Development for UnderGround

apache killer 対策を実施してみようず

9月13
2011 Written by Povan_Vanquin

apache killer こわいよー(ﾟдﾟ)

ウチのサイトのWEBサーバはapache2.2.17で、未対策だったんですけどね？
ちょっと試しに砲撃（弱）してみたわけ。

■砲撃前　Load Average　0.04

■砲撃直後 Load Average　1.13

■砲撃開始１０秒後 Load Average　5.38

　・
　・
　・

ギャースｗｗｗｗ
弱めに撃ってこの威力ｗｗｗ

洒落にならない事態に陥る前に試験砲撃を止めましたが(ﾟдﾟ)

ということで、httpd.conf に対策を実施しましょう。

# Drop the Range header when more than 5 ranges.
# CVE-2011-3192
SetEnvIf Range (?:,.*?){5,5} bad-range=1
RequestHeader unset Range env=bad-range

# We always drop Request-Range; as this is a legacy
# dating back to MSIE3 and Netscape 2 and 3.
RequestHeader unset Request-Range

# optional logging.
CustomLog logs/range-CVE-2011-3192.log common env=bad-range
CustomLog logs/range-CVE-2011-3192.log common env=bad-req-range

上記をhttpd.confの最下部にでもコピペすればよろし。
※logs/～の記述は、砲撃されたときの報復用としてロギングしておきたい場合、お使いのapacheログの場所に合わせてどうぞ。貼る場所はお使いのapacheの環境にもよります。ウチのばあいSetEnvでnolog指定絡んでたりするので、当該SetEnv周辺に貼り直しました。バーチャルホストが絡んでいる場合でlog出力分けてる場合は、各ヴァーチャルホスト記述に全てカスタムログを書くとイイようです。

その後、apacheをリスタートするよろし。

# /usr/local/httpd/bin/apachectl restart

これでOKです。
さて、対策済のサイトに対して再度試験砲撃（弱）してみましょう。

ログ記録例） logs/range-CVE-2011-3192.log　攻撃先コンテンツ → /robots.txt

xxx.xxx.xxx.xxx – - [13/Sep/2011:11:53:59 +0900] “HEAD /robots.txt HTTP/1.1″ 200 -
xxx.xxx.xxx.xxx – - [13/Sep/2011:11:53:59 +0900] “HEAD /robots.txt HTTP/1.1″ 200 -
xxx.xxx.xxx.xxx – - [13/Sep/2011:11:53:59 +0900] “HEAD /robots.txt HTTP/1.1″ 200 -
xxx.xxx.xxx.xxx – - [13/Sep/2011:11:53:59 +0900] “HEAD /robots.txt HTTP/1.1″ 200 -
xxx.xxx.xxx.xxx – - [13/Sep/2011:11:53:59 +0900] “HEAD /robots.txt HTTP/1.1″ 200 -
xxx.xxx.xxx.xxx – - [13/Sep/2011:11:53:59 +0900] “HEAD /robots.txt HTTP/1.1″ 200 -
xxx.xxx.xxx.xxx – - [13/Sep/2011:11:53:59 +0900] “HEAD /robots.txt HTTP/1.1″ 200 -
xxx.xxx.xxx.xxx – - [13/Sep/2011:11:53:59 +0900] “HEAD /robots.txt HTTP/1.1″ 200 -
xxx.xxx.xxx.xxx – - [13/Sep/2011:11:53:59 +0900] “HEAD /robots.txt HTTP/1.1″ 200 -
xxx.xxx.xxx.xxx – - [13/Sep/2011:11:53:59 +0900] “HEAD /robots.txt HTTP/1.1″ 200 -
xxx.xxx.xxx.xxx – - [13/Sep/2011:11:53:59 +0900] “HEAD /robots.txt HTTP/1.1″ 200 -
xxx.xxx.xxx.xxx – - [13/Sep/2011:11:53:59 +0900] “HEAD /robots.txt HTTP/1.1″ 200 -
　・
　・
　・

