エフセキュアブログ : そのApacheのモジュールは本物ですか？
そのApacheのモジュールは本物ですか？ 2010年10月19日12:00 ツイート hiroki_iwai オフィシャルコメント by：岩井 博樹 隣部屋に隔離中のSEKI隊員曰く、 Apacheのモジュールが改ざんされたウェブサイトが確認され、結構厄介とのこと。 最近のウェブサイトの改ざんといえば、iframeやJavaScriptの挿入が主流です。これらは、目視でも確認することが可能です。そのため、grepコマンドを使った簡易チェックを実施した方も多いのではないでしょうか。また、挿入の対象ファイルは、多くの場合はコンテンツフォルダ内なので、セキュリティツールなどが改ざんを検知してくれるケースもあったかと思います。 しかし、改ざん対象がApacheのモジュールとなると、話が違います。さすがに、サーバアプリケーションのモジュールまでチェックしているウェブ管理者は少ないのではないでしょ
本番サーバにチェックアウトしちゃダメですか？ - miauのブログ
初歩的な管理ミスで3300もの有名サイトがソースコードを盗まれる この記事。まず訳がちょっと違うかな？という箇所があるのでそこを補っておくと。 しかしコードが実動サーバに乗る段階ではそれはローカルな作業用コピーではなく、エキスポートされた完成品だから、この問題が起こる。 こう訳されてる箇所があるけど、 When code is rolled to a live server from a repository, it is supposed to be done as an export rather than as a local working copy, and hence this problem. 実働サーバにコードを載せる場合は、ローカルな作業用コピーとして取得するのではなくエクスポートするべきだ。（だが今回はローカルな作業用コピーを本番に置いているので）問題になっている。 み
Apacheセキュリティチェック、PCI DSSの場合 － ＠IT
第4回 Apacheセキュリティチェック、PCI DSSの場合 川島 祐樹 NTTデータ・セキュリティ株式会社 コンサルティング本部 PCI推進室 CISSP 2008/12/1 PCI DSSはペイメントカード業界だけではなく、セキュリティのチェックリストにも使える、というのがこの連載の趣旨でした。では、具体的にどのようにチェックを行っているのでしょうか。今回は身近な「Apache」を題材に、セキュリティ評価ベンダがなにをチェックしているのかを解説します（編集部） セキュリティ評価ベンダ（QSA）によるPCI DSSの訪問審査では、文書調査やインタビューのほかに、実際のOSやアプリケーションの設定を、画面上で目視確認することで、PCI DSSの要件に対応しているかどうかを調査します。今回は、QSAとして訪問審査を実施する際に確認するシステム上のポイントを、「QSAの視点」と称して、実際の
What you need to know about HTTP Verb Tampering
Venture capitalist (Grossman Ventures https://grossman.vc), Internet protector and industry creator. Founded WhiteHat Security & Bit Discovery. BJJ Black Belt. Recently Arshan Dabirsiaghi, Director of Research of Aspect Security, published a white paper entitled “Bypassing URL Authentication and Authorization with HTTP Verb Tampering”. Initially there was a lot of confusion about what exactly was
LAMPセキュリティを強化する4つの方法：CodeZine
はじめに Apache HTTPサーバーのセキュリティは、少なくともLinuxやその他の適切なUnix系オペレーティングシステムで実行している限りにおいては、信頼できます。しかし、今や平凡な静的な読み取り専用Webサイトは絶滅危惧種となりました。最近では、LAMPと呼ばれる一連の技術（つまりLinux、Apache/Lighttpd、MySQL/PostgreSQL/SQLite、Python/PHP/Perl/Ruby）を使って動的Webサイトを提供するのが一般的になっています。これは進歩であるとも、ないとも言えます。 私個人は、平凡な静的HTMLの日々が好きでした。今と比べてブラウザのHTMLサポートやサイトの質に疑問が多かったとはいえ、少なくとも、エラーを吐き散らす役立たずの巨大なスクリプトを実行して私のコンピュータを過労に追い込んだり、ときには完全に固まらせてしまうことはありません
Apache httpd脆弱性のリスク評価は不十分
(Last Updated On: 2008年1月24日)先日Apache httpdサーバにセキュリティ脆弱性を修正したリリースが公開されました。 例えばSecuniaのApache httpd 2.2の脆弱性ページをみると先日リリースされた2.2.8で修正された脆弱性のセキュリティリスクは低く評価されています。 http://secunia.com/advisories/28046/ ここにはmod_negotiation脆弱性の記述がありません。mod_negotiationはここに掲載されているmod_proxy_ftp,mod_status,mod_proxy_balancer,mod_imagemapと違い、多くの環境でデフォルトで有効となっていると考えられるモジュールです。 Minded Security Labs: Advisory #MSA01150108 Apache
Just Racing | Horse, Greyhound and Harness Racing News, Tips and Bets
*Palmerbet 2nd Racing bet. Excl NSW & WA. T&C’s apply.
