Mozilla SSL Configuration Generator Redirecting to the updated SSL Configuration Generator…
Redirecting to ssl-config.mozilla.org...
Mozilla SSL Configuration Generator Redirecting to the updated SSL Configuration Generator…
Apache Mesos
Program against your datacenter like it’s a single pool of resources Apache Mesos abstracts CPU, memory, storage, and other compute resources away from machines (physical or virtual), enabling fault-tolerant and elastic distributed systems to easily be built and run effectively. Download Mesos Mesos 1.11.0 Changelog What is Mesos? A distributed systems kernel Mesos is built using the same principl
Apacheの多重拡張子にご用心
先日の日記『「10日でおぼえるPHP入門教室 第4版」はセキュリティ面で高評価』では、同書のアップロード機能のセキュリティ面を評価しつつ、「もうひと踏ん張り確認して欲しい内容がある」として、画像XSSの可能性について指摘しました。では、これを直せば完璧かというと、実はそうとも言えないという微妙な問題があります。それは、アップロード先の場所とファイル名の問題です。 ファイルをアップロードするディレクトリ: ドキュメントルート下の /php10/doc/ ファイル名: ブラウザから送信されたファイル名そのまま これらのうちファイル名の拡張子については、gif/jpg/jpeg/pngのみを許すという、いわゆるホワイトリスト検査がされていて、またgetimagesize()関数により、画像ファイルであることの簡易的なチェックをしています。しかし、この状態では、環境によってはアップロードしたファイ
実はそんなに怖くないTRACEメソッド
Cross-Site Tracing(XST)という化石のような攻撃手法があります。「化石」と書いたように、既に現実的な危険性はないのですが、XSTに関連して「TRACEメソッドは危険」というコメントを今でも見ることがあります。 このエントリでは、XSTという攻撃手法について説明し、XSTおよびTRACEメソッドについてどう考えればよいかを紹介します。 TRACEメソッドとは HTTP 1.1(RFC2616)では、8種類のメソッドが定義されています。GET、POST、HEADなどはおなじみのものですが、それ以外にPUT、DELETE、OPTIONS、TRACE、CONNECTの5種があります。 このうち、TRACEメソッドは、HTTPリクエストを「オウム返しに」HTTPレスポンスとして返すもので、以下のようにGET等の代わりにTRACEとしてWebサーバーにリクエストします。 TRACE
複数のWebサーバでSSLセッションキャッシュを共有してSSL処理を高速化(Apache + mod_ssl + mod_socache_memcache) - 元RX-7乗りの適当な日々
HTTPS(SSL利用)サイトがSEO的に優遇されるトレンドで、世間的にもHTTPS接続でサイト運用するサービスが増えてきています。 これが、ハイトラフィックサイトになってくると、このフロントエンドでSSL処理させることが負荷的にもなかなか辛いのです。 で、Apache 2.3以降では、Shared Object Cache Providerとして、memcachedが選択できるようになっています。 この仕組みを利用して、Apacheとmemcachedを並べることで、各サーバでユーザのSSL Session Cacheを共有しながらHTTPSリクエストを負荷分散できる構成を作ってみました。 WebサーバでSSLオフロード 常時SSLを利用したWebサイトを運用するために、SSLアクセラレータといったアプライアンス製品だとか、ソフトウェアだとApacheやNginxのSSLモジュールを使う
Nginxfiles: Aucfan.comのnginx confファイルの管理方法 | aucfan Engineers' blog
こんにちは。インフラエンジニアをしております@rkszです。 本日はオークファンで行っているnginx用のconfファイルの管理方法について紹介します。 皆さん、nginxの設定ファイルはどのように管理されていますか？最低限GitなどのVCSで管理されていると思いますが、実際の所、他社ではどうやっているんだという方も多いと思います。 [nginxfiles]$ tree . ├── README.md ├── Vagrantfile ├── default-html │ ├── 404.html │ ├── 50x.html │ └── index.html ├── init ├── n2dissite ├── n2ensite ├── nginx.conf ├── sites-available │ ├── default.conf │ ├── reverse-pro
