Apache HTTPD: `Options -FollowSymLinks` は不完全 - ダメ出し Blog
シンボリックリンク攻撃を防ぐための Apache HTTPD モジュールの解説はこちら: Apache HTTPD: mod_allowfileowner https://fumiyas.github.io/apache/mod-allowfileowner.html 背景 ロリポップの共有 Web サービス下のサイト改ざん事件で、 攻撃手法の一つとして 「他ユーザー所有のファイルへのシンボリックリンクを自分のコンテンツディレクトリ下に作り、Apache HTTPD 経由でアクセスする」手順が利用されたらしい。 参考: http://blog.tokumaru.org/2013/09/symlink-attack.html 当社サービス「ロリポップ！レンタルサーバー」ユーザーサイトへの第三者による大規模攻撃について http://lolipop.jp/info/news/4149/#090
ロリポップのサイト改ざん事件に学ぶシンボリックリンク攻撃の脅威と対策
既に報道されているように、ロリポップ！レンタルサーバーに対する改ざん攻撃により、被害を受けたユーザー数は8428件にのぼるということです。ここまで影響が大きくなった原因は、報道によると、(1)「WordPressのプラグインやテーマの脆弱性を利用」し、不正なファイルがアップロードされた、(2)パーミッション設定の不備を悪用されて被害が拡大した、ということのようです。 29日夜の時点では、攻撃者の改ざん手法について「WordPressのプラグインやテーマの脆弱性を利用」し、不正なファイルがアップロードされて「wp-config.phpの」の設定情報が抜き出されたと説明していたが、30日午後7時過ぎの説明で、この脆弱性が侵入経路となって同社のパーミッション設定の不備を悪用されたことが原因だったことを明らかにした。 「ロリポップ」のWordPressサイト改ざん被害、原因はパーミッション設定不備
mod_spdyから学ぶSPDYとストリーム並列処理の実装
人間とウェブの未来（旧） 「ウェブの歴史は人類の歴史の繰り返し」という観点から色々勉強しています。2014年までの人間とウェブの未来の旧ブログです。 HTTP関連の研究をしているので、そろそろ古い技術を詰めるばかりではなく（これはこれでとても大事な事なのですが）、新しい技術についても調べておきたいところです。 ということで、僕のSPDYに関する現状の理解を、mod_spdyに関する情報を元にまとめておきたいと思います。 SPDY概要 SPDYの概要を表す図としては、下記が良く用いられます。 TLS上にのせたSPDYストリーム上でHTTPやWebSocketを扱うプロトコルで、特徴としては、以下の4つがあげられます。 ストリームの並列化 フレームレイヤーやヘッダーの圧縮 リクエストの優先処理 サーバからのリソースプッシュ HTTP/2.0についても、SPDYを元に仕様が検討されています。では
LTSVフォーマットなログを fluentd + GrowthForecast で料理 - naoyaのはてなダイアリー
ここ数年のデータ解析の重要性の高まりから、ログに関するソリューションが方々で活発に探求されている昨今でございます。ウェブサーバーの単純なアクセスログをそのまま保存するではなく追加情報を添加してみたり、あるいはアプリケーションから直接ログを吐いてそれらをデータウェアに投げ込んで･･･というのも当然のように行うようになりましたね。 しかしあまり自由度のない access_log の combined フォーマット。さてどうしたもんか･･･ ここで id:stanaka の登場です。 Labeled Tab Separated Valueというのは、はてなで使っているログフォーマットのことで、広く使われているTSV(Tab Separated Value)フォーマットにラベルを付けて扱い易くしたものです。はてなでは、もう3年以上、このフォーマットでログを残していて、one-linerからflue
modpagespeed - Project Hosting on Google Code
mod_pagespeed is an open-source Apache module created by Google to help Make the Web Faster by rewriting web pages to reduce latency and bandwidth. mod_pagespeed releases are available as precompiled linux packages or as source. (See Release Notes for information about bugs fixed) mod_pagespeed is an open-source Apache module which automatically applies web performance best practices to pages, and
TechCrunch | Startup and Technology News
Parallel Domain is putting the ability to generate synthetic datasets into the hands of its customers. The San Francisco-based startup has launched a new API called Data Lab that stands on the shoulde Multiple subreddits are adopting alternative methods of protesting like publishing only one kind of post, changing the topic in focus, and days when the community turns private. A lot of these commun
うまでしか Blog: Mountain LionにおけるWeb共有の消滅と403 Forbiddenの解決策
