Apache関連 Part5

**攻撃ヘリAPACHE** · NG

HTTP ServerのApacheに関する話題を扱うスレッドです。

前スレ Apache関連 Part4
http://pc.2ch.net/test/read.cgi/unix/1040312647/

Apache関連サイトへのリンクは >>2-5 あたり

**162** · NG

って、よく見てみたら、adnsresfilter の出力けっこういいかげんだな。
名前に変換されてない行がわんさか。タイムアウトが異様に短いのか？

**名無しさん＠お腹いっぱい。** · NG

>>168
ほぉ。
adns を使う ModLogAn なんてのを見つけた。
http://jan.kneschke.de/projects/modlogan/

**名無しさん＠お腹いっぱい。** · NG

perl -pe 's|(^\d+.\d+.\d+.\d+)|gethostbyaddr(pack("C4", split(/\./, $1)), 2)|e;' access_log
じゃだめ？

**名無しさん＠お腹いっぱい。** · NG

だめ。gethostbyaddr()になんにも入ってなかったらどうすんの？

**162** · NG

>って、よく見てみたら、adnsresfilter の出力けっこういいかげんだな。
>名前に変換されてない行がわんさか。タイムアウトが異様に短いのか？

options: -t<milliseconds>|--timeout <milliseconds>
-w|--wait (always wait for queries to time out or fail)
このあたりの引数を指定したらまともになった。
若干遅くなったけど、それでも十分高速。
逆引きの正引きが一致するかどうかもチェックしてる模様。
logresolve は逆引きしかしないので、こっちの方が精度が高いかも。

っていうか、>>168で実行した logresolve がまだ終わんないんですけど。

**名無しさん＠お腹いっぱい。** · NG

ぐぐったら、 AWStats の logresolvemerge なんてのがあるみたい。どうなんだろ？

**名無しさん＠お腹いっぱい。** · NG

>>167
> dnsname - does a reverse lookup for the IP address
> ですがなにか？

知ったかの人ですか？

**名無しさん＠お腹いっぱい。** · NG

>>175
有意義なことは何も書かないで、荒らすだけだけのdjb厨は
publicfile使っててください。

**名無しさん＠お腹いっぱい。** · NG

こんなところでも F は暴れてるのかよ

**名無しさん＠お腹いっぱい。** · NG

>>176
>>166

**名無しさん＠お腹いっぱい。** · NG

(つд`)ﾓｳﾔﾒﾃﾖ､､､

**名無しさん＠お腹いっぱい。** · NG

アパッチのエロい人のウラ話だけど、もう読んだ？
http://www.kyoto-u.com/lounge/pc/html/200310/03100002.html

**名無しさん＠お腹いっぱい。** · NG

＞板のレベルが落ちたとしても人としての価値までは落したくないものだw
人としての価値も地に落ちたようだな。

**名無しさん＠お腹いっぱい。** · NG

>>180
ミラー
http://fuba.s7.xrea.com/mirror/1065626317_0.html

**名無しさん＠お腹いっぱい。** · NG

>>182
グッジョブ(￣ー￣)

**名無しさん＠お腹いっぱい。** · NG

Mac板のスレもミラーきぼんぬ。

**名無しさん＠お腹いっぱい。** · NG

よそでやれ。

**名無しさん＠お腹いっぱい。** · NG

なんか誤解があるなあ。まあいいんだけど、ここでやる咄じゃないやね。

**名無しさん＠お腹いっぱい。** · NG

>>180,182 見えないんですけど、、

**名無しさん＠お腹いっぱい。** · NG

>>182
でぃもーるとぐらっつぇ

**名無しさん＠お腹いっぱい。** · NG

apache2.0.47ですが、KeepAliveを細かく制御したいと考えております。
下記の様なことは可能でしょうか？

・ある特定のcgi(perl)だけKeepAliveする。
・ある特定のIPアドレスから繋ぎに来たときだけKeepAliveする。
・VirtualHostによってKeepAliveTimeoutを別々に設定する。

このようなことはできるのでしょうか？なにかmodがあるのでしょうか。
色々検索してみたのですが分かりませんでした。m(__)m

**名無しさん＠お腹いっぱい。** · NG

>>189
まぬあるを見ると、
KeepAlive
Context: server config,virtual host
Module: core

CGIは(細工無しには)論外。IP別は無理。VirtualhostはOK。ってとこじゃないかな。

**名無しさん＠お腹いっぱい。** · NG

換気用変数nokeepaliveつかって
SetEnvIfNoCase Remote_Addr "\.cgi$" nokeepalive
SetEnvIfNoCase Request_URI "\.cgi$" nokeepalive
なんてすることはできる。
ので、正規表現いじくって特定のだけ許可にできるんでない？