米GoogleのApache HTTP Server用高速化モジュール「mod_spdy」がApacheの一部へ | OSDN Magazine
米Googleは6月19日、SPDYプロトコルをサポートするためのApache HTTP Server用プラグイン「mod_spdy」をApache Software Foundationに寄贈したことを発表した。これにより、mod_spdyが公式にApache HTTP Serverの一部となる。 mod_spdyはGoogleが開発したApache 2.2向けモジュール。SPDYプロトコルはストリームの多重化、ヘッダー圧縮などを使って通信の高速化を計る技術で、2012年4月に公開された。すでにGoogle ChromeやFirefoxなどのWebブラウザでサポートが行われている。 mod_spdyの開発における当初のゴールは、Apache 2.2ユーザーがSPDYプロトコルを容易に利用できるようにすることでプロトコルの開発と受け入れを促進することにあったのこと。Google開発者による
Apache + mod_cache で起こりうるRangeリクエストを使った脆弱性について - キモブロ
去年の12月頃にみつけたやつをすっかり公開するの忘れてたのでいま書いた。 https://gist.github.com/kimoto/6b347dfbaa9f6a87c0c7 もともと最新のバージョンだと発生しないやつなのでそんな危険性高く無いと思う。あと細かい条件が結構厳しい。 これはJavascriptファイルの特定部分をHTTPのRangeヘッダーでキャッシュさせて配信することで悪いことできそうな感じのやつ。あとは単純に他社サービスのコンテンツを表示させないみたいな、サービス不能攻撃になりうる。 CDNとかでこの脆弱性あるとだいぶダルそうな予感。
Wckansai 2014
Как Web-акселератор акселерирует ваш сайт / Александр Крижановский (Tempesta ...Ontico
[メモ] Apache+mod_sslでSIGBUSが発生した件
@hirose31さんと、Apache HTTPDからHTTPSでファイルダウンロード中にサーバプロセスがSIGBUSで死ぬって件にぶちあたり、 「OpenSSLの中でmemcpyがSIGBUSしてます」「な、なんだってー！」 って調べたのですが、理由は以下のとおりだった。 HTTPSの場合、デフォルト設定だとファイル読込にmmap(2)が使われる mmapされたファイルのサイズが変更されてもApacheはそれを検知しようがない そして、ファイル末尾以降のデータを読もうとするとセグメンテーションエラー(SIGBUS)が発生し、Apacheのサーバプロセスは異常終了する HTTPの場合は、ローカルファイルシステムの場合sendfile(2)が使われるので、ファイルサイズが変更になってもApacheは異常終了しない ただし、mod_deflateのような出力フィルタを使っている場合は、HTTP
The PHP echo why so slow - Database - Database Skill
The PHP echo why so slow. Get database skills from databaseskill.com.Tag: FUNCtion, string, the php, server Category: Database Author: aqmei Date: 2012-03-01 As a walking old Chinese rivers and lakes for many years, ordered to solve a case of the front page to show the problem of slow today. The problem page is as follows: apache + php Using smarty template output content Page final output, 80k
websec-room.com - websec room リソースおよび情報
This webpage was generated by the domain owner using Sedo Domain Parking. Disclaimer: Sedo maintains no relationship with third party advertisers. Reference to any specific service or trade mark is not controlled by Sedo nor does it constitute or imply its association, endorsement or recommendation.
