PHPの脆弱性CVE-2018-17082はApacheの脆弱性CVE-2015-3183を修正したら発現するようになったというお話
最近自宅引きこもりで時間ができたので、YouTube動画を投稿するようになりました。みんな見てねー。 徳丸浩のウェブセキュリティ講座 そんなことで、次の動画は、お気に入りのPHPの脆弱性 CVE-2018-17082 を取り上げようと思ったんですよ。表向きXSSで出ているけど、金床さんのツッコミにもあるように、実はHTTP Request Smuggling(HRS)だというやつです。でね、下準備であらためて調べていると、なんかよく分からない挙動がワラワラと出てくる。なんじゃ、こりゃ。CVE-2018-17082 全然分からない。僕は気分で CVE-2018-17082 を扱っている… で、雑に整理すると、以下のような感じなんです。 古い環境だとCVE-2018-17082は発現しない（2015年以前） 少し古い環境だとCVE-2018-17082は発現する 新しい環境だとCVE-2018
まつもとりーのインフラ入門－第六回「高集積マルチテナントアーキテクチャのセキュリティ（1）」 - Forkwell Press
みなさん、こんにちは。まつもとりーのインフラ入門第六回です。 本連載では、主にインターネット基盤技術、または、インターネットのインフラ技術と呼ばれる領域に関して、Webホスティングサービスの歴史やWebサーバの設計と実装を中心に執筆していくと第一回で述べました。 第六回では、高集積マルチテナント環境において非常に重要で、かつ、とてもおもしろいセキュリティの研究動向についての研究動向を紹介します。 まつもとりーのインフラ入門－第五回「高集積マルチテナントアーキテクチャのリソース分離（2）」 まつもとりーのインフラ入門－第四回「高集積マルチテナントアーキテクチャのリソース分離（１）」 まつもとりーのインフラ入門－第三回 「WebサーバとWebホスティングシステム(2)」 まつもとりーのインフラ入門－第二回 「WebサーバとWebホスティングシステム」 まつもとりーのインフラ入門－序章「インフラ
.htaccessでTor経由のアクセスを遮断する - ひよこになりたい
Tor使っててなんとなくTorからのアクセス遮断したくなったので書いてみた（特に意味は無い） Torの出口ノードを.htaccessで遮断するだけなので 出口ノード一覧はここにあります http://torstatus.blutmagie.de/ip_list_exit.php/Tor_ip_list_EXIT.csv 一覧更新が定期的に行われるっぽいので.htaccessをその都度更新します # -*- coding: utf-8 -*- import time import datetime from subprocess import call, PIPE, DEVNULL while True: # download Tor list cmd = "wget -nc http://torstatus.blutmagie.de/ip_list_exit.php/Tor_ip_list
mod_rewriteの考え方。 - こせきの技術日記
http://httpd.apache.org/docs/2.2/mod/mod_rewrite.html を見ながら。 URLが正規表現(A)にマッチし、かつ 文字列(B)が条件(C)を満たす場合に、 URLを(D)に書き換える。 というのが基本。 RewriteRule URLが(A)の正規表現にマッチしたら(D)で書き換える。 正規表現(A)は、リライトを実行するかどうかの条件(真偽値)であって、置換 url =~ s/(A)/(D)/ ということではない。たとえば、以下のような正規表現でリライトされる。 Google Code Search # 1文字マッチしたらリライト実行。空文字列でなければ実行する。 RewriteRule . index.php [L] Google Code Search # 先頭にマッチしたらリライト実行。常に実行する。 RewriteRule ^ -
Apache 2.4系でHTTP/2対応サーバを構築してみるテスト。
最新情報 関連ソフトウエアのサポート期間 OpenSSL 1.1.1系のサポート終了まであと、000日です。 (サポート終了予定日:2023年9月11日) OpenSSL 3.0.0系のサポート終了まであと、000日です。 (サポート終了予定日:2026年9月7日) サポートが終了したソフトウエア ACME v1のサービスが完全終了しました。(終了日:2021年6月1日)ACME v2に対応したACMEエージェントをご利用ください。 OpenSSL 1.1.0系のサポートが終了しました。 (サポート終了日:2019年9月11日) OpenSSL 1.1.1系へのアップグレードをお急ぎください。 OpenSSL 1.0.2系のサポート終了しました。 (サポート終了日:2019年12月31日) OpenSSL 1.1.1系へのアップグレードをお急ぎください。 OpenSSL 1.0.1系のサポ
GIGAZINE - GIGAZINEのLoadAvarageを「27」から「2」へ下げた方法
