Apacheの多重拡張子にご用心
先日の日記『「10日でおぼえるPHP入門教室 第4版」はセキュリティ面で高評価』では、同書のアップロード機能のセキュリティ面を評価しつつ、「もうひと踏ん張り確認して欲しい内容がある」として、画像XSSの可能性について指摘しました。では、これを直せば完璧かというと、実はそうとも言えないという微妙な問題があります。それは、アップロード先の場所とファイル名の問題です。 ファイルをアップロードするディレクトリ: ドキュメントルート下の /php10/doc/ ファイル名: ブラウザから送信されたファイル名そのまま これらのうちファイル名の拡張子については、gif/jpg/jpeg/pngのみを許すという、いわゆるホワイトリスト検査がされていて、またgetimagesize()関数により、画像ファイルであることの簡易的なチェックをしています。しかし、この状態では、環境によってはアップロードしたファイ
mod_sed - Apache HTTP Server
Summary mod_sed is an in-process content filter. The mod_sed filter implements the sed editing commands implemented by the Solaris 10 sed program as described in the manual page. However, unlike sed, mod_sed doesn't take data from standard input. Instead, the filter acts on the entity data sent between client and server. mod_sed can be used as an input or output filter. mod_sed is a content filter
MojoliciousでCSSなどの静的ファイルを利用する - Perl入門ゼミ
Perl › Mojolicious 今回は静的ファイルを利用したWebアプリケーションを作成してみましょう。静的ファイルはスクリプトのあるディレクトリのpublicというディレクトリに配置します。cssというディテクトリを作成して、その中にcommon.cssというファイルを配置します。 # ディレクトリ構成 app.cgi public/css/common.css 以下がCSSを読み込んだスクリプトです。見出しの部分が赤くなっているのが確認できると思います。 stylesheet関数を利用して、CSSを読み込んでいます。 #!/usr/bin/perl # Mojoliciousを読み込むためのライブラリのパスの設定 use FindBin; use lib "$FindBin::Bin/lib"; # Mojolicious::Liteの利用 use Mojolicious::Li
もっとも簡単な CGI を書くまでのチュートリアル - 冬通りに消え行く制服ガールは、夢物語にリアルを求めない。 - subtech
はてなグループの終了日を2020年1月31日(金)に決定しました 以下のエントリの通り、今年末を目処にはてなグループを終了予定である旨をお知らせしておりました。 2019年末を目処に、はてなグループの提供を終了する予定です - はてなグループ日記 このたび、正式に終了日を決定いたしましたので、以下の通りご確認ください。 終了日: 2020年1月31日(金) エクスポート希望申請期限:2020年1月31日(金) 終了日以降は、はてなグループの閲覧および投稿は行えません。日記のエクスポートが必要な方は以下の記事にしたがって手続きをしてください。 はてなグループに投稿された日記データのエクスポートについて - はてなグループ日記 ご利用のみなさまにはご迷惑をおかけいたしますが、どうぞよろしくお願いいたします。 2020-06-25 追記 はてなグループ日記のエクスポートデータは2020年2月28
Apache狙いの攻撃発生、パスワード流出の恐れも
バグトラッキングソフトをホスティングしているサーバが攻撃を受け、JIRA、Bugzilla、Confluenceのユーザーのパスワードが流出した恐れがあるという。 Apache Software Foundationは4月13日、バグトラッキングソフト「JIRA」をホスティングしているサーバが攻撃を受けたとブログで発表した。この攻撃により、ApacheでホスティングしているJIRA、Bugzilla、Confluenceのユーザーのハッシュ化されたパスワードが流出した恐れがあると警告した。 Apacheによれば、攻撃には短縮URLサービスのTinyURLを使ってクロスサイトスクリプティング（XSS）攻撃コードを仕込んだURLへリダイレクトする手口が使われたという。Apacheの管理者数人がこのリンクをクリックしてしまい、JIRA管理権限を含むセッションに侵入された。 さらにXSS攻撃と並行
Apacheのprintenv.plには気をつけろ！ - 小池啓仁 ヒロヒト応援ブログ By はてな
Windows用のApache2系をインストールし、CGIの設定をした後、とりあえず、デフォルトで入っているcgi-binのprintenv.plを実行しますが、すると『ファイルのダウンロード』が出て上手く行かない場合があります。 これは、単に表示が上手く行かないだけで、ＣＧＩは正常に動いています。 こんな、紛らわしいprintenv.plなど捨てましょう！ ご自分でPerlでテスト用のCGIを作ってテストしましょう！ ちなみに、printenv.plの『print "Content-type: text/plain; charset=iso-8859-1\n\n";』のiso-8859-1が悪さをしている感じです。もしかしたらＩＥの方が悪いのかも…
mod_perliteを試してみた - とほほのN88-BASIC日記
Ideas - O'Reilly Media modperlite PHPのようにファイルを置くだけで実行されてCGIより速くてmod_perlより簡単なapache moduleだそうです。去年からのCGI frameworkブームを補完する上でも試してみるっきゃないということで まずはソースの取得 svn co http://code.sixapart.com/svn/mod_perlite/trunk modperlite cd modperliteちなみにもうすぐgithubに移行されるようです。 コンパイルとインストールはapxsにパスを通して ./Build.PL ./Build ./Build installhttpd.confとかconf.d/modperlite.confとかに LoadModule perlite_module modules/mod_perlite.s
AIST RCIS: Mutual Authentication Protocol for HTTP