無事、Load Averageは上がらずに、ログに攻撃があったことが記録されています(ﾟдﾟ)ｳﾏｰ
これで枕を高くして眠ることができますなァ・・・

Posted in サーバ関連

/var/mail/rootをクリアしたいんですが・・・

8月17
2011 Written by Povan_Vanquin

rootログインを禁止しているlinuxサーバを管理しているときにありがちな話。

rootへのメールがたまってるのを発見・・・内容はさておき、さくっと消したいなあ・・・こんなときのコマンドは確か

cat /dev/null > /var/mail/root

だからー・・・

# sudo cat /dev/null > /var/mail/root

えいっ

-bash: /var/mail/root: 許可がありません

・・・怒られたｗｗｗｗ
こんなときの回避方法は、こんな風にパイプを使います。

# sudo sh -c ‘cat /dev/null > /var/mail/root’

無事クリアできました　┐(´ー｀)┌

Posted in サーバ関連

PHP PEAR:PagerとSEO

7月27
2011 Written by Povan_Vanquin

ページャー実装に簡単お手軽なPAER:Pagerクラスですが、POST/GETパラメータを勝手に引き回してくれちゃったりするものですから、SEO対策として静的URLパターン構築→mod_rewriteでパラメータ置換でアクセス処理してるところに安易にデフォルトパラメータのPagerなんか組み入れてると、自動生成されるページリンクのURL記述、かなり悲惨な事になってGoogleウェブマスターツール
で冗長なパラメータに対してあれこれ制御対策しないといけなくなりま・・・す・・・というか、なっちゃってました（苦笑

ということで、後手後手ですが対策。

PagerのFactoryに渡すパラメータに
————
‘importQuery’=> FALSE
————
を追加しますた。
これで裏処理のパラメータが引き回されずに、PageIDしか付かなくなります。

めでたし、めでたし。

Posted in 開発よもやま

ちょっとCentOSさんてば大丈夫？

5月29
2011 Written by Povan_Vanquin


私が好んで使うLinuxディストリビューションはCentOSです。仕事及びプライベートで使うサーバOSは９割がCentOS５系です。
なんでかというと、ここ１０年来、日本のディストリビューターが提供する商用フレームワーク利用環境、及び業務パッケージでの推奨Linuxが、サポート付きの商用Linuxであります、Red Hat Enterprise Linux(以下RHEL)を推奨するものばかりで、経験的にRHELにガッツリ慣れ親しんでいたので、なし崩し的にReｄHatクローンのCentOSを使い続けているわけです。

つい先日、CentOS5.6がリリースされましたので、リブートできるタイミングで更新可能なサーバは全て5.5→5.6にアップデートしたばかりなんですが、5/26にさくらVPSのユーザーを集めた、さくらインターネット社主催のユーザーイベント「第一回さくらの夕べ」に参加し、その場でも、「CentOSの先行き不安」が話題に上がっておりましたので、ちょっとココでも取り上げてみようかな、と。

みんな心配してるんだなあ？

不安材料の概要は■[翻訳]CentOS6開発プロジェクトの現状にも書かれているとおり、CentOSが抱える複雑な内情によります。

さて、この不安が的中し、今後新しいバージョンが出てこなくなったら・・・うーん・・・どないしまひょ（苦笑）
しばらく生暖かく見守るしかないわけですが。。。

Posted in サーバ関連

さくらVPS 512M の並列makeについて

5月20
2011 Written by Povan_Vanquin

マルチコアCPUでmakeのコンパイルするときに
オプションに -j 付けると並列処理で高速コンパイルしてくれるんですけど・・・

さくらVPS 512M　では　コア数数値なしの -j オプションは使わないように！！
すこし大きめのソース群に実施すると、半分過ぎたあたりからスレッド起こしまくってメモリスワップの嵐・・・
最後には全く応答が帰って来なくなることがあります。。。

