ITサポーターズの仲間たち    mushi

IT関連のサポートに携わる変人が微弱な電波を発してます。
ビビビビビッ!

URL変更のお知らせとお願い 当サイトのドメインが変更となりました
http://zxvf.homeip.net から http://zxvf.stzo.net に変更となりました。
当サイトにリンクしていただいている方々にはご面倒ですが変更をお願いいたします。(2014/4/7)

phpのhashdos攻撃対策のアップデート


phpのhashdos攻撃対策のアップデート。昨日久しぶりにphpのコードなんてチョコチョコ弄ってたけど、 ちょうどそのタイミングでphpのhashdos対策のアップデートが三つ目のdebianちゃんに上がってきた...



昨日久しぶりにphpのコードなんてチョコチョコ弄ってたけど、
ちょうどそのタイミングでphpのhashdos対策のアップデートが三つ目のdebianちゃんに上がってきた。
でもってphp.iniに新しい項目が出来て上書きされるかもしれないけど増えた項目は1個だけ。

How many GET/POST/COOKIE input variables may be accepted
; max_input_vars = 1000

ここね。デフォルトのまま使ってる人はそのまま上書きしてOKだけど、
各種調整している人はデフォルトに上書きされるから注意しよう。

それでこれは何かと簡単にいうと、実はphpに対してGETとPOSTやクッキーに大量のパラメータを送り込むと
処理しきれずにCPU100%専有されDDOSなどと似たような状態になってしまうもの。
実際にはCOOKIEで実証コードが出回ってて効果があるとのこと。
phpの5.3.9で対策されてるけど、一般のディストリではまだだったんだよね。
debianではバージョンが変わらずにパッチが当たってる。

PHP 5.3.3-7+squeeze7 with Suhosin-Patch (cli) (built: Feb 2 2012 17:32:55)

この1000がデフォルトの値って多すぎね?って思うんだけど、
この程度で攻撃対策として問題ないらしい。
普通に使ってるシステムだとこれで足りなくなることは無いだろう。
気になる人はちょと少なめにしてもOK。足りなければログに出るから確認して必要数だけ増やせばいい。


これを見たついででエラーログなど見てみたらいつの間にか結構警告が出てた。
古い関数は使うなどか参照渡しすんなとか。
暇だったのでかなりの数のファイルを修正。

コード修正して簡単にしか確認してないけど、飽きたので問題ある所は気がついた時に治すようにしようと思う。
テストを兼ねてPOSTしてみる

  ↓ これ結構おすすめ



< 過去の記事 [ 7月の 全てのトピック リスト ] 新しい記事 >
via IPv4

twitter

●→ トップページ

07/23(Mon) 09:22:26

サイト内検索

 

トピックのカテゴリー

全てのトピック
今日の思考回路
趣味について
ニュース!
Technical
Linux
OSX
その他いろいろ

みんなのリンク

全てのリンク
ニュース
アミューズメント
生活
Tools
Windows
OS X
Technical
その他のリンク
MACアドレスで位置情報検索


Archives




新しいトピック
最新:05/08 18:22


Valid XHTML 1.0 Transitional

Syndicate this site(XML)

RSS1.0(RDF)

RSS2.0(RSS)

SpecialThanks
011461361

....   

Copyright (C) 2005-2018 Amato. All rights reserved.