**名無しさん＠お腹いっぱい。** · NG

>>191
それ、検証する方法ってある？
特定のconnection がkeepaliveされてるかどうかを調べる方法。

**名無しさん＠お腹いっぱい。** · NG

http://www.example.com/server-status/

**189** · NG

>>190-191
ありがとうございます。なんとかできそうですね。
助かりました。試してみます。(__)

>>192-193
serverstatusは便利ですよね。
mrtgでグラフにして日夜チューニングに励んでいます。

**名無しさん＠お腹いっぱい。** · NG

apache2で転送量を制限するモジュールってないんですかねぇ。

**名無しさん＠お腹いっぱい。** · NG

耐障害性をあげるため、webサーバを完全２重化したいのです。
アクセス分散はラウンドロビンを使えばいいと思うのですが、
２重化するにはどんな手を使ったら良いか、ご存じの方いますか？
できればその状態でphpセッションとかも使えるのがベストなんですが。。。

**名無しさん＠お腹いっぱい。** · NG

>>196
共有DISKがあればいいね。

**名無しさん＠お腹いっぱい。** · NG

それだと耐障害性が上がんないね。
セッションもっていうことならF5のBIG-IPは？

**名無しさん＠お腹いっぱい。** · NG

もちろん、共有DISKはDisk-Arryで。

**名無しさん＠お腹いっぱい。** · NG

ついに『モー○ング娘。』のトイレ盗撮ビデオ見つけた♪
ＴＶ収録時と全く同じ衣装！ここでサンプル動画も見れたよ♪
http://www.nukix.net/index2.html

**名無しさん＠お腹いっぱい。** · NG

>>196
F5のとかが使えるなら、それに越したことはないと思うけど、
http://shibuya.pm.org/blosxom/techtalks/techtalks_200310_slides_and_reviews.html
の「mod_perl における C10K problem」で紹介されてる Pound ってのはどうか。
Pound http://www.apsis.ch/pound/index.html

**名無しさん＠お腹いっぱい。** · NG

セッションレベルで耐障害性が必要なのって例えばどのような用途？

**名無しさん＠お腹いっぱい。** · NG

E-ｺﾏ鯖。B2Bｻﾊﾞ。SSLなんか噛んでるとSSLハードウエアアクセラレーション
ついてるのが欲しくなる。

それにしてもF5ボリすぎ。アメーリカから直接買うと半額以下。
死ねって感じ。

**名無しさん＠お腹いっぱい。** · NG

>>197-203
レスありがとうございます。
参考にします。

>>202
よく考えたら、さすがに正サーバが落ちたときに、副がセッション情報を引き継ぐところまでの
耐障害性は必要ありませんね。
正がぶちんと落ちても、自動で副が変わりを果たすというシステムを作りたいのです。

さすがにF5とかは買えません。
マシンは複数台増やすことができますので、オープンソース系ソフトを使って
なんとかやりくりしたいのですが。。。

201の他に良いアイディアをご存じの方がいましたら教えてください。

**名無しさん＠お腹いっぱい。** · NG

>>204
> 他に良いアイディアをご存じの方がいましたら教えてください。

Apache スレはあなたのサポートセンターではありません
コンサルタントでも雇って氏ね

**名無しさん＠お腹いっぱい。** · NG

>>204
フリーのロードバランサ使うといいYO!

**名無しさん＠お腹いっぱい。** · NG

2.0.48
1.3.29
ｷﾀ━(ﾟ∀ﾟ)━( ﾟ∀)━( 　ﾟ)━(　　)━(ﾟ　)━(∀ﾟ )━(ﾟ∀ﾟ)━!!!!

