトラインフォント (outline font)
アカウント (account)
アカデミックパッケージ (academic package)
アクセス (access)
アクセスチャージ (access charge)
アクセスポイント (access point)
アクセス料金 (access charge)
アクセラレータ (accelerator)
アクティブウィンドウ (active window)
アクティブディレクトリ (Active Directory)
アクティブデスクトップ (Active Desktop)
アクティブマトリクス方式 (active matrix)
アクティベート (activate)
アクノリッジ (acknowledge)
アクロバット (Acrobat)
アサイン (assign)
アサート/ネゲート (assert/negate)
アジリティ (agility)
アスペクト比 (aspect ratio)
アスロン (athlon)
アセンブラ (assembler)
アセンブリ (assembly)
アセンブリ言語 (assembly language)
アセンブル (assemble)
アタッチ (attach)
アタッチファイル (attach file)
アタッチメント (attachment)
アダプタ (adapter)
アップグレード (upgrade)
アップストリーム (upstream)
アップタイム (uptime)
アップローダ (uploader)
アップロード (upload)
宛先 (destination)
アドインソフトウェア (add-in software)
アドウェア (ADware)
アドホック・モード (ad hoc mode)
アドミニストレータ (administrator)
アドレス解決プロトコル (Address Resolution Protocol)
アドレス空間 (address space)
アドレッシング・モード (addressing mode)
アナログ・モデム (analog modem)
アノニマスFTP (anonymous ftp)
アフィリエイト・サービス (affiliate service)
アフィリエイト・プログラム (affiliate program)
アフィリエイト・マーケティング (affiliate marketing)
アプライアンス・サーバ (appliance server)
アプリケーション層 (application layer)
アプリケーション・サービス・プロバイダ (Application Service Provider)
アベイラビリティ (availability)
アボート (abort)
アルゴリズム (algorithm)
アルファテスト (alpha test)
アルファ版 (alpha version)
アルファバージョン (alpha version)
アンインストール (un-install)
暗号化 (encryption/encipherment)
暗号化ファイルシステム (Encrypting File System)
暗号文 (ciphertext/cryptogram)
アンサー・ファイル (answer file)
アンドゥ (un-do)
アンナンバード接続 (unnumbered connection)
アンマウント (unmount)
アンマネージ・コード (unmanaged code)
アンロード (unload)
アーカイバ (archiver)
アーカイブ (archive)
アーキテクチャ (architecture)
移植 (port/porting)
移植性 (portability)
イジェクト (eject)
イジェクトボタン (eject button)
イタリック体 (italic face)
1次キャッシュ (level 1 cache)
一括処理 (batch processing)
一括置換 (replace all)
一括変換
イニシャライズ (initialize)
イニシャルコスト (initial cost)
イネーブル (enable)
イベント (event)
イベント駆動 (event driven)
イベント ドリブン (event driven)
違法コピー (illegal copy)
イメージ スキャナ (image scanner)
イリーガル (illegal)
入れ子 (nest)
インアクティブウィンドウ (inactive window)
インキュベータ (incubator)
インク・カートリッジ (ink cartridge)
インクジェット・プリンタ (ink-jet printer)
インク・リボン (ink ribbon)
インクリメント (increment)
インクルード (include)
印刷装置 (printer)
印刷プレビュー (print preview)
インサーキット・エミュレータ (in-circuit emulator)
インサートモード (insert mode)
インシデント (incident)
インスタントメッセージング (instant messaging)
インストラクションセット (instruction set)
インストラクションセットアーキテクチャ (instruction set architecture)
インストーラ (installer)
インストール (install)
インタラクティブ (interactive)
インタラプト (interrupt)
インターナショナライゼーション/インターナショナリゼーション (Internationalization)
インターネット (Internet)
インターネットVPN (internet Virtual Private Network)
インターネットサービスプロバイダ (Internet Service Provider)
インターネット接続共有 (Internet Connection Sharing(ICS))
インターネット電話 (Internet Telephone)
インターネットデータセンター (Internet Data Center)
インターネットバンキング (Internet banking)
インターネットメール (Internet mail)
インターネット・カフェ (internet cafe)
インターネット・ワーム (internet worm)
インターフェイス (interface)
インタープリタ型言語 (interpretive language)
インチネジ (inch screw threads)
インテリジェント・ハブ (intelligent hub)
インデント (indent)
イントラネット (Intranet)
インバウンド (inbound)
インピーダンス (impedance)
インフラストラクチャ (infrastructure)
インフラストラクチャ・モード (infrastructure mode)
インプリメンテーション (implementation)
インプリメント (implement)
インプレッション (impression)
インボックス (in-box)
インポート (import)
インライン・コード (in-line code)
インライン展開 (in-line expansion)
イーサネット (Ethernet)
ウィザード (wizard)
ウィラメット (Willamette)
ウィンチェスタ・テクノロジ
ウィンチェスター・ディスク (winchester disk)
ウィンドウシステム (window system)
ウイルス (virus)
ウイルス検出ソフトウェア (virus detection software)
ウイルス・チェッカ (virus checker)
ウイルス・チェック・ソフトウェア
ウェアラブル・パソコン (wearable personal computer)
ウエハ (wafer)
ウォッチドッグ・タイマー (watchdog timer)
ウォー・ダイヤラ (war dialer)
ウォー・ダイヤリング (war dialing)
ウォー・ドライビング (war driving)
ウォーホール型ワーム (warhol worm)
ウォームスタート (warm start)
埋め込みプロセッサ (embedded processor)
裏口 (back door)
上書きモード (overwrite mode)
衛星インターネット接続
永続性 (persistence)
エイリアス (alias)
エクストラネット (Extranet)
エクスポート (export)
エスクローサービス (escrow service)
エッジ (edge)
エッジトリガ方式 (edge trigger method)
エディタ (editor)
エミュレーション (emulation)
エミュレータ (emulator)
エモーティコン (emoticon)
エラーハンドリング (error handling)
エリアプラス
エルゴノミクス (ergonomics)
エレクトリック・コマース (electric commerce)
エレクトロニック・コマース (electronic commerce)
エンコーダ (encoder)
エンコード (encode)
エンタープライズXアーキテクチャ (Enterprise X Architecture)
エンディアン (endian)
エントリ・マシン (entry machine)
エントリ・モデル (entry model)
エンドユーザー (end user)
エンハンスト3DNow! (enhanced 3d now!)
オクテット (octet)
オフィスコンピュータ (office computer)
オフ会 (offline meeting)
オフコン (office computer)
オフショア開発 (offshore development)
オフスクリーンメモリ (off-screen memory)
オフセット (offset)
オフトラック (off-track)
オフミ (offline meeting)
オフライン (off-line)
オフラインミーティング (offline meeting)
オブジェクト (object)
オブジェクト (object)
オブジェクト (object)
オブジェクト・コード (object code)
オブジェクト・ファイル (object file)
オプティカルマウス (optical mouse)
オプティマイザ (optimizer)
オプティマイズ (optimize)
オペレーティングシステム (operating system)
オンサイトサポート (on-site support)
オンザフライ書き込み (on-the- fly recording)
オンスクリーン機能 (on-screen function)
オンスクリーン・ディスプレイ (on-screen display)
音声会議システム (voice conferencing system)
音声認識 (voice recognition)
オンダイ (On-die)
オンデマンド ダイヤルアップ接続 (on demand dial-up)
オンボード (onboard)
オンボードデバイス (onboard device)
オンライン (on-line)
オンラインサインアップ (online sign-up)
オンラインショッピング (on-line shopping)
オンラインショップ (online shop)
オンラインソフトウェア (online software)
オンライントレーディング (on-line trading)
オンラインバンキング (online banking)
オンラインヘルプ (on-line help)
オンライン申し込み (online sign-up)
オートノミック・コンピューティング (autonomic computing)
オートパイロット (auto pilot)
オーバークロッキング (overclocking)
オーバークロック (overclock)
オーバーフロー (overflow)
オーバーフロー・エラー (overflow error)
オーバーヘッド (overhead)
オーバーライト (overwrite)
オーバーラップ ウィンドウ方式 (overlapped windowing)
オープン・アーキテクチャ (open architecture)
オープン価格 (open price)
オープンソース (open source)
オープンプライス (open price)
オールインワン (all-in-one)
オールインワンPC (all-in-one Personal Computer)
オールインワン・パソコン (all-in-one personal computer)

