シンボリックリンク攻撃を防ぐための Apache HTTPD モジュールの解説はこちら: Apache HTTPD: mod_allowfileowner https://fumiyas.github.io/apache/mod-allowfileowner.html 背景 ロリポップの共有 Web サービス下のサイト改ざん事件で、 攻撃手法の一つとして 「他ユーザー所有のファイルへのシンボリックリンクを自分のコンテンツディレクトリ下に作り、Apache HTTPD 経由でアクセスする」手順が利用されたらしい。 参考: http://blog.tokumaru.org/2013/09/symlink-attack.html 当社サービス「ロリポップ！レンタルサーバー」ユーザーサイトへの第三者による大規模攻撃について http://lolipop.jp/info/news/4149/#090
「マルウェア配布の手段として、サーバを改ざんする手口は非常に人気が高まっている」とセキュリティ企業のESETは指摘する。 悪質なApacheのモジュールをWebサーバに仕込み、Webサイトを閲覧したユーザーをマルウェア感染サイトに誘導する攻撃が続いているという。セキュリティ企業のESETは7月2日、これまでに4万を超すIPアドレスやドメインがこの攻撃に使われたと伝えた。 同社のブログによると、この攻撃には「Darkleech」という悪質なApacheモジュールの亜種が使われている。このモジュールを仕込まれたWebサーバでホスティングされているWebサイトをユーザーが閲覧すると、IFRAME経由で悪質なURLからのコンテンツが読み込まれる。 ESETの集計では、先週だけで少なくとも270のWebサイトがこの手口でユーザーを不正なサイトにリダイレクトしていたという。 リダイレクト先サイトには、
Apacheでreverse proxyするときに、バックエンドは同じなんだけど受けるパスに応じて別なタイムアウト値を設定しようとしてハマったのでそのメモです。 以下、Apache 2.2.22 でのお話です。2.4でどうなってるか、どなたかご存知でしたら教えてください＞＜ まず思いつくのはこんな設定だと思います。 ProxyTimeout 7 ProxyPass /3sec/ http://127.0.0.1:9999/ timeout=3 ProxyPass /5sec/ http://127.0.0.1:9999/ timeout=5バックエンド (127.0.0.1:9999) は、こんなのを動かしておけば十分です。 $ while true; do echo listen...; nc -l 9999; doneこれでクライアントでアクセスしてみると… $ time curl h
Apacheのサンプルログを生成し続けるスクリプトをRubyGemsに登録してみた こちらの記事で書いた、Apacheのログを生成し続けるスクリプトをRubyGemsに登録してみました。 なので、今後は gem install apache-loggen とインストールするだけで、 apache-loggen というコマンドが使えるようになります。使い方は今までと同じです。（以下のような感じです） apache-loggen [--rate=0] [--limit=0] [--rotate=0] [--progress] [--json] [outfile] --rate 毎秒何レコード生成するかの指定。0以下は制限無し。 --limit 最大何件出力するか。0以下は延々と出力し続ける。 --rotate ローテーションの間隔。単位は秒指定。0以下はローテーションしない。 --progre
はい、これは僕がいつも良く見るApacheとNginxの性能差に見えます。大体、ApacheはNginxの75%程度の性能に落ち着きます。数十バイトの静的コンテンツに対するリクエスト処理はNginxの得意分野だと思っていたので、大体こんなものです。 そこで、真面目にevent_mpmのチューニングを行ってみました。で、幾度となくベンチを試した結果導き出した、静的コンテンツに対する同時接続数100程度に対して最高のパフォーマンスを示すevent_mpmの設定は以下のようになりました。 [program lang=’apache’ escaped=’true’] StartServers 4 MinSpareThreads 4 MaxSpareThreads 4 ThreadsPerChild 2 MaxRequestWorkers 2 MaxConnectionsPerChild 0 [/p
mod_xsendfile for Apache2/Apache2.2 という Apache モジュールがありまして、これを使うとレスポンスヘッダに X-Sendfile: path/to/file と出力することで、Apache がレスポンスのボディをファイルの中身で差し替えてくれる。 Webアプリケーションで認証後、大きなファイルをダウンロードさせるような用途に便利。 このモジュールはその名の通り sendfile システムコールを(使えれば)使うので、アプリケーションが自前でファイルの中身を読んで送信するよりも速い(軽い)はず。http://www.linux.or.jp/JM/html/LDP_man-pages/man2/sendfile.2.html ってことでベンチマーク取ってみた。 1. 普通に静的ファイルを Apache が serve 2. mod_xsendfile
