Apacheの多重拡張子にご用心
先日の日記『「10日でおぼえるPHP入門教室 第4版」はセキュリティ面で高評価』では、同書のアップロード機能のセキュリティ面を評価しつつ、「もうひと踏ん張り確認して欲しい内容がある」として、画像XSSの可能性について指摘しました。では、これを直せば完璧かというと、実はそうとも言えないという微妙な問題があります。それは、アップロード先の場所とファイル名の問題です。 ファイルをアップロードするディレクトリ: ドキュメントルート下の /php10/doc/ ファイル名: ブラウザから送信されたファイル名そのまま これらのうちファイル名の拡張子については、gif/jpg/jpeg/pngのみを許すという、いわゆるホワイトリスト検査がされていて、またgetimagesize()関数により、画像ファイルであることの簡易的なチェックをしています。しかし、この状態では、環境によってはアップロードしたファイ
実はそんなに怖くないTRACEメソッド
Cross-Site Tracing(XST)という化石のような攻撃手法があります。「化石」と書いたように、既に現実的な危険性はないのですが、XSTに関連して「TRACEメソッドは危険」というコメントを今でも見ることがあります。 このエントリでは、XSTという攻撃手法について説明し、XSTおよびTRACEメソッドについてどう考えればよいかを紹介します。 TRACEメソッドとは HTTP 1.1(RFC2616)では、8種類のメソッドが定義されています。GET、POST、HEADなどはおなじみのものですが、それ以外にPUT、DELETE、OPTIONS、TRACE、CONNECTの5種があります。 このうち、TRACEメソッドは、HTTPリクエストを「オウム返しに」HTTPレスポンスとして返すもので、以下のようにGET等の代わりにTRACEとしてWebサーバーにリクエストします。 TRACE
Apache + mod_cache で起こりうるRangeリクエストを使った脆弱性について - キモブロ
去年の12月頃にみつけたやつをすっかり公開するの忘れてたのでいま書いた。 https://gist.github.com/kimoto/6b347dfbaa9f6a87c0c7 もともと最新のバージョンだと発生しないやつなのでそんな危険性高く無いと思う。あと細かい条件が結構厳しい。 これはJavascriptファイルの特定部分をHTTPのRangeヘッダーでキャッシュさせて配信することで悪いことできそうな感じのやつ。あとは単純に他社サービスのコンテンツを表示させないみたいな、サービス不能攻撃になりうる。 CDNとかでこの脆弱性あるとだいぶダルそうな予感。
.htaccessでHTTPアクセスをSSLでリダイレクト(逆もアリ) - hogehoge foobar Blog Style Beta
.htaccessを使って、HTTPでアクセスされたページをSSLでリダイレクトする方法と、SSLでアクセスされたページをHTTPでリダイレクトする方法です。 今回は、以下の2パターンで試してみました。 環境変数「HTTPS」を使用する。 環境変数「SERVER_PORT」を使用する。 環境変数「HTTPS」を使用する場合 ※メイビンラボさんのページを参考にさせてもらいました。 一番簡単で分かりやすい方法はコレだと思います。 「RewriteCond」で環境変数「HTTPS」の値を判定します。 「HTTPS」がoffの場合 → HTTPでのアクセスなのでSSL(HTTPS)でリダイレクト 「HTTPS」がonの場合 → SSL(HTTPS)でのアクセスなのでHTTPでリダイレクト .htaccessを全てのディレクトリに置くのは管理が煩雑になってよろしく無いので、DocumentRoot直
Secunia - Forum Thread: Recent PSI issues
Secunia delivers software security research that provides reliable, curated and actionable vulnerability intelligence. Organizations can expect to receive standardized, validated and enriched vulnerability research on a specific version of a software product. Secunia Research supports four solutions:
Apache HTTPD: mod_allowfileowner - ダメ出し Blog
mod_allowfileowner って何? Apache HTTPD 用のフィルターモジュールです。 静的コンテンツファイルの所有者をチェックして、 指定のユーザーが所有していればアクセスを許可し、 そうでなければ拒否します。 静的コンテンツファイルをオープンした後、それを指すファイル記述子に対して fstat(2) を行ないファイル所有者をチェックする実装になっているため、 TOCTOU (Time Of Check to Time Of Use) 問題はありません。 何が嬉しいの? 共有 Web サーバーサービスにおいて、一部のシンボリックリンク攻撃を防ぐことができます。 この攻撃は Options -FollowSymLinks や Options SymLinksIfOwnerMatch 設定では完全には防ぐことはできません。 参考: Apache HTTPD: Options
田中邦裕＠さくらインターネット社長🐈⬛🐕 on Twitter: "共用サーバの他人の覗きたいディレクトリにln -sして、htaccessのOptionsで+FollowSymLinksし、Apache経由でブラウザからアクセスすると、他人のファイルが見れてしまいます。そしてMySQLにアクセスすれば…というものです。詳しくは書きません。"
共用サーバの他人の覗きたいディレクトリにln -sして、htaccessのOptionsで+FollowSymLinksし、Apache経由でブラウザからアクセスすると、他人のファイルが見れてしまいます。そしてMySQLにアクセスすれば…というものです。詳しくは書きません。
tkyk.name
tkyk.name このドメインを購入する。 2018 Copyright. All Rights Reserved. The Sponsored Listings displayed above are served automatically by a third party. Neither the service provider nor the domain owner maintain any relationship with the advertisers. In case of trademark issues please contact the domain owner directly (contact information can be found in whois). Privacy Policy
Apache DoS攻撃対策 – mod_evasive編 | ijo.cc
