gologiusの巣スマートフォン用の表示で見るgologiusの巣プログラミング、モデリングなどのメモです。誰かの役に立てるとうれしいです。セキュリティについて調べました。※以下のQiita記事を基に、適用されている作業の中身を独自で調べ直したものになります。ネット上の情報をまとめただけです。以下に記載された情報を基にされた作業に関して一切責任を持ちません。特定のIP、セグメント、ポートからしか見る必要がない場合、設定しておいた方が無難。閲覧者(攻撃者含む)に対して余計な情報を与えないようにする。↓バージョン情報の隠ぺいバージョンが分かると、「この攻撃方法はまだ対策されてないな」と攻撃者に情報を与えてしまう。脆弱性の名前HTTPリスエストのヘッダの一つにPROXYがある。脆弱性があるサーバーは、リクエストヘッダの情報を、(環境)変数に入れてしまう。PROXY情報は通常クライアント側からはアクセスできないが、設定できてしまう。正常なWEBサイトを、iframeから呼び出す。クロスサイトスクリプティング文字列のエスケープをしていないため、悪意のあるHTMLやJavaScriptが埋め込まれる。「田中太郎;<script>alert(`不正なプログラムです`)</script>」などと入力する。DBにはこの文字列がそのまま登録される。HTMLとして表示される時に、JSが実行されてしまう。クロスサイトトレーシングXSSではブラウザ(クライアント)からサーバーへのHTTPリクエストヘッダを取得できない(らしい。ヘッダ内に含まれる認証情報(クッキーや認証IDPWなど)は取れない。話は変わるが、HTTPリクエストメソッド(GET,POST,PUT,DELETE)などの一種にTRACEがある。TRACEはHTTPリスエストをオウム返しするメソッドである。XSSを利用して、TRACEメソッドでリクエストを送ると、リクエストヘッダを取得できる。前述したクッキーや認証情報も取得できてしまう。攻撃方法としては現役引退(化石化)している。https://blog.tokumaru.org/2013/01/TRACE-method-is-not-so-dangerous-in-fact.htmlDOS攻撃対策おなじみのF5アタックなどが該当。パケットを送りまくって、サーバーに異常な負荷をかける攻撃。slowloris対策slowloris=ツール名。スローロリスと読むらしいApacheサーバーに不完全なリクエストヘッダーを送ると、サーバー側が最後のヘッダーを待ち続ける。この脆弱性を利用して、slowlorisを用いて不完全なヘッダーを送り続け、Apacheのプロセスを消費させる。例のQiita記事の内容を参考に、httpd.confへ適用します。QiitaWindowsなのでディレクトリのパスだけ変更する必要があります。設定PHP無効化httpd-xammp.conf内に「この拡張子ならPHPファイルとして処理しろ」と設定している箇所がある。