An Introduction to HTTP Fingerprinting
Saumil Shah saumil@net-square.com 19th May, 2004 Table of Contents 1. Abstract 2. Theory of Fingerprinting 3. Banner Grabbing 4. Applications of HTTP Fingerprinting 5. Obfuscating the server banner string 6. Protocol Behaviour 6.1 HTTP Header field ordering 6.2 HTTP DELETE 6.3 Improper HTTP version response 6.3 Improper protocol response 6.5 Summary of test results 6.6 Choosing the r
*失 言 小 町* - はてなはパスワードを生データで管理してる？
帰省、寿司、陶芸体験 8/13（火） 妻の実家の墓参りへ行き、俺の実家へ帰省。風呂に入る前に子供達と外で水鉄砲で水を掛け合いびしょ濡れになる。最後のほうはどうにでもなれと思い、ホースやバケツで直接水をかけ合う。久しぶりの大胆な遊び方に子供たちは大声をあげながら騒いでいるが、田…
Hidayet Doğan · PHP ve buna benzer şeyler hakkında
Yazdan bu yana özet gelişmeler… (Güncellendi) 07 Feb 2013 Bu yazı eski blogdan arşiv amaçlı alınmış olduğu için içerikte tutarsızlıklar olabilir. Uzun süredir bir şeyler yazamamıştım, en son Linux Yaz Kampı (Temmuz 2012) sonrası neler yaptım neler buldum kısaca bir özet geçeyim. Hem kendim için de bir hatırlama listesi olur. Etkinlik olarak 7-9 Kasım 2012, Eskişehir Anadolu Üniversitesi’nde gerçek
情報処理推進機構：「Tomcat」におけるリクエスト処理に関する脆弱性に関する解説.
本資料は、JVNで公表した「JVN#79314822：『Tomcat』におけるリクエスト処理に関する脆弱性」について解説するものです。 「Apache Tomcat」（以下 「Tomcat」）は、サーバ上で Java アプリケーションを動作させるためのソフトウェアです。Java サーブレット仕様と JavaServer Pages 仕様のリファレンス実装となっています。 「Tomcat」には、ウェブサーバと連動する機能があります。AJP (Apache JServ Protocol) 1.3 は連動のためのプロトコルの一つで、AJP 1.3 Connector (org.apache.ajp.tomcat4.Ajp13Connector) は AJP 1.3 を使用するコネクタの一つです。このコネクタを使用した場合、「Tomcat」はウェブサーバから AJP 1.3 リクエストを受け取り、
mod_ssl - Apache HTTP Server Version 2.4
Summary This module provides SSL v3 and TLS v1.x support for the Apache HTTP Server. SSL v2 is no longer supported. This module relies on OpenSSL to provide the cryptography engine. Further details, discussion, and examples are provided in the SSL documentation. Environment Variables This module can be configured to provide several items of SSL information as additional environment variables to th
mod_authz_iplist - なんとなく◎
mod_authz_host / mod_access による Deny や Allow のようなアクセス制御のために用います． Deny や Allow は .htaccess などに直接記述しますが， このモジュールでは IP アドレスやホスト名は別ファイルに記述します． .htaccess での Deny / Allow の記述はリクエストがある度に読み込まれパースされるが， このモジュールでは規制リストはファイル更新が検出されるまでメモリ上にキープされるため， 特に記述する IP アドレスやホスト名が多い場合パフォーマンス面で有利になる． 規制対象の IP アドレスやホスト名を動的に変更する場合， 規制リストが .htaccess とは別ファイルなので .htaccess を 直接書き換える場合よりもトラブルが発生しにくい． といったメリットがあります． このモジュールはマルチスレ
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
http://binarysec.com/
Bugtraq
Bugtraq