2012年7月27日金曜日 Mountain LionにおけるWeb共有の消滅と403 Forbiddenの解決策 Mountain Lionがとても良いです。 しかし、Web共有がシステム環境設定の共有より消えました。 何もしなくても、Web系の開発が楽なのがMacの良い所でもあったのに、これだと困る。 しかし、Apacheは標準で搭載されているようで、 sudo apachectl stop でWeb共有の停止(Apache停止) sudo apachectl restart でApache 再起動 sudo apachectl start でWeb共有の開始(Apache起動) ができます。 ワ─イ♪└┤＊´∀｀＊├┘ワ─イ♪と思ったのもつかの間、 Lionまでは、Web共有のスイッチを入に変え、 http://localhost/~USERNAME/ にアクセ
Apache 2.4.1のmod_luaでApacheに介入する（mod_rewriteの終焉？）
人間とウェブの未来（旧） 「ウェブの歴史は人類の歴史の繰り返し」という観点から色々勉強しています。2014年までの人間とウェブの未来の旧ブログです。 といいつつも、そこまで大したことはしていない。 luaという高速に動作する組み込み系のスクリプト言語で遊んでみたかったのと、それだったmod_luaで遊んでみればいいなと思っただけである。で、実際にmod_luaをコンパイルして遊んでみた。コンパイルオプションは以下。 ./configure --prefix=/usr/local/apache2.4 --with-apr=/usr/local/apr --with-apr-util=/usr/local/apr --enable-modules=all --enable-mods-shared=all --enable-mpms-shared='prefork worker event' -
LionでApache＋PHP＋MySQLを動かしましょう、そうしましょう | gaspanik weblog
WordCamp Tokyoも無事に終わり、そろそろWordPressを試してみたくなった人に向けて…、というわけではないのですが、Mac OS X Lionの環境で比較的簡単に自由度の高いある意味LAMP環境（Lion + Apache + MySQL + PHP）を作るまでを備忘録がてら、初心者の方でもできるように解説してみようかな、と。 OS XでWebサイトのテスト環境を作る方法はいくつかあります。お手軽なのはシステム環境設定から「パーソナルファイル共有」を有効にする方法ですが、これだとHTTPサーバである「Apache」が有効になるだけ。 じゃあということで、「MAMP」とかを使うと簡単に「Apache＋PHP＋MySQL」な環境は用意できるものの、あらかじめパッケージングされた内容になってしまう。環境をゼロから作ることを考えたら圧倒的に簡単ですが、サイト開発とか実行環境に必要な
Flaskをapache+mod_wsgiで動かす - Keep on moving
Ubuntu Linux 10.10出ましたね！ 丁度Flask使っててデプロイの練習をしてみたかったので、環境を作ってみました。 参考 Ubuntu/apache2 - TOBY SOFT wiki mod_wsgi (Apache) — Flask 0.9dev documentation 文系にも出来るDjango(mod_wsgi)@ubuntu8.10のデプロイ方法 - When it’s ready. (a2c.get.diary) →Apache2+mod_wsgi環境作成の参考にさせていただきました Google App Engine 一人勉強会 第一回 とりあえず動かしてみる - Twisted Mind →動作テストアプリの参考にさせていただきました。 環境 VirtualBox 3.2.8 ubuntu10.10 64bit python2.6.6(標準） aptで導
TwitterやFacebookで使われている「Apache Hadoop」のメリットや歴史を作者自らが語る
大規模データの分散処理を支えるJavaソフトウェアフレームワークであり、フリーソフトウェアとして配布されている「Apache Hadoop」。その作者ダグ・カティング（Doug Cutting）さんが「Cloud Computing World Tokyo 2011」＆「Next Generation Data Center 2011」において「Apache Hadoop: A New Paradigm for Data Processing」という講演をしていたので聞きに行ってきました。 満員の客席。 皆様を前にして講演できることを大変光栄に思っております。「Apache Hadoop」について皆様に伝えていきますが、これはまさにデータ処理の新たなるパラダイムを提供するものではないかと私は思っております。 まずは簡単に自己紹介をさせていただきましょう。私は25年に渡ってシリコンバレーで仕
Apache Solr を利用した検索パッケージ Anuenue - mixi engineer blog
研究開発グループの takahi-i です。 先日名前だけご紹介したAnuenue というツールをご紹介させていただきます。Anuenue は Apache Solr のラッパーであり、検索クラスタの構築と運用を容易にする目的で制作されました。 本稿では始めに Apache Solr を選択した理由について述べ、その後、このツールを開発した背景とその目的をご紹介させていただきます。後半では実際に Anuenue を用いて検索クラスタを立ち上げます。 なぜ Apache Solr を採用したのか 昨年の秋、弊社の検索エンジンを置き換えるという計画が社内で策定され、ベースとなる検索エンジンの選定のために多くの OSS 検索エンジンを比較検討しました。このとき重視したのは一台の検索パフォーマンスと同時に、保守の容易さと、開発コミュニティの規模です。 検索エンジンの保守性に関して特に重要と考えたの
JavaScript is not available.