１１ · NG

可愛くてエッチな美少女アイドルたちがいっぱい♪
画面の向こう側でアナタとの出会いをドキドキしながら待っています！
http://www.bigchat.tv

NG

バイナリ待ち
まだでねーよ

**名無しさん＠お腹いっぱい。** · NG

http://www.apache.org/dist/httpd/Announcement.html

1.3.29
リリースしたみたいよ

**名無しさん＠お腹いっぱい。** · NG

basic認証を掛けているディレクトリに、ある特定のUserAgentがアクセスして
来た時は認証を無しにする、と言う設定は可能ですか？

SetEnvIfやRewiteRuleで、RemoteUserを設定すれば良いのかと思いましたが
出来ませんでした。

六 · NG

mod_ssl 待ち・・・歯がゆい

**名無しさん＠お腹いっぱい。** · NG

UAはクライアント側で改竄できるのでBasic認証の意味無いがな。
でもやりたいんでつか？

**名無しさん＠お腹いっぱい。** · NG

>>211 UserAgent は詐称できますけど？

**名無しさん＠お腹いっぱい。** · NG

携帯専用コンテンツとかで専用のgatewayを介しているときのみ
アクセスを許すという設定が別にしてあったときには
User-Agent: による区別は多少は意味はあると思うが。

**211** · NG

UAが詐称出来ても、やりたいんです。
詐称できると言っても、特殊な文字列にしてしまえば basic認証と変わりませんし、
応用すれば、認証が必要なページをgoogleで検索させると言うことも出来ます（キャッ
シュには画像が出ないので、画像が重要な場合に使えます）。

mod_rewriteで、色々試してみたのですが、私の想像力では、やはり無理でした。

**名無しさん＠お腹いっぱい。** · NG

詐称できても、なんて詐称すれば良いかが秘密ならいいよな。
それほど重要なデータを置くのでなければ十分だろう。

**名無しさん＠お腹いっぱい。** · NG

>>216
googleのイメージ検索に出ないようにね。

**名無しさん＠お腹いっぱい。** · NG

>>216
こんな感じでどうだろう？

BrowserMatch "Secret" AUTH_OK

Order deny,allow
Deny from all
Allow from env=AUTH_OK

AuthType Basic
AuthName Auth
AuthUserFile /foo/bar/.htpasswd
<Limit GET POST>
Require valid-user
Satisfy any
</Limit>

**名無しさん＠お腹いっぱい。** · NG

そもそも basic 認証の「認証」なんて名前ばかりのもんなんだが

**名無しさん＠お腹いっぱい。** · NG

ネットワークごしに盗聴されると困るようなコンテンツは
ssl使うだろうから、basic認証でもだいジョブだーよ。

**名無しさん＠お腹いっぱい。** · NG

>>220
なんでよ？

**名無しさん＠お腹いっぱい。** · NG

base64符号化だからじゃない？digest使えばいいんだけど
古いブラウザのこと考えると使えんよな。
SSL でbasic認証ならパスワードもSSL経由で流れるから
盗聴されても安心だけど。

**名無しさん＠お腹いっぱい。** · NG

『経路の盗聴に対して脆弱』なのと『「認証」なんて名前ばかり』なのとは
まったく次元の違う話だと思うが？
>>220 は前者のような状況を『「認証」なんて名前ばかり』と言っとるの？

**名無しさん＠お腹いっぱい。** · NG

>>220
そんなこといったらPOP,FTP等大部分が認証とはいえなく
なるわけで。

**名無しさん＠お腹いっぱい。** · NG

実際に認証といえないから public key や one time password などがあるわけで

**名無しさん＠お腹いっぱい。** · NG

「認証」を正しく理解してない人が多いようですが、
それはそれとしてスレ違いなのでよそ行ってください。

**211** · NG

>>219
ありがとうございます。完璧に出来ました。
Satisfyってこういう風に使うんですね。勉強になりました。

**名無しさん＠お腹いっぱい。** · NG

認証であることと、それが secure であることは別の事柄です。

**名無しさん＠お腹いっぱい。** · NG

「認証」を正しく理解してる人もいるようですが、
それはそれとしてスレ違いなのでよそ行ってください。

**名無しさん＠お腹いっぱい。** · NG

ちゃんと誘導しろな
「よそ」とかいってる香具師は
多分知らない

**名無しさん＠お腹いっぱい。** · NG

modsslｷﾀ━━━(ﾟ∀ﾟ)━━━!!!!!age

**名無しさん＠お腹いっぱい。** · NG

>>212
> mod_ssl 待ち・・・歯がゆい

どういうこと?

