The Exploit Database is maintained by OffSec, an information security training company that provides various Information Security Certifications as well as high end penetration testing services. The Exploit Database is a non-profit project that is provided as a public service by OffSec. The Exploit Database is a CVE compliant archive of public exploits and corresponding vulnerable software, develo
シンボリックリンク攻撃を防ぐための Apache HTTPD モジュールの解説はこちら: Apache HTTPD: mod_allowfileowner https://fumiyas.github.io/apache/mod-allowfileowner.html 背景 ロリポップの共有 Web サービス下のサイト改ざん事件で、 攻撃手法の一つとして 「他ユーザー所有のファイルへのシンボリックリンクを自分のコンテンツディレクトリ下に作り、Apache HTTPD 経由でアクセスする」手順が利用されたらしい。 参考: http://blog.tokumaru.org/2013/09/symlink-attack.html 当社サービス「ロリポップ！レンタルサーバー」ユーザーサイトへの第三者による大規模攻撃について http://lolipop.jp/info/news/4149/#090
はい、これは僕がいつも良く見るApacheとNginxの性能差に見えます。大体、ApacheはNginxの75%程度の性能に落ち着きます。数十バイトの静的コンテンツに対するリクエスト処理はNginxの得意分野だと思っていたので、大体こんなものです。 そこで、真面目にevent_mpmのチューニングを行ってみました。で、幾度となくベンチを試した結果導き出した、静的コンテンツに対する同時接続数100程度に対して最高のパフォーマンスを示すevent_mpmの設定は以下のようになりました。 [program lang=’apache’ escaped=’true’] StartServers 4 MinSpareThreads 4 MaxSpareThreads 4 ThreadsPerChild 2 MaxRequestWorkers 2 MaxConnectionsPerChild 0 [/p
人間とウェブの未来（旧） 「ウェブの歴史は人類の歴史の繰り返し」という観点から色々勉強しています。2014年までの人間とウェブの未来の旧ブログです。 これまでの記事を振り返って、まとめの意味でも、現状僕が考えうる最強の高集積型Webホスティングシステムの設計を忘れないうちに書いておこうと思います。これらは夢のような話ではなく、現実的にAmazonEC2上にプロトタイプとして作ってもいいなぁ、と思っていたりします。 最強の超高集積型Webホスティングシステム！とは ホスティングシステムということで、ホストをかりる側がどういうコンテンツを使うのか分からないので、できるだけ自由度の高いシステムを考えた時は、やはりベースソフトウェアはApacheが良いのではと思います。また、超高集積にする事でハードウェアのコストを下げ、超低価格を実現し、かつ、セキュアで運用性が高く高機能なシステムを目指します。
SSL with Virtual Hosts Using SNI Summary Using name-based virtual hosts with SSL adds another layer of complication. Without the SNI extension, it's not generally possible (though a subset of virtual host might work). With SNI, it's necessary to consider the configuration carefully to ensure security is maintained. (Note: this page is just about support that comes with the Apache web server. Alter
Apache HTTP Serverの開発者であるRoy T. Fielding氏が、「Internet Explorer 10（IE 10）」でデフォルトでオンになったDo Not Track設定を無視するパッチを公開した。米Microsoftの実装について、「オープンな標準の濫用」と批判している。 DNTはユーザーが訪問するWebサイトに対し行動追跡を拒否する意思を示すヘッダで、The World Wide Web Consortium（W3C）のTracking Protection作業グループで標準化が進んでいる（現在ドラフト段階）。Fielding氏はドラフト作成に携わっており、Mircrosoftも他のブラウザベンダーらと共に同作業グループに参加している。 WebブラウザではMozillaなどがすでにDNT対応しているが、ユーザーはマニュアルでDNTをオンにする必要がある。Mi
米Googleは4月17日、自社が開発したWeb高速化のためのプロトコル「SPDY」のApache HTTP Server向けモジュール「mod_spdy」を公開した。Apache Web Server 2.2以上に対応する。 SPDYはGoogleが2009年11月に発表したプロトコルで、SSLを利用する。NPN（Next Protocol Negotiaion）、ヘッダー圧縮、ストリーム多重化、サーバープッシュなどを利用することで、ページのローディング時間を50％以上高速化できるという。 mod_spdyは2011年12月に初期ベータ版が公開されていた。同モジュールをインストールすれば、Apache HTTP ServerでSPDYを利用できるようになる。ただしSPDYの利用にはクライアント側でのサポートも必要で、対応Webブラウザとしては現在Google ChromeやFirefox
Overview of new features in Apache HTTP Server 2.4 - Apache HTTP Server Expressions http://httpd.apache.org/docs/2.4/en/expr.html やSetEnvIfExpr, RewriteCond, Headerで使える評価式 の追加 http://httpd.apache.org/docs/2.4/en/mod/core.html#if ヘッダや環境変数を参照して細かい制御ができるようになったことに加え、else的なブロックを書くのに苦労したことがあるんで朗報です ErrorLogFormat http://httpd.apache.org/docs/2.4/en/mod/core.html#errorlogformat ErrorLogも書式設定できるように。 %L (L