Something went wrong, but don’t fret — let’s give it another shot.
10 Tips to Secure Your Apache Web Server on UNIX / Linux
If you are a sysadmin, you should secure your Apache web server by following the 10 tips mentioned in this article. 1. Disable unnecessary modules If you are planning to install apache from source, you should disable the following modules. If you do ./configure –help, you’ll see all available modules that you can disable/enable. userdir – Mapping of requests to user-specific directories. i.e ~user
httpd.confについて調べたのでまとめたよ - とある技術の備忘録
最近学科の友人3人とサーバ/セキュリティについての勉強会を週1で行っていて、毎回何か調べてくることになっており、今回は apache の設定について少し調べてきました。初心者がまとめたので間違っている部分があるかもしれませんが、勉強の役に立てて頂ければ幸いです。 httpd.confはどこにある？ 最小限のhttpd.conf 3つのセクション セクション1: GlobalEnvironment セクション2: MainServerConfiguration セクション3: VirtualHosts モジュールの追加 外部設定ファイルの読込み サーバリソースの監視方法 httpd.confはどこにある？ OSによって異なりますが、以下の階層に置いてある可能性が高いです。 CentOS、FedoraなどRed Hat系 /etc/httpd/conf/ SUSE系、MacOSX /etc/a
Google、Apache モジュール「mod_pagespeed」をリリース | スラド IT
Google が「mod_pagespeed」なる Apache モジュールを公開している。このモジュールを導入すると Apache で「15 以上のスピード最適化」が自動的に行われるようになり、Web ページのパフォーマンスが向上するとのこと (Google Webmaster Central Blog の記事より) 。 Google は mod_pagespeed の導入によりページのロードタイムを 50 % にまで削減できると述べており、実際のデモ動画も公開されている。Apache モジュールなので、既存の CMS や Web サイトに変更を加えずに利用できるのもメリットだそうだ。 mod_pagespeed が行ってくれる作業については mod_pagespeed filters で説明されているが、下記のような作業を自動で行ってくれるとのこと。 Web ページのキャッシュ保持時間
mod_pagespeed Overview
Learn more Overview Page Speed extension mod_pagespeed for Apache 2 Get Started Page Speed extension mod_pagespeed for Apache 2 Security Considerations Documentation Performance Best Practices Optimize caching Minimize round trip times Minimize request overhead Minimize payload size Optimize browser rendering Page Speed rules (alphabetical) Avoid bad requests Avoid CSS expressions Combine external
Apache で DoS 攻撃を防ぐ - mod_dosdetector - | バシャログ。
こんにちは nakamura です。ワールドカップ見過ぎで仕事中もブブゼラの音が聞こえてきます。ワールドカップが終わっても聞こえるようなら病院行こうと思います。 さてさて今も昔も、定番のサーバ攻撃方法 DoS アタック。うちが作っているサイトにもちょくちょくそれらしいアクセスが来ているようです。 DoS 攻撃って？ Denial of Service attack の略です。以下は Wikipedia より。 イメージとしては、ターゲットの持つ電話機に無言電話やいたずら電話を大量に発信して、ターゲットが正常に電話機を使用（受発信）できないような状態を考えると理解しやすい。DoSはネット上のトラフィックを増大させ、通信を処理している回線やサーバの機能（リソース）を占有することで、他の利用者の利便性を妨害したり、その過負荷によってサーバそのものの異常動作を誘発させる。 DoS攻撃 - Wiki
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
GNU awk (gawk) を用いた Apache ログ解析方法
Mod lua