ここ3日間ぐらい超絶な重さだったのはサーバに物理的トラブルが発生したからではなく、単純に閲覧者数が満員御礼となり、各時間で倍増したためです。LoadAverageはひどいときで15分間の平均値「27.1」程度。瞬間最大風速だともっと高いです……明らかにまずい。 というわけで、Apacheのデフォルト設定で今までは大丈夫だったのですが、ついに高負荷サイト用の設定に変更せざるを得なくなりました。 そのため、実際に行った対処方法は以下の通り。1日30万PV近い動的サイトの高負荷を緩和させる方法として参考になれば幸いです。 まず大前提として、既にDNS逆引きや.htaccessの余計な読み込みなどは停止させていました。下記ページに書いてあることは実行済み。 ＠IT：Apacheパフォーマンス・チューニングの実践（1/2） この状態で負荷が15分平均で「27」になっていたわけです。 また、LoadA
HTTP/2とTLSの間でapacheがハマった脆弱性(CVE-2016-4979) - ぼちぼち日記
0. 短いまとめ 昨晩apache2.4でHTTP/2利用時にTLSクライアント認証をバイパスする脆弱性(CVE-2016-4979)が公表され、対策版がリリースされました。 実際に試すと Firefoxで認証バイパスができることが確認できました。 HTTP/2でTLSのクライアント認証を利用するには仕様上大きな制限があり、SPDY時代から長年の課題となっています。 この課題を解決するため、Secondary Certificate Authentication in HTTP/2という拡張仕様が現在IETFで議論中です。 1. はじめに ちょうど昨晩、apache2.4のhttpdサーバの脆弱性(CVE-2016-4979)が公開され、セキュリティリリースが行われました。 CVE-2016-4979: X509 Client certificate based authenticatio
ApacheのMaxClientsとListenBackLogのチューニングの覚書 - Qiita
ListenBackLog →デフォルトでは511らしいが、httpd.confに記載はない。 →ListenBackLogはカーネルのtcp_max_syn_backlogの値に加算される。 →tcp_max_syn_backlogのデフォルトは2048 ListenBackLogとtcp_max_syn_backlogの値の合計が、キュー待ち数。 デフォルトだと511 + 2048 = 2559がキュー待ち数 MaxClients値とServerLimit値が256（同時アクセス可能数）のため、例えば2000の同時アクセスが来た場合は、1744（2000 - 256）は、キュー待ち状態となり、キュー待ち数は、815(2559 - 1744)の空きがある状態となる。 同時アクセス数が3000の場合は、2744(3000 - 256)は、キュー待ち状態となり、キュー待ち数は2559を超過た
Apacheコミッターが見た、Apache vs nginx
株式会社 野村総合研究所 情報技術本部 オープンソースソリューション推進室 Mail ： ossc@nri.co.jp Web： http://openstandia.jp/ 野村総合研究所のOpenStandia（オープンスタ ンディア）は、おかげさまで、2006年のサービス 開始から2011年までの5年間で契約数累計が 1,000件を突破いたしました！ Apacheコミッターが見た、 Apache vs nginx 野村総合研究所 情報技術本部 オープンソースソリューション推進室 佐藤 高志 株式会社野村総合研究所 Copyright© Nomura Research Institute, Ltd. All rights reserved. 1 はじめに 自己紹介 Apacheとnginxの違い(1) アーキテクチャ編 Apacheとnginxの違い(2) コミュニティ編 Apache
Apacheセキュリティ設定 - Qiita
概要 Apache の設定について共通化できるセキュリティ設定とその各項目についてまとめた。 設定例 必須設定 cat << _EOF_ > /etc/httpd/conf.d/security.conf # バージョン情報の隠蔽 ServerTokens ProductOnly Header always unset "X-Powered-By" # httpoxy 対策 RequestHeader unset Proxy # クリックジャッキング対策 Header always set X-Frame-Options "SAMEORIGIN" # XSS対策 Header always set X-XSS-Protection "1; mode=block" Header always set X-Content-Type-Options "nosniff" # XST対策 Trace
人間とウェブの未来 - リクエスト単位でApacheのリソースを制御するためのmrubyを使った制御DSLコードの紹介
人間とウェブの未来（旧） 「ウェブの歴史は人類の歴史の繰り返し」という観点から色々勉強しています。2014年までの人間とウェブの未来の旧ブログです。 IOT研究会やコンテナ勉強会で発表した内容を制御コード例を交えて具体的なリソース制御の書き方を紹介したいと思います。 詳しい内容は上の行のエントリへのリンクを見て頂くとして、簡単にまとめると、Apacheへのリクエスト単位でCPUやDISK I/O等のコンピュータリソースを制御しようという話になります。今回はその仕組（mod_mrubyでcgroupを制御）の導入から具体的な制御DSLコードのサンプルを紹介します。 導入 導入はこれまでに何度も紹介していた内容とかぶるのですが、mod_mrubyのインストールと同様です。まずはgithubからmod_mrubyをcloneして、mod_mrubyディレクトリにあるbuild_config.rb
「リクエスト単位でコンピュータリソースを分離可能なWebサーバのリソース制御アーキテクチャ」という話を発表してきた