Detection of SQL Injection and Cross-site Scripting Attacks

Detection of SQL Injection and Cross-site Scripting Attacks
K. K. Mookhey, Nilesh Burghate 2004-03-17

1. Introduction
In the last couple of years, attacks against the Web application layer have required increased attention from security professionals. This is because no matter how strong your firewall rulesets are or how diligent your patching mechanism may be, if your Web application developers haven’t followed secure coding practices, attackers will walk right into your systems through port 80. The two main attack techniques that have been used widely are SQL Injection [ref 1] and Cross Site Scripting [ref 2] attacks. SQL Injection refers to the technique of inserting SQL meta-characters and commands into Web-based input fields in order to manipulate the execution of the back-end SQL queries. These are attacks directed primarily against another organization’s Web server. Cross Site Scripting attacks work by embedding script tags in URLs and enticing unsuspecting users to click on them, ensuring that the malicious Javascript gets executed on the victim’s machine. These attacks leverage the trust between the user and the server and the fact that there is no input/output validation on the server to reject Javascript characters.
This article discusses techniques to detect SQL Injection and Cross Site Scripting (CSS) attacks against your networks. There has been a lot of discussion on these two categories of Web-based attacks about how to carry them out, their impact, and how to prevent these attacks using better coding and design practices. However, there is not enough discussion on how these attacks can be detected. We take the popular open-source IDS Snort [ref 3], and compose regular-expression based rules for detecting these attacks. Incidentally, the default ruleset in Snort does contain signatures for detecting cross-site scripting, but these can be evaded easily. Most of them can be evaded by using the hex-encoded values of strings such as %3C%73%63%72%69%70%74%3E instead of . This is likely because most of the printed and online literature on CSS use this script as an example for determining if a site is vulnerable to CSS. These attempts can be trivially detected. However, the advanced attacker may attempt to camouflage the entire string by entering its Hex equivalents. So the






















Get free blog up and running in minutes with Blogsome
Theme designed by Hadley Wickham