数日前からFull Disclosureで騒がれてたけどやっとCVE採番されたので。 以前のISC BINDの脆弱性(CVE-2011-1910)とかに比べるとzero-day状態に なったにも関わらずApache側の動きが遅い気もします。(表に見えてなかっただけ？) アドバイザリは以下 CVE-2011-3192 Range header DoS vulnerability Apache HTTPD 1.3/2.x http://mail-archives.apache.org/mod_mbox/httpd-announce/201108.mbox/raw/%[email protected]%3E/ DoSだけといってしまえばそれまでですが、Apache HTTPDでは久しぶりに 現時点で出ている全バージョンが対象 (2011/
Apache HTTP Serverの開発チームは8月24日、同Webサーバーの脆弱性を突くDDoS攻撃ツール「Apache Killer」が出回っていると警告した。該当するApacheは1.3系および2系の全バージョン。パッチ発行までユーザーはおのおので対応を講じるよう呼びかけている。 Apache KillerはFull-disclosureというメーリングリストで先週公開された。問題となっているのは「Range header DoS」と呼ばれる脆弱性。リモートから多数のRange指定を含むリクエストを送ることで、ターゲットシステムのメモリとCPUを消費させるというもの。バージョン1.3系および2系のすべてがこの脆弱性を持つという。デフォルト設定ではこの攻撃に対し脆弱で、現在この脆弱性を修正するパッチやリリースはない。Apache Killerではこの脆弱性が悪用され、多数のリクエスト
The Apache Software Foundation（ASF）は5月25日（米国時間）、さまざまなクラウドサービスに対応するクライアントライブラリインターフェイス「Apache Libcloud」をTop Level Project（TLP）にしたことを発表した。 Libcloudはさまざまなクラウドプロバイダとのインターフェイスを提供する標準クライアントライブラリ。Pythonライブラリとして実装されており、各クラウドプロバイダAPIとのインターフェイスを提供する。これを用いることでAmazon EC2、Eucalyptus、OpenStack、IBM Cloud、RackSpace Cloud、GoGrid、vCloudなどを統一的な方法で操作できる。 元々はクラウドサーバー管理技術を持つCloudkickが開発したもので、2009年11月にASFのIncubator Proj
Oracleが、ASFのJCPメンバー辞任に対し「立場を再考してJava推進プロセスに参加し続けることを勧める」と呼び掛けたが、ASFのプレジデントは「理由を示せ」と応酬した。 「Apache Software Foundation（ASF）にJCP脱退を再考するよう勧める」――。米Oracleの開発担当副社長、アダム・メッシンガー氏が12月9日（現地時間）、ASFが同日JCPの執行委員会（EC）の委員を辞任すると発表したことを受け、公式ブログでそう語った。 ASFは11月、OracleがApache Harmonyにテストキットライセンス（TCK）を提供しないのはJCPの規則に反しており、権利が認められないのであればJCPを脱退すると警告。ほかのJCPメンバーにもJava SE 7仕様に反対票を入れることでOracleに抗議するよう呼び掛けていた。だが、投票の結果12対3の圧倒的多数で仕
gandalf Developer Posts: 22383 Joined: Thu Dec 02, 2004 2:46 am Location: Muenster, Germany Contact: Script was updated due to initialization errors. Please replace old one Templates have been updated due to errors with newer cacti versions This post is based on http://forums.cacti.net/viewtopic.php?t=4028 which contains the well know apachestats XML of Rolf Poser. Due to several questions arising
ApacheでX-Sendfileが利用できるmod_xsendfileをPHPと連携して使ってみました。 PHPで認証してから、許可したユーザのみにファイルを出力する、という処理を実装する場合、ファイルはdocument_root外に配置しておいて、readfile()やfpassthru()でファイルを出力するという手法を良く使います。 この方法でも問題無い場合が多いのですが、容量の大きいファイルを出力する際は思ったようなスピードが出ない時があります。 そのような時はmod_xsendfileを使って、ファイル出力の部分をApacheに任せてしまう方法が有効です。 ここでは2010/11/12時点の最新版であるmod_xsendfile 0.12を対象としています。またインストール環境はRHEL、CentOSを想定しています。 mod_xsendfileのインストール mod_xsen
ASFは脱退をちらつかせるだけでなく、「Java SE 7」仕様に反対票を投じる方針も明らかにしており、ほかのメンバーにも同調するよう呼び掛けている。 米Apache Software Foundation（ASF）は、米Oracleが「Harmony」プロジェクトに対してテストキットのライセンスを拒み続けるのであれば、Java管理団体から完全に脱退すると脅しをかけている。 ASFは11月9日（現地時間）、同団体のブログに掲載した発表文で「Java仕様のインプリメンターとしてのASFの権利が認められない」のであれば、Java Community Process（JCP）から脱退すると述べている。 ASFが指摘した問題とは、Java SEのテストキットライセンス（TKL）をApache Harmonyプロジェクトに提供するかどうかをめぐるOracleとの論争のことだ。HarmonyはJava
mod_pagespeedがサーバーから出力されるファイルを最適化する apacheモジュールのmod_pagespeedは、Page Speedアドオンで、検査しているような項目について、HTML・CSS・JSなどを最適化してくれます。例えば、冗長なインラインのCSSを外部ファイルにしたり、逆に短く小さいサイズの外部CSSをインラインにしてリクエストを節約したり、JavaScriptのminify処理をしたりします。 基本的には、クライアントサイドの体感速度と、転送量の抑制につながる、フロントエンドに関連する最適化です。フロントの実装コストを、ある程度サーバーが吸収してくれます。 CentOSへのインストールについては、関連記事の「さくらのVPSにGoogleのmod_pagespeed入れてみた」も併せてご覧ください。 実際に、どんな感じになるのかをソースコードで見るなら、「mod_p
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
慎重に扱うべきコンテンツに関する警告