Overview mod_xsendfile is a small Apache2 module that processes X-SENDFILE headers registered by the original output handler. If it encounters the presence of such header it will discard all output and send the file specified by that header instead using Apache internals including all optimizations like caching-headers and sendfile or mmap if configured. It is useful for processing script-output o
米Googleは4月17日、自社が開発したWeb高速化のためのプロトコル「SPDY」のApache HTTP Server向けモジュール「mod_spdy」を公開した。Apache Web Server 2.2以上に対応する。 SPDYはGoogleが2009年11月に発表したプロトコルで、SSLを利用する。NPN（Next Protocol Negotiaion）、ヘッダー圧縮、ストリーム多重化、サーバープッシュなどを利用することで、ページのローディング時間を50％以上高速化できるという。 mod_spdyは2011年12月に初期ベータ版が公開されていた。同モジュールをインストールすれば、Apache HTTP ServerでSPDYを利用できるようになる。ただしSPDYの利用にはクライアント側でのサポートも必要で、対応Webブラウザとしては現在Google ChromeやFirefox
Apache Software Foundation（ASF）およびApache HTTP Server Projectは4月17日、オープンソースのWebサーバー最新版「Apache HTTP Server 2.4.2」を公開した。2.4系ブランチでは2回目の一般公開（GA）版となり、セキュリティ問題やバグの修正が主となるリリースとなる。 Apache HTTP Server 2.4.2は2月にリリースした2.4.1以来のGA版となる。LD_LIBRARY_PATH環境変数の処理にバグがあり、共有ライブラリの探索パスにカレントディレクトリが含まれてしまうという静寂性が修正されている。このため、既存のすべてのユーザーにアップデートを推奨している。 また、「mod_proxy」や「mod_sed」、「mod_ssl」、「mod_slotmem_shm」、「mod_filter」などのモジュー
この機能欲しかったんだよねー。 CustomLogで、pipeしてrotatelogsを使ってログ分割を行う場合、 CustomLog "|/path/to/rotatelogs /path/to/log/access_log.%Y%m%d%H 7200 540" ログファイルは、 $ ls -1 access_log.2012030116 access_log.2012030118 の様に最新のファイルが変更になります。tail -f で追いかけていた場合は、途中でファイルを手動で切り替えないとならないのでとても不便です。また、fluentdのtail pluginも利用できません。 Apache 2.4.1 のrotatelogsでは、最新のファイルに対してハードリンクを張る機能が追加されたので、とりあえず試してみました。 $ wget http://ftp.riken.jp/net/
slowloris対策として、Apacheの2.1.15から入ったモジュールにmod_reqtimeoutというのがあります。 RequestReadTimeout header=10 body=30 このように設定することで、headerの受信が10秒以内、bodyの受信が30秒以内に完了しない場合、「408」エラーとできます。簡単で便利そうですね 公式ドキュメント http://httpd.apache.org/docs/2.2/en/mod/mod_reqtimeout.html ただし、 Apacheをreverse proxyとして使用している場合はTimeoutにならず、リクエストの一部がproxy先に送られるという問題があるので注意が必要というか、はまったのでその話。 ちなみに、すでにBugzillaには上がっているけど、2.2系ではまだ対応完了してない https://is
