PHP, Tomcat などを利用して開発されたウェブアプリケーションにおけるサービス運用妨害 （DoS） の脆弱性（CVE-2011-4885等）：IPA 独立行政法人 情報処理推進機構
ウェブアプリケーション等で使用されている言語 (PHP, Ruby 等) やウェブアプリケーションフレームワーク (Apache Tomcat 等) のハッシュテーブルの実装方法に問題があり、サービス運用妨害 (DoS) の脆弱性が存在します。この脆弱性が悪用されると、運用中のウェブサービスを提供できなくなるなどの被害にあう可能性があります。 攻撃に悪用可能な情報が公開されているため、至急、アップデートを実施して下さい。 ・Apache Tomcat Apache Tomcat 7.0.22 およびそれ以前のすべてのバージョン Apache Tomcat 6.0.34 およびそれ以前のすべてのバージョン Apache Tomcat 5.5.34 およびそれ以前のすべてのバージョン ・Ruby Ruby 1.8.7-p352 およびそれ以前のすべてのバージョン ・Microsoft .NET
過負荷をかわす Apache の設定 : DSAS開発者の部屋
KLab Advent Calendar 2011 「DSAS for Social を支える技術」の9日目です。 前回は php を動かしている Apache の手前にリバースプロキシを 置く必要性を解説しました。 今日は、 その前の php のプロセス数を絞る設定と合わせて、実際に Apache で 設定する方法を紹介します。 以降、 php を動かしている Apache の事をアプリサーバー、リバースプロキシ＋ 静的ファイル配信を行っている Apache の事をプロキシサーバーと呼びます。 基本設定 まずは基本的な設定のおさらいです。 アプリサーバー 並列数を絞るには MaxClients を設定します。アプリがどれくらいの時間を CPUの処理で使って、どのくらいの時間を外部リソース待ちに使っているかにも よりますが、だいたいCPU数の1.5倍〜2倍くらいが適当だと思います。 Hyp
さくらVPSのWordPressをチューニングして30倍高速化した方法 - 原宿・表参道.jp
今日はさくらVPSに載せているWordPressのパフォーマンスをチューニングして高速化に成功したので安心して眠れるという話をします。 2.5ページ/秒だったのが70ページ/秒と30倍高速化。 以前はDaily数千PVで重くなっていたサイトがDaily3.6万PVを余裕で捌けるようになりました。 #ちなみにproxy cacheという手法はwordpressでなくても動的コンテンツ全般に有効です。 ▼サーバ気にしなくて良くなったので今週末新宿御苑に花見に行けました☆。枝ぶりがいいさくらが多くてほんといいところだと思うの。 WordPressチューニング高速化結果http://hara19.jp/のサーバ環境と測定結果は以下のとおり。 WordPress稼働環境さくらVPS 1GB/CentOS5.5/PHP5.3/MySQL5.5/WordPress3.1。 WEBサーバはチューニングにあ
もし『よくわかるPHPの教科書』の著者が徳丸浩の『安全なWebアプリケーションの作り方』を読んだら - ockeghem's blog
たにぐちまことさんの書かれた『よくわかるPHPの教科書（以下、「よくわかる」）』を購入してパラパラと見ていたら、セキュリティ上の問題がかなりあることに気がつきました。そこで、拙著「体系的に学ぶ 安全なWebアプリケーションの作り方（以下、徳丸本）」の章・節毎に照らし合わせて、「よくわかる」の脆弱性について報告します。主に、徳丸本の4章と5章を参照します。 4.2 入力処理とセキュリティ 「よくわかる」のサンプルや解説では、入力値検証はほとんどしていません。しかし、入力値検証をしていないからといって即脆弱かというとそうではありません。徳丸本でも強調しているように、入力値検証はアプリケーション要件（仕様）に沿っていることを確認するもので、セキュリティ対策が目的ではないからです。 「よくわかる」の中で、私が見た範囲で唯一の入力値検証は、郵便番号のチェックをするものです。以下に引用します（「よくわ
WEBサービスを作るなら最低限覚えておきたいPHPのPEARモジュールまとめ:phpspot開発日誌
