mod_securityでWebサーバを守る(第3回) | ソフテック
クロスサイトスクリプティング(XSS)は、外部から任意のスクリプトが埋め込まれてしまうことにより発生する脆弱性です。パラメータの入力時または外部から入力されたパラメータの出力時にサニタイズされていないことが原因で問題が発生します。mod_securityでこの脆弱性を防ぐには、以下が考えられます。 SecFilter "[Jj][Aa][Vv][Aa][Ss][Cc][Rr][Ii][Pp][Tt]:" deny SecFilter "<[[:space:]]*[Ss][Cc][Rr][Ii][Pp][Tt]" deny 上記の設定は、 <script> タグおよび javascript スキームがHTTPリクエスト中に含まれていた場合に拒否する設定です。これによって多くのクロスサイトスクリプティングの脆弱性を防ぐことが可能です。 しかしながらこれは完全ではありません。クロスサイトスクリプ
mod_securityでWebサーバを守る(第1回)
一体、Webサイトを持たない組織は今どれくらいあるでしょうか。 Webサーバを自前で持つ、ホスティングサービスを利用する、など運用形態はさまざまですが、Webサイトを持たない組織はほとんどないと思える程に Webは普及しています。 ファイアウォールはほとんどの組織で導入済みであり、多くのWebサーバはファイアウォールの中で運用されているのが一般的です。 しかしながら、最も普及しているファイアウォールはIPアドレス、ポートレベルでのフィルタリングです。この方法でのフィルタリングでは、許可していないサービスが持つ脆弱性を狙った攻撃を阻止できるため有用ではありますが、HTTPを許可している場合Web自体への攻撃に対して無力です。一方で、HTTPを不許可にした場合にはWebサイトへアクセスできなくなってしまうため本来の目的を達成できません。しかもここ数年、Webサイトを狙ったワームや不正アクセスは
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
処理を実行中です
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