このエントリではModSecurityをソースからビルドする方法を説明した後、hashdos専用のチューニングを施す流れを説明します。 はじめに既にModSecurityについては、CentOS+yumおよびUbuntu+apt-getにより導入する方法を説明しています。このエントリでは、ModSecurityをソースからビルドする方法を説明します。 ModSecurityのビルドは依存関係が複雑であり、バージョンによってビルド方法が変わるなど、面倒な面があります。このエントリでは、CentOSとUbuntuの場合について、実際的なビルド方法を説明します。 準備するもの ModSecurityは以下のプロダクトに依存しています(ModSecurity HandbookP27)。ビルドに先立って準備しておく必要があります。 Apache Portable Runtime(APR) APR-U
KLab Advent Calendar 2011 「DSAS for Social を支える技術」の10日目です。 昨日の記事 では並列数を設定する基本的な方法を紹介しました。 今日は実際に DSAS for Social で利用している設定方法を紹介します。 背景 実際の並列数の設定はマシンのCPUスペックやアプリの特性(レスポンスタイムの 何割をWebサーバーのCPUを使う処理が占めているか)に応じて設定するのですが、 DSAS for Social ではアプリの負荷に応じて柔軟にWebサーバーを 追加・削除するので、CPUスペックが一定ではありません。 具体的に言えば、 Core2 世代の4コアサーバーと、Core i7世代の4コア8スレッド サーバーが Web サーバーとして利用されています。 でも、Webサーバーごとに違う設定ファイルを用意したくはありません。 なんとかできない
KLab Advent Calendar 2011 「DSAS for Social を支える技術」の9日目です。 前回は php を動かしている Apache の手前にリバースプロキシを 置く必要性を解説しました。 今日は、 その前の php のプロセス数を絞る設定と合わせて、実際に Apache で 設定する方法を紹介します。 以降、 php を動かしている Apache の事をアプリサーバー、リバースプロキシ＋ 静的ファイル配信を行っている Apache の事をプロキシサーバーと呼びます。 基本設定 まずは基本的な設定のおさらいです。 アプリサーバー 並列数を絞るには MaxClients を設定します。アプリがどれくらいの時間を CPUの処理で使って、どのくらいの時間を外部リソース待ちに使っているかにも よりますが、だいたいCPU数の1.5倍〜2倍くらいが適当だと思います。 Hyp
Apache HTTP Server: mod_proxy reverse proxy exposure (CVE-2011-3368) From: Joe Orton <jorton () apache org> Date: Wed, 5 Oct 2011 14:58:02 +0000 -----BEGIN PGP SIGNED MESSAGE----- Hash: SHA1 Apache HTTP Server Security Advisory ==================================== Title: mod_proxy reverse proxy exposure CVE: CVE-2011-3368 Date: 20111005 Product: Apache HTTP Server Versions: httpd 1.3 all versions,
Apache HTTP Serverの開発チームは8月24日、同Webサーバーの脆弱性を突くDDoS攻撃ツール「Apache Killer」が出回っていると警告した。該当するApacheは1.3系および2系の全バージョン。パッチ発行までユーザーはおのおので対応を講じるよう呼びかけている。 Apache KillerはFull-disclosureというメーリングリストで先週公開された。問題となっているのは「Range header DoS」と呼ばれる脆弱性。リモートから多数のRange指定を含むリクエストを送ることで、ターゲットシステムのメモリとCPUを消費させるというもの。バージョン1.3系および2系のすべてがこの脆弱性を持つという。デフォルト設定ではこの攻撃に対し脆弱で、現在この脆弱性を修正するパッチやリリースはない。Apache Killerではこの脆弱性が悪用され、多数のリクエスト
mod_rpaf の RPAFproxy_ips に 192.0.2. とか書きたい 2011-08-04-1: [Apache] リバースプロキシ環境下で、リモートホストのIPアドレスを取得するために、 mod_rpaf を使っていますが、RPAFproxy_ips は 192.0.2.0 のように、IPアドレス を指定する必要があり、192.0.2. のようにはかけません。 つまり、RPAFproxy_ip に 192.0.2. のように指定したい話。 設定では無理そうなので、mod_rpaf-2.0.c を書き換えました。 --- mod_rpaf-2.0.c.orig 2008-01-01 12:05:40.000000000 +0900 +++ mod_rpaf-2.0.c 2011-08-04 12:02:13.000000000 +0900 @@ -139,7 +1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く