**名無しさん＠お腹いっぱい。** · NG

>233
212じゃないけど、1.3.29用のmod_sslがなかなか出なかったのです。
SSLで構築している人には必須。

**名無しさん＠お腹いっぱい。** · NG

>>234
> 212じゃないけど、1.3.29用のmod_sslがなかなか出なかったのです。
> SSLで構築している人には必須。

mod_ssl-2.8.15-1.3.28 って 1.3.29 でも普通に使えてるけど……。

**名無しさん＠お腹いっぱい。** · NG

>>235

(((( ；ﾟДﾟ)))ｶﾞｸｶﾞｸﾌﾞﾙﾌﾞﾙ

**名無しさん＠お腹いっぱい。** · NG

>>236
(ﾟДﾟ)ﾊｧ?

**初期不良** · NG

>>235
ここはおっかないインターネットですね

**名無しさん＠お腹いっぱい。** · NG

以下の www.example.com は一例ですが、
"GET http://www.example.com/ HTTP/1.1"
といったアクセスがあります。
これはどういった使途でアクセスしているのでしょうか?

**名無しさん＠お腹いっぱい。** · NG

８０番で待ってるｵﾌﾟ-ｿﾌﾟﾛｸｼ探しの旅の途中に立ち寄ったです。

**名無しさん＠お腹いっぱい。** · NG

バーチャルホストで運用しているサイトに
Host: www.example.com
をつけずにアクセスできるので

ごく希に、この意図で使用しているクライアントがあるかもしれません。

**239** · NG

>>241
そのクライアントは例としてあげた(実際は別のサイト)
www.example.com へアクセスするつもりで www.example.com
とは無関係のサイトへくだんの GET を投げて来たということ
ですか? よく分かりません。

>>240
open proxy サーチの対象に遭ったということですか?
これならば、気分は悪いですが合点いきます。

**239** · NG

>>242
241さんが解説下さっているのも、proxy 経由のアクセスと
いうことを示唆されているのでしょうか?
「バーチャルホストで運用しているサイト」とは、
"GET http://www.example.com/ HTTP/1.1"
といったアクセスをされているホストを指されていますか?

**名無しさん＠お腹いっぱい。** · NG

いや、アクセス対象が自サイトと関係ないなら間違いなく240の通り

**名無しさん＠お腹いっぱい。** · NG

>>236
> (((( ；ﾟДﾟ)))ｶﾞｸｶﾞｸﾌﾞﾙﾌﾞﾙ

なんで本家のメイリングリストでもそうすれってなってたけど。

**名無しさん＠お腹いっぱい。** · NG

SSH その3
http://pc.2ch.net/test/read.cgi/unix/1058202104/222-225
から飛んできました。

SSH のように、ある秘密鍵を持っている人のアクセスを許可するような認証を
HTTP で行うためにはどうすればいいのでしょうか？

**名無しさん＠お腹いっぱい。** · NG

HTTPというより認証用フォーム(PerlなりPHPなり)でその仕組みを作る。
あと公開鍵方式とは全く別なんだけどDigest認証は用件に合わない？

**名無しさん＠お腹いっぱい。** · NG

>>246
SSL 認証でいいんじゃねーの?

**名無しさん＠お腹いっぱい。** · NG

>>246
「ある秘密鍵」なの？「ある公開鍵」じゃなくて？

**初期不良** · NG

SSL のクライアント認証がばっちりなんだからそれで良いじゃん

**名無しさん＠お腹いっぱい。** · NG

>235
2.8.15と2.8.16のdiff取って、どういうことか確認した方がいいでつ・・・
(((((;ﾟДﾟ))))ｶﾞｸｶﾞｸﾌﾞﾙﾌﾞﾙ

**初期不良** · NG

>>239
そうそう、最近こんなアクセスも増えてきてるみたいだから
みんな気を付けてね。

POST http://localhost:25/

間違って ProxyRequests On とかやってしまっていると
オープンプロキシーとして疎まれるだけじゃなく
SPAM サーバとしても使われてしまっていたりする。
実際には localhost じゃなくてそのサーバのホスト名が
入っていたのでもっと見つかりにくいかも。

