ホーム > アーカイブ > 2010年4月のアーカイブ
2010年4月のアーカイブ
攻撃的（？）なリクエストのサンプル
- 2010-04-21 水 01:26:45
- 今日の基礎体力
いつもと毛色の違う攻撃的（？）なリクエストが・・・。
これだけでたいした悪さの出来るものではないところがいつもと違います。
スーパーグローバル変数 $_GET、$_POST、$_COOKIE、$_SERVER['HTTP_*']
$_SERVER['REQUEST_URI'] あたりで得られる値をそのまま使ってると
なにか動作するものと推測出来ます。
クライアントから来る値を信用してはいけない。っていうわかりやすい見本です。
こういうのがあるので以下の2点は必ずやりましょう。
１．プログラムで使用する前に、想定内の値かどうか確認する。（バリデーション）
２．HTMLとして整形時に無効化する。（サニタイジング）
ちなみにこのリクエストは、
アプリケーションのバリデーションに引っかかったのではなく
こちらのフィルタにかかって、即ハネられたものです。
攻撃的？なリクエストをフィルタリングしてみる
設計段階でクライアントから受け取る値（文字）に制限を設けておけば
未知の攻撃に対してもこうした予防措置をとることが出来ます。
それにしても http://www.puritysearch.net/ は
うちのサイトの脆弱性テストでもしてるのでしょうか。
レポート（Japanese only）、気長にお待ちしてます。
spamp:掲示板スパムバリデータ出来ました
- 2010-04-14 水 01:52:55
- PHP
掲示板スパム対策の取り組みもこれでひと区切りとしたいと思います。
PHPスクリプトのダウンロードとドキュメントはこちらです。
spamp ： 掲示板スパムバリデータ
spampは、マルチバイトを含まない投稿をはじく、
投稿出来るURL数を限定する、
プロキシっぽいクライアントを拒否する、
といったフィルタはまったく使っていません。
CAPTCHA（画像認証）やパスワードによる認証でもありません。
掲示板スパムボットのプロファイリングから生まれた
ロジックで判定をおこなっています。
人がやれば簡単に突破できる
極めて単純な仕組みですが自動投稿ロボットにはこれが難しいのです。
いつか新手のロボットが現れるまでの繋ぎとはわかってますが
その時はまたプロファイリングしてロジックを組み直したいと思います。
ロボットを手先に、楽して一発儲けようとしてる
スパム業者なんぞには負けません。
それにしてもここ１ヶ月くらいで
コメントスパムのリクエスト数が激減。多い日でも3件程度に減りました。
このフィルタリングの影響・・・とは考え難いので
他にそれっぽい記事を見ないので
Waledacボットネットの件が影響してたのかな・・・。
さて最後に、WordPressのコメント投稿に
組み込んだ方法を紹介しておきます。
続きを読む
攻撃的？なリクエストをフィルタリングしてみる
- 2010-04-03 土 01:16:36
- PHP
PHPプログラミングを扱ってるからでしょうが
毎日なにかしらの攻撃的なリクエストがあります。
特定のURLに誘導するものとか、サーバーのコマンドを実行するものとか
SQLインジェクションとか、アプリケーションの脆弱性をつくものとか・・・
まあ、アクセスログにはいろいろと記録されてます。
4/2はこんな感じでした。
攻撃者が、任意のコードやコマンドをうちのサーバーで
なんとか実行させようと試みてるのがみてとれます。
うちのサイトでこのようなリクエストは全部 Error404 ってことになり、
レスポンスにボディーは無し、コマンドも実行されることもありません。
今日は攻撃的なリクエストのフィルタリングについて書いてみます。
続きを読む
- コメント: 0
- トラックバック(閉): 0
ホーム > アーカイブ > 2010年4月のアーカイブ
- プロフィール
-
ゆうじ
PHPの基礎体力
Ｇ＋Follow @soundws
サンデープログラマーはプログラミングはやるけどプロじゃない。お父さんの日曜大工とおんなじです。
プログラミングは体力じゃ!
コーヒーとタバコLOVE、あと音楽は聴くのもやるのも好き。 - 検索
- Ad
- カレンダー
« 2010 年 4月 » S M T W T F S 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 - 最近の投稿
- Ad
- カテゴリー
- タグクラウド
- Ad
- Apache
- MySQL
- PHP
- お気に入り
- ん。。。。。。広告
- アーカイブ
-
- 2018年3月 (2)
- 2017年4月 (1)
- 2015年12月 (1)
- 2015年9月 (1)
- 2014年8月 (1)
- 2013年12月 (1)
- 2013年6月 (1)
- 2013年5月 (1)
- 2012年7月 (2)
- 2012年6月 (1)
- 2012年4月 (1)
- 2012年3月 (2)
- 2011年8月 (1)
- 2011年7月 (1)
- 2010年7月 (1)
- 2010年6月 (2)
- 2010年5月 (1)
- 2010年4月 (3)
- 2010年3月 (2)
- 2010年2月 (1)
- 2010年1月 (1)
- 2009年11月 (1)
- 2009年5月 (3)
- 2009年4月 (5)
- 2009年3月 (8)
- 2009年2月 (2)
- 2008年11月 (1)
- 2008年7月 (1)
- 2008年5月 (3)
- 2008年4月 (4)
- 2008年3月 (1)
- 2007年12月 (2)
- 2007年8月 (1)
- 2007年7月 (4)
- 2007年6月 (4)
- 2007年5月 (2)
- Ad