(追記) 2/16 23時 いくつかのライブラリを追記しました。 WEBサービスを作るなら最低限覚えておきたいPHPのPEARモジュールまとめ。 本家pearには560程のモジュールがあります(2011/2月現在)が、WEBサービスを作る上でよく使う物をまとめてみました。 これからPHPを使ってサービスを作ろうと思っている方は代替を使うことになると思うので参考にしてみて下さい。 php はインストール時点で既に多くの機能が備わっており、大体のことができてしまいますが、PEARを使うことで面倒なことがより簡単にできるようになります。 PEAR以外にも便利なライブラリはあるのですが、今回はあえて殆どをPEARサイトで公開されている物に絞ってご紹介します。 基本的なパッケージ まず、汎用に使える便利なパッケージのご紹介です。 HTTP_Request2 url を渡してリモートのテキストを取って
AKIBE - さくらのVPS CentOSでサーバ構築 13 – パフォーマンス
さくらのVPS CentOSでサーバ構築 作業ノート13回目。 前回までで、ひととおりの初期目的は果たせたので、今回は高速化とメモリの効率化をしたいと思います。 PHPアクセラレータ まずはPHP高速化の定番。PHPアクセラレータです。APC、eAccelerator, XCache 等ありますが、インストールが簡単で、そこそこ性能がいいAPCをインストールします。 APCは Remi リポジトリからインストールできます。リポジトリ導入は前々回の記事を参照してください。 [root@ ~]# yum list php-pecl-apc php-pecl-apc.x86_64 3.1.4-2.el5.remi remi [root@ ~]# yum install php-pecl-apc 下記のファイルを編集することで、バッファサイズ等を設定変更可能ですが、今回はデフォルトのままで様子を
PHP開発者 Rasmus Lerdorf氏インタビュー ～PHPは「利己的」な開発者の集まり | gihyo.jp
2010年9月24日・25日に開催された「PHPカンファレンス2010」にあわせて、PHP開発者のRasmus Lerdorf氏が来日されました。日本を訪れるのは2度目という氏に、PHPの現状とその根底にある思想についてお話を聞きました。 現在の仕事について 大垣：昨年 Yahoo! Inc.を退職されましたね。現在はどのような仕事をされているのでしょうか？ Rasmus：WePayという起業したばかり小さな会社にいます。WePayはカリフォルニアにある、グループで支払いを行う処理を行うベンチャー会社です。 大垣：グループで支払いを行う、というのは、どういうことですか？ Rasmus：グループで何かを買いたいときに、グループとしてお金を管理したいですよね。例えば、大学で学生が集まってプレゼントを買いたいという場合があります。どんなものでも構わないですが、10人が集まって共同でオンラインショ
[PHP4]phpの文字化けとphp.iniの設定
output_buffering = On output_handler = mb_output_handler magic_quotes_gpc = Off default_charset = Shift_JIS [mbstring] mbstring.language = Japanese mbstring.internal_encoding = EUC-JP mbstring.http_input = auto mbstring.http_output = SJIS mbstring.encoding_translation = On mbstring.detect_order = auto mbstring.substitute_character = none output_buffering = Off magic_quotes_gpc = Off default_charse
MySQLベースのデータ管理画面をWEB上で自動生成可能な「CRUD太郎」:phpspot開発日誌
CRUD太郎 - 管理画面自動生成 MySQLベースのデータ管理画面をWEB上で自動生成可能な「CRUD太郎」 まずWEB上で、Create分を入力してウィザードに従うとCakePHPベースのPHPコードがダウンロード可能です。 生成できる画面デザインもクールで、機能的にはデータの挿入、編集、削除などの機能があります。 実際に利用者に公開する部分に注力したい場合はこうしたツールで管理画面の作成作業を簡略化したいものですね。 現在CakePHPベースですが、今後別のフレームワークにも対応予定だそうです。 管理画面の色は７色から選べます データの追加画面もいい感じです ログイン・ログアウト機能、データの追加・編集・削除・表示機能がCREATE文を入れるだけで本当に一瞬で出来てしまいました。
