犬ターネット

Apache Killer の件を PHP で確認

2011-08-26 apache

こりゃ対応しなくちゃな、という感じのApacheの脆弱性が公開された。

以下のPHPスクリプトで、脆弱性があるかどうか確認できる。HEAD HTTP/1.1 で Range 送って、レスポンスヘッダに「Partial」が含まれていたらNGっていう判定。

※ オリジナルは killapache.pl っていうコードなんだけど、そこの判定ロジックをPHP用に書き換えた。
※ Request-Range を送っても同様の脆弱性が生まれるので、検証コード書き換えた。

いくつかのサイトで試してみたけど、割と対策済み(WAFで弾いてるのかもしんないけど)。とはいえ対策されてないサイトもあったので、以下参考にして対応する必要がある。

具体的には、mod_headers 有効にして、httpd.conf に以下書いて対策。

--- 追記 ---

ここに詳しく載ってる。

セキュリティ界隈の重鎮、徳丸さんのとこにも記事あがってます。

--- さらに追記 ---

わかってると思うけど、静的コンテンツに対して実行しないと意図した結果にならないと思う。

例えば、リクエスト先が php とか cgi が出力したものだとダメ(「大丈夫！」って判定される)な場合がある。

.gifとか.jsとか.cssとかに対して実行、確認すべき（上記でrobots.txtを指しているのはそういった理由から）