ApacheのDoS攻撃対策には、色々なモジュールが用意されてる。 有名どころだと、はてな製のmod_dosdetector、ITProでも紹介されたmod_evasiveだろうか。 これまで、mod_dosdetectorを利用してきたけど、今回はmod_evasiveを導入してみた。 モジュール、mod_evasive サーバ環境は、 CentOS/5.5 (64bit版) , Apache/2.2.15 mod_evasive インストール apxsコマンドでApacheにモジュールを追加するので、mod_so.cが必要。 mod_so.cがない場合は、yumからhttpd-develを事前にいれておく。 # httpd -l core.c prefork.c http_core.c mod_so.c ←これがあること # cd /usr/local/src/ # wget http
Apacheに脆弱性 - 重要度「Moderately Critical」
The Apache HTTP Server Project is an effort to develop and maintain an open-source HTTP server for modern operating systems including UNIX and Windows NT. 「Secunia Advisory SA53154」においてApache HTTPd Server 2.2.24にセキュリティ脆弱性があることが報告された。mod_rewriteモジュールのdo_rewritelog()関数における文字列処理に問題があり、細工されたHTTPリクエストを受け取ると状況によっては任意のコマンドが実行される可能性があるという(ただし、この攻撃はユーザがターミナルからログファイルを閲覧できる状況になる必要があるという条件が付くものとみられる)。 Secunia
Attack Using Backdoored Apache Binaries to Lead to Blackhole Kit
There is a newly identified ongoing attack campaign in which attackers are using compromised Apache HTTP binaries to redirect users to malicious sites serving various flavors of malware, including the Blackhole exploit kit. Rather than going the traditional route of simply injecting malicious code onto target Web sites, this attack crew is replacing the existing Apache binary with a compromised on
Dosアタック攻撃に対する対策について | ホームページを作るときのメモ用ブログ
サーバーを色々触っていると、悪事をはたらく人たちの痕跡があります。 とくに、さくらVPSはスペックがよくない（低いプランは）ので、F５攻撃などがあればすぐにダウンする可能性が大です。 なので、DOS攻撃対策として、 mod_dosdetector をインストールしたので、メモ書きです。 mod_dosdetectorは悪意のあるアクセスを判断してくれるモジュールです。 その判断されたデータを元に一時的に503を返してアクセスできなくしようと言うものです。 また、設定も細かくできるし日本語の情報も多いのオススメです。 と言うかこれしか試していません・・・・ ちなみに、下記やり方は他のサイト様の寄せ集めです。 参考にしたサイト http://www.jisakuroom.net/blog/?p=201 http://c-brains.jp/blog/wsg/10/06/24-134947.ph
Apache、セキュリティを修正した最新安定版「Apache HTTP Server 2.4.2」リリース | OSDN Magazine
Apache Software Foundation（ASF）およびApache HTTP Server Projectは4月17日、オープンソースのWebサーバー最新版「Apache HTTP Server 2.4.2」を公開した。2.4系ブランチでは2回目の一般公開（GA）版となり、セキュリティ問題やバグの修正が主となるリリースとなる。 Apache HTTP Server 2.4.2は2月にリリースした2.4.1以来のGA版となる。LD_LIBRARY_PATH環境変数の処理にバグがあり、共有ライブラリの探索パスにカレントディレクトリが含まれてしまうという静寂性が修正されている。このため、既存のすべてのユーザーにアップデートを推奨している。 また、「mod_proxy」や「mod_sed」、「mod_ssl」、「mod_slotmem_shm」、「mod_filter」などのモジュー
Apache HTTPD 2.2.21 における変更点 (CVE-2011-3192 Range header DoS 対策) - LowPriority
やっと出たので動作差分です。主に2.2.20でエンバグして修正された点が主になります。 現時点ではまだリリースノートは更新されていませんが、開発者によるGA投票通過して ミラーもされてるので引っ込む事は無いでしょう。 ともあれ今回の件はこれで最後になるといいなぁ。 アドバイザリはこちら。(2011/09/14 ドラフトから正式版に張り替え) 大きな変更としては1.3系が影響対象外になった旨が記載されています。 Apache HTTPD Security ADVISORY UPDATE 3 - FINAL http://httpd.apache.org/security/CVE-2011-3192.txt Rangeリクエスト関連の処理で2.2.19から動作が変わった点は以下です。 2番目と4番目は本質的には同じでしたが、実際にバグを踏んだ例があったので 分離しています。 リグレッションした
Apache HTTP Server Project
Apache HTTP Server 2.2.9 Released The Apache Software Foundation and the Apache HTTP Server Project are pleased to announce the release of version 2.2.9 of the Apache HTTP Server ("Apache"). This version of Apache is principally a bug and security fix release. The following potential security flaws are addressed: CVE-2008-2364: mod_proxy_http: Better handling of excessive interim responses from or
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
http://whmscripts.net/misc/2013/apache-symlink-security-issue-fixpatch/
Reddit - Dive into anything
慎重に扱うべきコンテンツに関する警告
セキュリティ研究者が新たなHTTP DoS攻撃手法を考案――検知しにくい特徴も|セキュリティ・マネジメント|Computerworld
https://mail-archives.apache.org/mod_mbox/httpd-announce/201110.mbox/%3C20111005141541.GA7696@redhat.com%3E