[B! 設定][apache] indicationのブックマーク

Apache HTTPD: `Options -FollowSymLinks` は不完全 - ダメ出し Blog

シンボリックリンク攻撃を防ぐための Apache HTTPD モジュールの解説はこちら: Apache HTTPD: mod_allowfileowner https://fumiyas.github.io/apache/mod-allowfileowner.html 背景ロリポップの共有 Web サービス下のサイト改ざん事件で、攻撃手法の一つとして「他ユーザー所有のファイルへのシンボリックリンクを自分のコンテンツディレクトリ下に作り、Apache HTTPD 経由でアクセスする」手順が利用されたらしい。参考: http://blog.tokumaru.org/2013/09/symlink-attack.html 当社サービス「ロリポップ！レンタルサーバー」ユーザーサイトへの第三者による大規模攻撃について http://lolipop.jp/info/news/4149/#090

indication 2013/09/03

友人向けに構築したサーバーはmpm-itkで、apache自体がユーザー権限で動くのでwebDAVもいけるから、変態仕様。ただ、apacheがrootで動く必要があるから一定の不安はある

リンク

ロリポップのサイト改ざん事件に学ぶシンボリックリンク攻撃の脅威と対策

既に報道されているように、ロリポップ！レンタルサーバーに対する改ざん攻撃により、被害を受けたユーザー数は8428件にのぼるということです。ここまで影響が大きくなった原因は、報道によると、(1)「WordPressのプラグインやテーマの脆弱性を利用」し、不正なファイルがアップロードされた、(2)パーミッション設定の不備を悪用されて被害が拡大した、ということのようです。 29日夜の時点では、攻撃者の改ざん手法について「WordPressのプラグインやテーマの脆弱性を利用」し、不正なファイルがアップロードされて「wp-config.phpの」の設定情報が抜き出されたと説明していたが、30日午後7時過ぎの説明で、この脆弱性が侵入経路となって同社のパーミッション設定の不備を悪用されたことが原因だったことを明らかにした。「ロリポップ」のWordPressサイト改ざん被害、原因はパーミッション設定不備

indication 2013/09/02

ifownermutchって基本だと思ってた

リンク

今こそ見直すApacheの設定 - blog.nomadscafe.jp

nginxやvarnishなどがアツいですが、Apacheもまだまだ実績や安定性から採用されていると思います。ここではデフォルトとは異なる値に変更するサーバ設定を中心に、パフォーマンス改善、安全性向上のためのApacheの設定を紹介します。 mpmの確認 > /path/to/bin/httpd -V Server version: Apache/2.2.19 (Unix) Server built: Jun 23 2011 17:13:13 Server's Module Magic Number: 20051115:28 Server loaded: APR 1.4.5, APR-Util 1.3.12 Compiled using: APR 1.4.5, APR-Util 1.3.12 Architecture: 64-bit Server MPM: Worker PreforkやW

indication 2011/07/07

リンク

httpd.confについて調べたのでまとめたよ - とある技術の備忘録

最近学科の友人3人とサーバ/セキュリティについての勉強会を週1で行っていて、毎回何か調べてくることになっており、今回は apache の設定について少し調べてきました。初心者がまとめたので間違っている部分があるかもしれませんが、勉強の役に立てて頂ければ幸いです。 httpd.confはどこにある？最小限のhttpd.conf 3つのセクションセクション1: GlobalEnvironment セクション2: MainServerConfiguration セクション3: VirtualHosts モジュールの追加外部設定ファイルの読込みサーバリソースの監視方法 httpd.confはどこにある？ OSによって異なりますが、以下の階層に置いてある可能性が高いです。 CentOS、FedoraなどRed Hat系 /etc/httpd/conf/ SUSE系、MacOSX /etc/a

indication 2011/02/23

参考にする

リンク

mod_fastcgi

http://www.fastcgi.com/mod_fastcgi/docs/mod_fastcgi.html http://www-306.ibm.com/software/webservers/httpservers/doc/v2047/manual/ibm/en_US/9acdfcgi.htm 日本語訳が某所にあったのをgoogle経由で見つけたのですが、どうも、非公開っぽいものだったらしく、現在は403になってしまったので、その元となった英語マニュアルにリンクし直しました。 fastcgi.comのものには、suexec関連の記述が抜けているので、こっちの方が良いかもしれません。「9acdfcgi」で検索すると、日本語訳も、アチコチで発見できる様子……。合法かどうかは知らないが。折角なので、今まで自分がmod_fastcgiを使ってきたノウハウ（という程のモノでもないが）を書