**名無しさん＠お腹いっぱい。** · NG

>>251
どゆこと？

**名無しさん＠お腹いっぱい。** · NG

>>252
うちもいっぱい来るんすけどなんとか対策ないですかねぇ？
今はとりあえずnph-cgiでロギングしながら適当な返事返してるんですけど。

61.54.85.156:3541 , 2003/11/02 05:27:44 , GET http://202.96.140.78:34627/BODY&USER=ｨ勢篠ﾒﾇ鬨昏・7 , Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.0; T312461; .NET CLR 1.1.4322)
61.54.85.156:3538 , 2003/11/02 05:27:44 , GET http://202.96.140.78:34627/BODY&USER=ｨ勢篠ﾒﾇ鬨昏・4 , Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.0; T312461; .NET CLR 1.1.4322)
61.54.85.156:4047 , 2003/11/02 05:27:45 , GET http://202.96.140.78:34627/BODY&USER=ｨpﾋﾀﾍ｢ｨpﾂﾒﾇ・0&PASS= , Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.0; T312461; .NET CLR 1.1.4322)
67.202.109.175:3558 , 2003/11/02 06:03:49 , POST http://61.213.120.122:25/ ,
67.202.109.175:3560 , 2003/11/02 06:03:50 , POST http://61.213.67.229:25/ ,
67.202.109.30:3361 , 2003/11/02 06:11:42 , POST http://61.213.120.122:25/ ,

**初期不良** · NG

>>253
このあとこのリクエストを出した（おそらく）スクリプトは
そのサーバの smtp とおしゃべりをします。
smtp サーバは localhost からのアクセスなので
たいていリレーをしてしまいます。と言う事で
単なるオープンプロキシーで収まっていたはずが、
SPAM サーバにまでされてしまう、と言う事です。
他のプロトコルもしゃべられると困るしとにかく
オープンプロキシーは思ったよりやばいです。

**名無しさん＠お腹いっぱい。** · NG

>>255
>>253 は >>251 に聞いているように見えるのだが？

**名無しさん＠お腹いっぱい。** · NG

>>246
SSLVerifyClient require
って話?

**初期不良** · NG

>>256
スマソ
そんなに語りたかったのか...＞漏れ

**名無しさん＠お腹いっぱい。** · NG

>>258
>>254に対しても語ってくだちゃい。

**名無しさん＠お腹いっぱい。** · NG

>>259
request が飛んで来ること自体は止められないんじゃない？
あとは >>255 のとおりオープンプロキシになってないかちゃんと設定確認しとくと。

**254** · NG

>>260
まぁ、そうですね。
いまは数分おきにsource-ipを route add xxxx reject してるんですけど
ソースも踏み台なのか、毎回source-ipちがうんですよね。

なので reject もあまり意味なさそう・・・。

あとオープンプロキシ云々は、mod_proxyを組み込まないでコンパイルしなおした
のと、そういう proxy要求なリクエストを mod_rewrite で nph-cgi に持って
いっているので大丈夫です。

できればatakkerのブラックリストに載せてもらおうかと思って、そういうアクセス
に対してはブラクラを返してたりするんですけど全然減らないですね。
http_user_agentがIEだったりするんですけどあれはfakeなのかな・・・。

**名無しさん＠お腹いっぱい。** · NG

*.ar - - [04/Nov/2003:08:34:19 +0900] "CONNECT *.ar:25 HTTP/1.0" 401 401
*.ar - - [04/Nov/2003:08:34:19 +0900] "0x040x01" 401 401

こういうのがいくつか来てました。
25番に繋ごうとしてるのでSMTPのトンネル狙いだろうと思うのですが、下の方はなんでしょうか？
0x040x01は実際のログだとエスケープされてません。

**名無しさん＠お腹いっぱい。** · NG

下らないrequestなんかほっとけよ
調子に乗って反撃なんかしてたら自分も同罪だぞ

**名無しさん＠お腹いっぱい。** · NG

反撃って何ですか？

**名無しさん＠お腹いっぱい。** · NG

nmap -sS してから襲撃。

**名無しさん＠お腹いっぱい。** · NG

>>263
ういっす。
どうせ、アクセス元に攻撃しても単なる踏み台なんだろうから意味無いですしね。

**名無しさん＠お腹いっぱい。** · NG

>>262は私なんですが。
>>266=>>263だったりするのでしょうか。ｼﾞｻｸｼﾞｴｰﾝ(・∀・)。

私は、反撃なんかには興味ありません。
0x04 0x01 というのをナマで送ってる意味が俺の乏しい知識だと見当がつかないので不思議に思っただけです。
あと、これで Apache が BadRequest を返してないってのもちょっとびっくりしました。

いつくるか分からんからパケットダンプし続けるわけにもいかないし。

**名無しさん＠お腹いっぱい。** · NG

>>267
>>266は>>261ですよ。
>>263は反撃という話だったので、私の>>261に対するレスだと思いましたが。