[B! apache] indigo13loveのブックマーク

ロリポップのサイト改ざん事件に学ぶシンボリックリンク攻撃の脅威と対策

既に報道されているように、ロリポップ！レンタルサーバーに対する改ざん攻撃により、被害を受けたユーザー数は8428件にのぼるということです。ここまで影響が大きくなった原因は、報道によると、(1)「WordPressのプラグインやテーマの脆弱性を利用」し、不正なファイルがアップロードされた、(2)パーミッション設定の不備を悪用されて被害が拡大した、ということのようです。 29日夜の時点では、攻撃者の改ざん手法について「WordPressのプラグインやテーマの脆弱性を利用」し、不正なファイルがアップロードされて「wp-config.phpの」の設定情報が抜き出されたと説明していたが、30日午後7時過ぎの説明で、この脆弱性が侵入経路となって同社のパーミッション設定の不備を悪用されたことが原因だったことを明らかにした。「ロリポップ」のWordPressサイト改ざん被害、原因はパーミッション設定不備

indigo13love 2013/09/02

リンク

https://mail-archives.apache.org/mod_mbox/httpd-announce/201108.mbox/%3C20110824161640.122D387DD@minotaur.apache.org%3E

indigo13love 2011/08/26

リンク

Google Code Archive - Long-term storage for Google Code Project Hosting.

Code Archive Skip to content Google About Google Privacy Terms

indigo13love 2011/05/04

かっこいい

リンク

リバースプロキシを導入する際はmod_rpaf

僕の自宅サーバには２つの Apache がインストールされていて、用途により使い分けています。 * Apache 1.3系 + mod_perl → Amazon Search / Google Similar といった高速性を求めるサービス * Apache 2.0系 → その他の静的コンテンツや通常用途の CGI 等の動的コンテンツなぜ使い分けるかというと、mod_perl はメモリー喰いなので、静的画像のためにプロセスがもったいない訳です。本当に必要なリクエストにのみ mod_perl をかませば良いですから。（参考ページ：リバースプロキシ Pound を導入しました。 : NDO::Weblog）で、２つの Apache を透過的に見せてあげるために、リバースプロキシの Pound を使っています。負荷分散も実装できて優れものですが、欠点が一つ。リクエストをリバースプロキ

indigo13love 2011/04/17

リンク

削除してしまったSSL秘密鍵をhttpdプロセスから復元

[Apache-Users 7417] 誤消去してしまった秘密鍵の復元から始まるスレッドでの話題です。そんなの無理だろうと思っていたら、gdbでhttpdプロセスにcore吐かせて、その中に秘密鍵らしき部分をみつけたとのこと。 Sorry, the comment form is closed at this time.

indigo13love 2011/02/25

Apache
SSL

リンク

Proxy越しのDigest認証

こんにちは。CTOの馬場です。今回もインフラエンジニア向けにちょっとした情報を紹介します。今回は一部で話題になっていた「Proxy越しのDigest認証」について、ちょっとしたコツがあるのでノウハウを公開します。前提として、 Digest認証は、認証情報の中にURIを保持しています Digest認証では、 mod_auth で「リクエストされたURI」と「認証情報の中のURI」の整合を確認していますと、いうことです。なので、backendサーバで mod_auth が認証処理をする時に、「リクエストされたURI」と「認証情報の中のURI」が一致している必要があります。大抵の場合、次の図の構成になっていると思いますが、これを、次の図のように変えることで両立させることができるようになります。ポイントは、RewriteするときにPT(PassThrough)を指

indigo13love 2010/10/21

リンク

mod_dosdetector の使い方 - へびにっき

『サーバ/インフラを支える技術』で知ったDoS攻撃判定モジュール mod_dosdetector の使い方。mod_dosdetecotr のバージョンは 0.2、環境は Apache 2.2.3 @ CentOS 5。インストール wget http://ncu.dl.sourceforge.net/sourceforge/moddosdetector/mod_dosdetector-0.2.tar.gz tar xvzf mod_dosdetector-0.2.tar.gz cd mod_dosdetector-0.2 make sudo make install httpd.conf 設定例 # 実際にはこの一行は make install で追加される LoadModule dosdetector_module modules/mod_dosdetector.so DoSDete