人間とウェブの未来（旧） 「ウェブの歴史は人類の歴史の繰り返し」という観点から色々勉強しています。2014年までの人間とウェブの未来の旧ブログです。 昨日、「リクエスト単位でコンピュータリソースを分離可能なWebサーバのリソース制御アーキテクチャ」という新しい研究内容を情報処理学会のインターネットと運用技術（IOT）研究会で発表してきました。 (4)リクエスト単位で仮想的にコンピュータリソースを分離するWebサーバのリソース制御アーキテクチャ◎松本亮介,岡部寿男(京都大学) #ipsjiot pic.twitter.com/NhfLL1mgtZ — Naoto MATSUMOTO (@naoto_matsumoto) September 27, 2013 この研究会は、研究者だけでなくエンジニアの皆さんにとっても面白い内容が沢山聞くことのできる研究会なので、学術系問わず参加されることをおす
大規模共有型Webバーチャルホスティング基盤のセキュリティと運用技術の改善について書いた論文公開
人間とウェブの未来（旧） 「ウェブの歴史は人類の歴史の繰り返し」という観点から色々勉強しています。2014年までの人間とウェブの未来の旧ブログです。 @jj1bdxさんに「このような運用論文を誰でも読める形で」「情報処理学会や信学会の論文誌掲載論文は、論文誌に掲載された後であれば、著者がWeb上で公開するのに制限はない」という情報を頂き、別に公開しない理由もないので、大規模共有型Webバーチャルホスティング基盤のセキュリティと運用技術の改善という内容で書いた論文を公開したいと思います。 僕が会社にいた時、ApacheのVirtualHost環境でレンサバを構築するというのは既にセキュリティ・運用性・パフォーマンスにおいて色々と問題がある事は10年以上前から分かっており、別の方法で共有環境を構築していました。 ある時、VirtualHostで共有環境を真面目に組むとどうなるか、という議論を元
ロリポップのサイト改ざん事件に学ぶシンボリックリンク攻撃の脅威と対策
既に報道されているように、ロリポップ！レンタルサーバーに対する改ざん攻撃により、被害を受けたユーザー数は8428件にのぼるということです。ここまで影響が大きくなった原因は、報道によると、(1)「WordPressのプラグインやテーマの脆弱性を利用」し、不正なファイルがアップロードされた、(2)パーミッション設定の不備を悪用されて被害が拡大した、ということのようです。 29日夜の時点では、攻撃者の改ざん手法について「WordPressのプラグインやテーマの脆弱性を利用」し、不正なファイルがアップロードされて「wp-config.phpの」の設定情報が抜き出されたと説明していたが、30日午後7時過ぎの説明で、この脆弱性が侵入経路となって同社のパーミッション設定の不備を悪用されたことが原因だったことを明らかにした。 「ロリポップ」のWordPressサイト改ざん被害、原因はパーミッション設定不備
米Twitterなどでも利用されているクラスタマネージャ「Apache Mesos」、ApacheのTLPに昇格 | OSDN Magazine
非営利団体のApache Software Foundation（ASF）は7月24日、クラスタ管理ソフトウェア「Apache Mesos」をトップレベルプロジェクト（TLP）に昇格したことを発表した。米Twitterやカリフォルニア大学で使われているクラスタ管理ツールで、分散環境でリソースの分離と共有を効率よく行うことができるという。 Apache Mesosはカリフォルニア大学バークレー校の研究機関AMPLabのプロジェクトを起源とし、データセンターでのリソースの共有/隔離を管理する技術として開発された。アプリケーションとプールされたサーバー間の抽出レイヤとして動作し、分散環境でジョブの実行を最適化できる。これにより、無駄なクラスタの作成を防ぐという。 1万台のノードにも対応し、ZooKeeperを利用したフォールトトレランス、マルチリソーススケジューリング、Webベースの管理UI、J
Apache 2.4系でのモダンなアクセス制御の書き方
人間とウェブの未来（旧） 「ウェブの歴史は人類の歴史の繰り返し」という観点から色々勉強しています。2014年までの人間とウェブの未来の旧ブログです。 これまでのApache2.2系以前でのアクセス制御の書き方は賛否両論でした。僕はあまり好きじゃありませんでした。 過去のアクセス制御に関しては、以下の記事がとてもわかりやすくまとめられていると思います。 こせきの技術日記 – Apacheのアクセス制御をちゃんと理解する。 ここで、以下のように言及されています。 こんなバッドノウハウ、本当はどうでもいいと思う。Apache 3.0では、かっこいいDSL(VCL)で書けるようにする構想があるらしいのでがんばってほしい。 ということで、2.4系ではDSLとはいかないまでも、Require*というディレクティブを使ったモダンな書き方ができるようになったので、それを2.2系以前のアクセス制御の記述と比
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
x.com
[Apache-SVN] Revision 1744951
GitHub - moriyoshi/mod_dynaconf: Allowing dynamic configuration of any per-dir directives with environment variables
共用サーバにおけるSymlink Attacksによる攻撃とその対策について - さくらインターネット創業日記