・・・やっちまったｗｗｗ固まったｗｗｗｗｗ

ということで、make(gmake)の並列コンパイルオプションは

# make -j2

が、さくらVPS 512（仮想2core）の最安全値かと思われます。

ベンチ厨じゃないので細かく数値は取っておりませんが、

# make -j4

でも動きましたけども・・・-j2とほとんどベンチマークが変わりませんでしたよ！？

Posted in サーバ関連

さくらVPS 512M の各種infoを取ってみた

5月20
2011 Written by Povan_Vanquin

まずはCPU。仮想２Coreらしいですが・・・

$ cat /proc/cpuinfo
processor : 0
vendor_id : GenuineIntel
cpu family : 6
model : 15
model name : Intel(R) Core(TM)2 Duo CPU T7700 @ 2.40GHz
stepping : 11
cpu MHz : 2660.184
cache size : 4096 KB
fpu : yes
fpu_exception : yes
cpuid level : 10
wp : yes
flags : fpu de pse tsc msr pae mce cx8 apic sep mtrr pge mca cmov pat pse36 clflush mmx fxsr sse sse2 syscall nx lm constant_tsc pni ssse3 lahf_lm
bogomips : 5320.36
clflush size : 64
cache_alignment : 64
address sizes : 40 bits physical, 48 bits virtual
power management:

processor : 1
vendor_id : GenuineIntel
cpu family : 6
model : 15
model name : Intel(R) Core(TM)2 Duo CPU T7700 @ 2.40GHz
stepping : 11
cpu MHz : 2660.184
cache size : 4096 KB
fpu : yes
fpu_exception : yes
cpuid level : 10
wp : yes
flags : fpu de pse tsc msr pae mce cx8 apic sep mtrr pge mca cmov pat pse36 clflush mmx fxsr sse sse2 syscall nx lm constant_tsc pni ssse3 lahf_lm
bogomips : 5267.69
clflush size : 64
cache_alignment : 64
address sizes : 40 bits physical, 48 bits virtual
power management:

次はメモリー。

$ cat /proc/meminfo
MemTotal: 509784 kB
MemFree: 47224 kB
Buffers: 38632 kB
Cached: 266188 kB
SwapCached: 19184 kB
Active: 274764 kB
Inactive: 138772 kB
HighTotal: 0 kB
HighFree: 0 kB
LowTotal: 509784 kB
LowFree: 47224 kB
SwapTotal: 2048276 kB
SwapFree: 1992208 kB
Dirty: 10052 kB
Writeback: 0 kB
AnonPages: 108008 kB
Mapped: 34716 kB
Slab: 32088 kB
PageTables: 4872 kB
NFS_Unstable: 0 kB
Bounce: 0 kB
CommitLimit: 2303168 kB
Committed_AS: 523068 kB
VmallocTotal: 34359738367 kB
VmallocUsed: 1396 kB
VmallocChunk: 34359736971 kB
HugePages_Total: 0
HugePages_Free: 0
HugePages_Rsvd: 0
Hugepagesize: 2048 kB

スワップが４倍の２Gもあるんすか？エー。

Posted in サーバ関連

さくらVPSにOpenIPMIを入れてみた

5月20
2011 Written by Povan_Vanquin

$ /etc/init.d/ipmi start
Starting ipmi drivers: [失敗]

・・・使えるわけがなかった（苦笑）
/dev/ipmi0 がまず無いっつーの！

ということでremoveしました（汗

・・・lm_sensorsは動くかな？

lm_sensors を起動中: No sensors found!
Make sure you loaded all the kernel drivers you need.
Try sensors-detect to find out which these are.
[失敗]

無理ーーーーーーｗ

KVM仮想なさくらVPS標準OSカーネルにゃセンサードライバが・・・

Posted in サーバ関連

QNAPのRAID６に障害発生・・・

5月18
2011 Written by Povan_Vanquin

ファイルサーバとして利用しているQNAP TS-459 Proという型番のNASがあるんですが、先日、RAID-6組んでるHDD４本中の1本に障害が発生しました。稼働８ヶ月くらいですが、まぁハードディスクは生ものなので、知らないうちに痛んでたりしますからね。障害中も普通にアクセスできてますけど、なるべく他のドライブまで壊れる前に早急に交換対処です。