PHPソース１個で実現されるクールなWEBギャラリー実装プログラム「Pagemap ImageWall」:phpspot開発日誌
PHPソース１個で実現されるクールなWEBギャラリー実装プログラム「Pagemap ImageWall」 2010年08月11日- Pagemap ImageWall ? Freeware Web Photo Gallery with slideshow | Pagemap Premium Portfolios PHPソース１個で実現されるクールなWEBギャラリー実装プログラム「Pagemap ImageWall」. アニメーションやLightBoxなどでモダンな感じに動くギャラリースクリプトです。１ファイルなので設置は簡単です。 動きを実際に見てみる 設置にするには、phpが動くサーバを用意した後、パッケージをダウンロードして「index.php」を開き、$config の変数を設定します。 ヘッダー画像や背景、文字色、カスタムCSSと、画像が入っているディレクトリの指定等をしてアップロ
モダンなPHPの開発環境の構築方法 - 肉とビールとパンケーキ by @sotarok
via. はてなブログ 誰か書くんじゃないかと思いつつ、まあ、お決まりのパターンとしてPHP版も書いてみよう。 PHPのこと見てると、書き方とか取り巻く環境ってあんま変わってないなーとか思いつつ、そして何がモダンなんだっけ？新しければいいのか？って話だけど。 一般的な OSX 環境および Linux 環境における、モダンな PHP 開発環境の構築方法についてまとめてみた。最新のPHPとxdebugがあれば十分。 PHP 5.3.2 のインストール ソースから入れてた時期もあるけどやっぱパッケージが楽だな。。オフィシャルじゃないリポジトリを使えばパッケージで入れられる。 pearとpeclは、パッケージ入れるときに一緒に入れちゃう。 pear や pecl そのものは、PHPよりも頻繁にバージョンアップされるし、パッケージになってたりなってなかったりの管理が面倒だから基本的にpear/pec
ぼくがPDOを採用しなかったわけ(Shift_JISによるSQLインジェクション)
補足 この記事は旧徳丸浩の日記からの転載です。元URL、アーカイブ、はてなブックマーク1、はてなブックマーク2。 備忘のため転載いたしますが、この記事は2010年7月1日に公開されたもので、当時の徳丸の考えを示すものを、基本的に内容を変更せずにそのまま転載するものです。 補足終わり PHPのデータベース・アクセス・ライブラリPDOは、DB接続時の文字エンコーディング指定ができないため、文字エンコーディングの選択によっては、プレースホルダを使っていてもSQLインジェクション脆弱性が発生します。 追記(2011/06/19) ここに来て急にブクマが追加されはじめていますが、このエントリを書いてから状況が改善しています。PHP5.3.6(2011/03/17)にて、PDOでもデータベース接続の文字エンコーディングを指定できるようになりました。この版で、UNIX版のPHPでは解決しましたが、Win
Gree Fast Processor: PHPを3倍(くらい)速く | GREE Engineering
ごあいさつエントリだけというのもなんなので、引き続きfujimotoです。実質上1つめのような気がするこのエントリでは、PHPが3倍くらい(少なくとも2倍くらいは...)速くなるGree Fast Processorというのを先月作ってみたのでご紹介です。 すぐわかるまとめ Gree Fast Processorというのを使ってみると、シンプルなsymfonyのプロジェクト(xav.ccで試しました)でも2倍弱、結構複雑なアプリケーションだと7倍くらい速くなったりします。いくつかの制約がありますが、パフォーマンスに飢えているかたはお試しください。 こちらはなんかすごい速くなっている感じのグラフ(一番上が速くなった版のRequests per Second、赤が通常版のRequests per Second): これはさすがにbest caseすぎる気がしますが、普通にやっても2倍弱くらいは
PHPで誰でも簡単Webサービス製作！でなんか作って公開した奴ちょっと来い - 甘味志向＠はてな