Overview "HTTP Mutual Access Authentication Protocol" is a proposed new protocol for preventing Phishing attacks against Web systems. This protocol provides true mutual authentication between HTTP clients and servers using simple password-based authentication. Unlike Basic and Digest HTTP access authentication protocol, the protocol ensures that the server knows the user's entity (encrypted passwo
ErrorDocumentを絶対URLで書くのはやめようよ : ひろ式めもちょう
紹介されているエラーページのデザインはおもしろい。でも、設定のしかたがよくないと思う。このやりかたは多くのサイトで採用されているようだけれど、はっきりいって迷惑。 404エラーをデザインする為のインスピレーション*ホームページを作る人のネタ帳 http://e0166.blog89.fc2.com/blog-entry-262.html ErrorDocument 403 http://e0166.com/403error.html ErrorDocument 404 http://e0166.com/404error.html ErrorDocument 500 http://e0166.com/500error.html 赤い字で書かれた部分はもちろん皆様のドメイン名に変更してください これじゃ 「リダイレクトされちゃうからダメ」 だよ。 こういうふうに設定されていた場合、たとえば、
tDiary: 複数のURLでアクセスできる日記には、base_urlを設定しましょう - ただのにっき(2007-07-22)
■ 「暇つぶし系」のspamには無力 いろいろと対策をとっているおかげで、最近はこの日記に対してツッコミspamやTrackBack spamを喰らうことはほとんどなくなった。 ……んだけど、今朝方10件ほどツッコミspamを喰らってしまってがっくり。調べてみると、SoftBankのケータイから。内容から見て、目的も知性もあるように思えないので、おそらく夏休みに入って暇で暇でしょうがない貧乏な*1高校生が、独り言をつぶやいているだけだろう。こういうのは対策のしようがないから、まずたいていのspamフィルタは無力だよなー。ケータイ相手だと、IPアドレスやUAで締め出すわけにもいかないし。 とりあえず、名前だけは固定のようなので、やっつけのフィルタを書いた: module TDiary::Filter class SpamtempFilter < Filter def comment_filt
www が付いたものと付いていない URL がサイト内に混在しています。統一するべきですか？
［質問］wwwが付いたものと付いていないURLがサイト内に混在しています。統一するべきですか？「wwwあり・なし」問題は昔から頻繁に取上げられるSEOの話題だ。たとえば筆者が勤めるアイレップのウェブサイトは“http://www.irep.co.jp/”またはwwwを省略した“http://irep.co.jp/”どちらでもアクセス可能でブラウザにも全く同じウェブサイトが表示がされる。しかし検索エンジン相手となると少々事情が異なる。 検索エンジンはページに張られたリンクの数や質などを総合的に判断して点数を付けるわけだが、wwwありとwwwなしのURLを「別のページ」として取り扱う。つまり、先の例でいえば、検索エンジンにとって“www.irep.co.jp”と“irep.co.jp”は別のサイトと認識するのだ。このため、URLが統一されていないと「外部リンクの分散」が生じてSEOの効果が低下
mod_rewrite - Apache HTTP Server URL 書き換えエンジン
Summary The mod_rewrite module uses a rule-based rewriting engine, based on a PCRE regular-expression parser, to rewrite requested URLs on the fly. By default, mod_rewrite maps a URL to a filesystem path. However, it can also be used to redirect one URL to another URL, or to invoke an internal proxy fetch. mod_rewrite provides a flexible and powerful way to manipulate URLs using an unlimited numbe
lighttpd+suEXECでCGIを動かす - 烏賊様
lighttpd + fastcgi + suExecでtracを動かすを見て，普通のCGIでもいけるんじゃないの？と思ったのでやってみた．環境はCentOS-4.3． まず，suEXECはlighttpdについてこないので，独自にビルドするかRPMで入れてやる必要がある．ところがRPMで提供されているsuEXECはAP_DOC_ROOT="/var/www"となっていて，ユーザー別のCGIを/var/www以下で動かすという，なんとも使いにくい設定になってしまっている．よって/home以下でsuEXECが使えるようにビルドし直すのが良いと思う． suEXECのビルド Apacheのビルド時にsuEXEC関連のオプションを指定する．自分が使ったsuEXEC関連のオプションだけ以下に． $ ./configure \ --enable-suexec \ --with-suexec \ --w
VirtualHostの設定について
FC3+apache2.0でサーバを構築中です。 一通り基本設定が完了したのでヴァーチャルホストの設定を行っていますが、アクセスに行くとエラー403が出ます。 エラーログを拾ったところ、以下のようなエラーが発生しています。 [Mon Apr 18 13:57:18 2005] [error] [client 192.168.0.254] (13)Permission denied: access to / denied ←192.168.0.248：11000でアクセス [Mon Apr 18 13:57:25 2005] [error] [client 192.168.0.254] (13)Permission denied: access to /index.html denied ←192.168.0.248：11000/index.htmlでアクセス 一見したところパーミッションエ
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
void GraphicWizardsLair( void ); // www抜きのアドレスをwww付きにリダイレクトするhttpd.conf
mod_cband - Apache Download Speed And Traffic Limits
@IT Linux Square「実用 Apache 2.0運用・管理術」
鰆缶 - はてなのアカウントでBasic認証より手軽にひそひそ話
nlog(n): 文字化けを直すとPHPが動作しなくなる
*.htmlを*.html.gzに圧縮しても*.htmlのままでアクセスできるようにしてディスク容量を節約する