さて、ホットスワップの出番だぜ！？

状態は、RAIDグループのDISK1/2/3/4の内、DISK1がFailedになってて、エラーってるHDDのLEDランプが赤く光っております。
HDD交換は、管理画面のディスク管理などを中心に眺めながら行います。

1) 交換用DISKを用意（今回は同型番の同容量DISK、WD10EARS-R)
2) LEDランプが赤く光っているDISK部分の、鍵付きHDDドライブケースを、鍵外して引っこ抜きます
3) ビープ音が鳴り、DISK１が外されたことを示す内容がLED及びシステムログに表示されます
4) HDDドライブケースのHDD固定ネジを４点外し、新しいHDDと交換し、再度ネジ止め
5) 新品のDISK入ったHDDドライブケースをQNAP本体に差し込んでマウントします
6) 新しいHDDが認識されると、赤かったLEDがが緑色になります
7) 管理画面のディスク管理画面上に、RAID-6の自動復旧（リビルド）が開始されたことが表示されます

あとはリビルド処理の完了待ち・・・

結果、リビルド完了まで１０時間かかりましたが、無事復旧完了でシステムオールグリーンです。
なんて簡単！ホットスワップさまさまですネ！

ちなみに、ウチのTS-459 Proの場合、HDDスロットは４つで、RAID-6構成なのでHDDのスロットを４本全部使ってしまっているのですが、HDDスロットの多い他QNAPシリーズとか、HDD構成によっては前もってスペアドライブを入れておく事ができますので、障害発生したらHDD抜き差しせずにスペアドライブに対して即復旧かけることができるようですな。

Posted in サーバ関連

６０GBのサーバエリアが１年間１００円ポッキリとな？(3)

5月17
2011 Written by Povan_Vanquin

ようやっと、ドメインキングのサポートからメールが来ました。

> ひょっとして土日はサポート全面休業日なのでしょうか？

上記の件でございますが、誠に申し訳ございませんが、
弊社営業時間は平日10時～17時までとなっております。

土日サポートやってませーん、とのこと。です。

サーバーサービス設定作業を行わせていただき、
別途メールにて、完了のご案内をお送りいたしておりますので、
お手数ではございますが、ご確認をお願いいたします。

はいはい、確認してすぐ手持ちのDNSサーバに設定反映しましたよー。
無事つながりましたよー。分かってる人ならさくさく進められると思います。

１年間１００円の６０GBサーバをゲッツ(σ・∀・)σ

さっそくサーバのPHPINFO情報を取ってみました。

なるほどね。

こっそりPHP経由でシェルコマンド叩いてその他詳細情報取ってみたら・・・

  • CPU: Intel(R) Xeon(R) CPU L3110 @ 3.00GHz（２コアのXeonですな）
  • MemTotal: 8313184 kB MemFree: 6380276 kB（メモリ８GBありますなぁ）
  • CentOS release 5.4 (Final)
  • PHP 5.2.17
  • apache 2.2.3 (PREFIXが /etc/httpd になってるから、yumで入れたパッケージですな)
  • mysql 5.0.77