タイトルは出来れば関連する方に読んで欲しかったので、軽く釣り針にしました。すみません。:*) 最近はやりのヒウィッヒヒー（Twitter）でも、よく「○○ったー」みたいなサービスがばんばん登場してますね！ おかげでますますツイッターが面白い感じになってて、いい流れですね！ でも･･･ちょっと気になることが･･･ 最近「もうプログラマには頼らない！簡単プログラミング！」だとか･･･ 「PHPで誰でも簡単Webサービス作成！」だとか･･･ はてなブックマークのホッテントリで見かけますよね･･･ プログラミングする人が増えるのは素敵です！レッツ･プログラミングなう！ なんですけど･･･ ちゃんとセキュリティのこと考えてますか･･･！？ 『セキュリティ対策とか難しいし面倒くせーし、俺の適当に作ったサービスとかどうなってもイイしｗｗ』 いいんですいいんです！ 別にそう思ってるならどうでもいいんです！
PHPをC++化するOSSツール「HipHop for PHP」、Facebookがベータ版を公開
米Facebookは米国時間2010年2月2日、Web開発スクリプト言語PHPで書かれたコードをC++コードに変換するツール「HipHop for PHP」（ベータ版）を、オープンソース・ソフトウエア（OSS）として公開した（写真）。WebページのPHP部分をC++言語経由でバイナリ化することで、処理の高速化やサーバーの負荷軽減につながるとしている。 HipHopで生成したC++コードは、オープンソース・コンパイラg++（GNU C++コンパイラ）でバイナリ・コード化する。Facebookがテストしたところ、最終的なバイナリ・コードは変換前のPHPコードに比べWebサーバーのプロセサ使用量がほぼ半減した。SNS（Social Networking Service）「Facebook」のAPI層においては、30％少ないプロセサ使用量で2倍のトラフィックを処理できたという。こうした効果により、
PHP（というかWordPress）高速化のためにAPC（Alternatice PHP Cache）入れた - IDEA*IDEA 〜 百式管理人のライフハックブログ 〜
ドットインストール代表のライフハックブログ
APC（Alternative PHP Cache）再び - Do You PHP?
PECLに登録されているAPC（Alternative PHP Cache）は、PHPの中間コードのキャッシュや最適化を行う拡張モジュールです。APCは前に触ったことがあり、それがいつだったか調べてみたら、なんと2002年3月！使っていた環境は、PHP4.1.1＋APC1.1.0。。。にもかかわらず、何だかGIGAZINEからリンクされているようで、リンク先としては結構恥ずかしいかも。。。 ということで、再度ざっとまとめることにしました。 PECL :: Package :: APC 使用した環境 まずは確認環境ですが、CentOS4.4＋PHP5.2.0です。PHPは以下のようなconfigureオプションを付けてソースからbuildしています。 ●PHP5.2.0のconfigureオプション--with-apxs2=/usr/local/apache2/bin/apxs \ --pr
PHP - Segmentation fault 原因不明のエラーをデバッグする方法 | 海は海、風は風 dozo.rgr.jp
失敗は成功の母。 ということにしておこう。 (ノ・・)ン。。。。。。(((●コロコロッ 開発用のサーバを構築し、 実際に開発しているとどうにも変な動きをしていた。 というのも、サイトにアクセスすると、 画面が真っ白だったりアクセスできませんメッセージが出たりする。 Apacheのプロセスが落ちたんだろうなぁ。 と漠然と思っていたのだが、 結構頻繁に起こるのさすがに調査をすることにした。 ちなみに構成は Debian Sarge Apache 2.0.x (debian package) PHP 5.1.x さて、Apacheのエラーログをみてみると、 エラーが続発していて目を丸くした。 [Sat May 13 17:44:51 2006] [notice] child pid 28627 exit signal Segmentation fault (11) [Sat May 13 17:
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
文字コードに起因する脆弱性とその対策
PHPでのセキュリティ対策についてのメモ - Liner Note