.htaccessでHTTPアクセスをSSLでリダイレクト(逆もアリ) - hogehoge foobar Blog Style Beta
.htaccessを使って、HTTPでアクセスされたページをSSLでリダイレクトする方法と、SSLでアクセスされたページをHTTPでリダイレクトする方法です。 今回は、以下の2パターンで試してみました。 環境変数「HTTPS」を使用する。 環境変数「SERVER_PORT」を使用する。 環境変数「HTTPS」を使用する場合 ※メイビンラボさんのページを参考にさせてもらいました。 一番簡単で分かりやすい方法はコレだと思います。 「RewriteCond」で環境変数「HTTPS」の値を判定します。 「HTTPS」がoffの場合 → HTTPでのアクセスなのでSSL(HTTPS)でリダイレクト 「HTTPS」がonの場合 → SSL(HTTPS)でのアクセスなのでHTTPでリダイレクト .htaccessを全てのディレクトリに置くのは管理が煩雑になってよろしく無いので、DocumentRoot直
Secunia - Forum Thread: Recent PSI issues
Secunia delivers software security research that provides reliable, curated and actionable vulnerability intelligence. Organizations can expect to receive standardized, validated and enriched vulnerability research on a specific version of a software product. Secunia Research supports four solutions:
Why is FastCGI /w Nginx so much faster than Apache /w mod_php? - ESchrade - Kevin Schroeder
ESchrade – Kevin Schroeder Developer, author, musician, global domination theoretician I have a new post on using Jetty with PHP-FPM that, if you think this is interesting, you should check that one out. (this post has a sister post on Apache’s event MPM compared to Nginx) I was originally going to write a blog post about why NginX with FastCGI was faster than Apache with mod_php. I had heard a w
Apache HTTPD: mod_allowfileowner - ダメ出し Blog
mod_allowfileowner って何? Apache HTTPD 用のフィルターモジュールです。 静的コンテンツファイルの所有者をチェックして、 指定のユーザーが所有していればアクセスを許可し、 そうでなければ拒否します。 静的コンテンツファイルをオープンした後、それを指すファイル記述子に対して fstat(2) を行ないファイル所有者をチェックする実装になっているため、 TOCTOU (Time Of Check to Time Of Use) 問題はありません。 何が嬉しいの? 共有 Web サーバーサービスにおいて、一部のシンボリックリンク攻撃を防ぐことができます。 この攻撃は Options -FollowSymLinks や Options SymLinksIfOwnerMatch 設定では完全には防ぐことはできません。 参考: Apache HTTPD: Options
田中邦裕＠さくらインターネット社長🐈⬛🐕 on Twitter: "共用サーバの他人の覗きたいディレクトリにln -sして、htaccessのOptionsで+FollowSymLinksし、Apache経由でブラウザからアクセスすると、他人のファイルが見れてしまいます。そしてMySQLにアクセスすれば…というものです。詳しくは書きません。"
共用サーバの他人の覗きたいディレクトリにln -sして、htaccessのOptionsで+FollowSymLinksし、Apache経由でブラウザからアクセスすると、他人のファイルが見れてしまいます。そしてMySQLにアクセスすれば…というものです。詳しくは書きません。
tkyk.name
tkyk.name このドメインを購入する。 2018 Copyright. All Rights Reserved. The Sponsored Listings displayed above are served automatically by a third party. Neither the service provider nor the domain owner maintain any relationship with the advertisers. In case of trademark issues please contact the domain owner directly (contact information can be found in whois). Privacy Policy
Apache DoS攻撃対策 – mod_evasive編 | ijo.cc
ApacheのDoS攻撃対策には、色々なモジュールが用意されてる。 有名どころだと、はてな製のmod_dosdetector、ITProでも紹介されたmod_evasiveだろうか。 これまで、mod_dosdetectorを利用してきたけど、今回はmod_evasiveを導入してみた。 モジュール、mod_evasive サーバ環境は、 CentOS/5.5 (64bit版) , Apache/2.2.15 mod_evasive インストール apxsコマンドでApacheにモジュールを追加するので、mod_so.cが必要。 mod_so.cがない場合は、yumからhttpd-develを事前にいれておく。 # httpd -l core.c prefork.c http_core.c mod_so.c ←これがあること # cd /usr/local/src/ # wget http
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
http://whmscripts.net/misc/2013/apache-symlink-security-issue-fixpatch/