って構成ですかね。ここに何ユーザー分ぶち込まれてるんだろう・・・ｗ

PHPのconfigureはこんな感じ。

‘./configure’ ‘–build=i686-redhat-linux-gnu’ ‘–host=i686-redhat-linux-gnu’ ‘–target=i386-redhat-linux-gnu’ ‘–program-prefix=’ ‘–prefix=/usr’ ‘–exec-prefix=/usr’ ‘–bindir=/usr/bin’ ‘–sbindir=/usr/sbin’ ‘–sysconfdir=/etc’ ‘–datadir=/usr/share’ ‘–includedir=/usr/include’ ‘–libdir=/usr/lib’ ‘–libexecdir=/usr/libexec’ ‘–localstatedir=/var’ ‘–sharedstatedir=/usr/com’ ‘–mandir=/usr/share/man’ ‘–infodir=/usr/share/info’ ‘–cache-file=../config.cache’ ‘–with-libdir=lib’ ‘–with-config-file-path=/etc’ ‘–with-config-file-scan-dir=/etc/php.d’ ‘–disable-debug’ ‘–with-pic’ ‘–disable-rpath’ ‘–without-pear’ ‘–with-bz2′ ‘–with-exec-dir=/usr/bin’ ‘–with-freetype-dir=/usr’ ‘–with-png-dir=/usr’ ‘–with-xpm-dir=/usr’ ‘–enable-gd-native-ttf’ ‘–with-t1lib=/usr’ ‘–without-gdbm’ ‘–with-gettext’ ‘–with-gmp’ ‘–with-iconv’ ‘–with-jpeg-dir=/usr’ ‘–with-openssl’ ‘–with-pcre-regex’ ‘–with-zlib’ ‘–with-layout=GNU’ ‘–enable-exif’ ‘–enable-ftp’ ‘–enable-magic-quotes’ ‘–enable-sockets’ ‘–enable-sysvsem’ ‘–enable-sysvshm’ ‘–enable-sysvmsg’ ‘–with-kerberos’ ‘–enable-ucd-snmp-hack’ ‘–enable-shmop’ ‘–enable-calendar’ ‘–without-mime-magic’ ‘–without-sqlite’ ‘–with-libxml-dir=/usr’ ‘–with-xml’ ‘–with-system-tzdata’ ‘–with-apxs2=/usr/sbin/apxs’ ‘–without-mysql’ ‘–without-gd’ ‘–disable-dom’ ‘–disable-dba’ ‘–without-unixODBC’ ‘–disable-pdo’ ‘–disable-xmlreader’ ‘–disable-xmlwriter’ ‘–disable-json’ ‘–without-pspell’ ‘–disable-wddx’ ‘–without-curl’ ‘–disable-posix’ ‘–disable-sysvmsg’ ‘–disable-sysvshm’ ‘–disable-sysvsem’

んー、まぁ、普通には使えるんじゃないかな？って感想。

さてさて、暇見つけて「うｐろだ」的プログラム書いて
６０GBの画像置き場を作ろーっと。

Posted in サーバ関連

６０GBのサーバエリアが１年間１００円ポッキリとな？(2)

5月14
2011 Written by Povan_Vanquin

前回の記事の件、の続き。

何を思ったか、容量倍増キャンペーン開始前に申し込んじゃいました（笑）

あわてて申し込み自体は取り消すも、ネットバンキングで料金振込み実行してしまい、「キャンセルして、倍増キャンペーン後に申込むから、入金はそっちに充当してくだしゃい」とサポート宛にメール打つハメに・・・※振込み先が東京三菱だったので、SMBCダイレクトから振り込むと同行扱いになり、振込み手数料はタダで済みましたが

翌日に無事ドメインキングのサポートから連絡を頂きまして。
先走った入金は、容量倍増キャンペーンのほうに充当していただけるとのこと。
「再申し込みしたら連絡くださいねー」だって。

再度申し込みして、すぐサポートメールに「再申し込みしましたー前回の入金充当で利用開始手続きお願いしますー」って感じの返信をしました。

その後ニラニラしながら待ってたんですが・・・未だ音沙汰無し（爆）
ドメインキング・・・土日はサポート全面休業ですかァァァアアアアーーーーーーーー？

ちなみに２ｃｈの「ドメインキング」スレはこちら。
【100円】ドメインキングてどうよ?【domainking】
想像通り、安心の「安かろう悪かろう」評価です。なんだかオラ、ｗｋｔｋしてきたぞ？

Posted in サーバ関連
« Older Entries

Twitter Logs

EnglishFrenchGermanItalianPortugueseRussianSpanish