Develop/Secure Programming

• Develop/Secure Programming/SQLインジェクション攻撃
• Develop/Secure Programming/関連書籍

Secure Programming †

関連情報 †

• セキュア・プログラミング講座 (IPA)
  IPA の特集。とても分かりやすく解説されています。Secure なプログラミングを目指すなら是非目を通すことをお勧めします。

• 安全なウェブサイトの作り方 (IPA)
  IPAが「安全なWebサイトの作り方」改訂版を公開，CSRFの解説などを追加 (ITpro)
  IPA の特集。web のセキュリティを意識した開発についてとても分かりやすく解説されています。

News †

• 一晩で500万行のコードのバグを自動的に解析 (Slashdot.jp, 07.04.19)
  重要なのは機械的に分析された情報を精査なんだけどね。精査は人の手を介してでないと意味が無い。
• SANS Institute、安全なコード開発スキル測定試験をスタートへ (Enterprise Watch, 07.03.27)
  安全なコード開発スキル測定試験 (Slashdot.jp)
• ソースコードのバグをググる「Bugleプロジェクト」 (ITmedia, 06.07.27)
  http://www.cipher.org.uk/index.php?p=projects/bugle.project
  このプロジェクト、面白いですね。伝統的な strcpy な Buffer Overflow や CreateFileMapping の NULL セキュアパラメータ*1の指摘やはたまた「Dirty Hack」というコメント検索まである。「quickhack」で検索されると若干ヤバい =)。
• 「バッファ・オーバーフローを狙う攻撃が7割以上」---ラックの新井担当部長 (ITpro, 06.04.27)
• マイクロソフト、開発者向けのセキュリティセミナーを開催 (INTERNET Watch, 06.03.02)
• マイクロソフトが開発者向けの新たなセキュリティ施策を開始，MSDNサイトを大幅強化 (IT Pro, 05.12.08)
  MSが問いかける「セキュアなアプリを書けますか？」 (@IT)
  マイクロソフト、セキュアなアプリケーション開発の施策を発表 (MYCOM PC WEB)
  http://www.microsoft.com/japan/msdn/security/
• バッファ・オーバーフロー攻撃を防ぐ“万能薬”はあるか？ (IT Pro, 05.10.19)

仮置き場 †

• MSKB:268343 [Umdhtools.exe] Umdh.exe を使用してメモリ リークを検出する方法
• MSKB:177415 Memory Pool Monitor (Poolmon.exe) を使用してカーネル モードのメモリ リークのトラブルシューティングを行う方法

• スタックオーバーフローのハンドリング (Stack Overflow Handling)

strsafe.h とか intsafe.h とか。

#define CRTDBG_MAP_ALLOC
#include <stdlib.h>
#include <crtdbg.h>

_CrtDumpMemoryLeaks();
_CrtSetDbgFlag(_CRTDBG_ALLOC_MEM_DF | _CRTDBG_LEAK_CHECK_DF);

• Visual Studio メモリ リーク検出の有効化
• strsafe.h : C 言語での安全な文字列処理
  Using the Strsafe.h Functions

• セキュアなプログラマー: 安全にコンポーネントを呼ぶ コールやリターンの扱いは、どのコンポーネントを呼ぶのかと同じくらい重要 (dW)

• Secure Programming for Linux and Unix HOWTO 日本語訳 (JF Project)
  http://www.dwheeler.com/secure-programs/

• Secure Coding: Principles & Practices