「.co.jp 17万件のサーバー調査」記事へのコメント

どうでもいい疑問

[gachon (4163)]

脆弱性のチェックって許可とってやったのかなぁ？
アレだけの母体数だったら許可なんて取ってられないし

バナーだけで判断かな？
あとクロスサイトスクリプティングは脆弱性に含まれているのだろうか？
これを含めるともっとありそうな気がしないでもない

そんなの簡単じゃん

[Technical Type (3408)]

telnet どこぞ.co.jp 80

などとすればサーバーのバージョンが判ります。これは、単にブラウザでアクセスするのと同じで、許可が必要なワケはありません。sorede, 既にセキュリティーホール(クロスサイトスクリプティング含む)があると判っているバージョンだったら、それだけで「危険」だとわかるでしょ？

Re:そんなの簡単じゃん

[dai75 (557)]

サーバーのバージョンはフツー隠せます。

Apache なら ServerTokens [apache.org].

--
-- wanna be the biggest dreamer

Re:そんなの簡単じゃん

[Technical Type (3408)]

> サーバーのバージョンはフツー隠せます。

ええ、おっしゃる通りですが、隠す事まで考えていないない所が多いんじゃないでしょうか? (自分でも100個所ぐらいサンプルとしてやってみて、調べてみようかな)

もっとも、telnet 80 以外の方法でバージョンを特定する方法も幾つか頭に浮かびますが、、、(要は、突っつくという事ですが)

バージョン番号

[kubota (64)]

Debian の安定版の場合には、セキュリティ上の問題が見つかった場合、通常はバージョンアップせず、パッチをバックポートします。ので、バージョンで判断すると、問題あり、ということになってしまいます。

他の場合は知りませんが。

Re:そんなの簡単じゃん

[Anonymous Coward]

例えば？思いつきで下手なことすると、アタックと取られて面倒なことになりかねないので注意した方がいいですよ。

Re:そんなの簡単じゃん

[Anonymous Coward]

404 Not Found 画面を出す

Re:そんなの簡単じゃん

[Anonymous Coward]

それって http でつないじゃってるじゃん…

Re:そんなの簡単じゃん

[Anonymous Coward]

何か問題でも？

Re:そんなの簡単じゃん

[Anonymous Coward]

妙な日本語やね。

• バージョンは「普通隠す」　//鯖管の行動・指針への言及
• バージョンは隠せます　　　//ソフトの可能性への言及

Re:そんなの簡単じゃん

[dai75 (557)]

(サーバーソフトウェアでは)普通、バージョン出力は隠せます、という意味ですよ。

apache は単なる一例として挙げていることもちゃんと読めば分かる。
# あー、もう。formkey のエラーは腹立つなぁ。

--
-- wanna be the biggest dreamer

Re:そんなの簡単じゃん

[gachon (4163)]

確かにバナーをとるだけならおっしゃる通りです。
てっきり一つ一つ「本当に」セキュリティホールを突いてみたのかな？と思っただけで
＃やった時点で法的にまずいゾーンに突入ですね(^^;

Re:そんなの簡単じゃん

[tai (1093)]

既にセキュリティーホール(クロスサイトスクリプティング含む)があると判っているバージョンだったら、

クロスサイトスクリプティングってWebサーバやOSのバージョンと関係があるんですか？
知りませんでした。
もし良かったら、後学のためにポインタだけでいいので教えてください。

tai

Re:そんなの簡単じゃん

[yourCat (4820)]

クロスサイトスクリプティングってWebサーバやOSのバージョンと関係があるんですか？

定番ですが高木氏のレポート [ipa.go.jp]をどうぞ。『2. Webサーバー／Web アプリケーションのベンダー情報をチェック』に概説と各種ポインタがまとめてあります。

Re:そんなの簡単じゃん

[office (5894)]

Webサーバなどのバージョンが古くても、クロスサイトスクリプティング に対する対策だけをとることは容易なので、Webサーバなどのバージョン だけで判断できるわけではありません。 もちろん、サーバのバージョンが新しければ、Webサーバ固有の場所 http://server/../<script>alert("hello")</script> とか http://server/<script>alert("hello")</script>.shtml にクロスサイトスクリプティングの脆弱性を探しても無駄なのは明らかですが。

--
office

Re:そんなの簡単じゃん

[office (5894)]

うわ～っ！ 今一瞬非常にまずい状況にしてしまいました。 見た人は忘れてください。

--
office