「.co.jp 17万件のサーバー調査」記事へのコメント

どうでもいい疑問

[gachon (4163)]

脆弱性のチェックって許可とってやったのかなぁ？
アレだけの母体数だったら許可なんて取ってられないし

バナーだけで判断かな？
あとクロスサイトスクリプティングは脆弱性に含まれているのだろうか？
これを含めるともっとありそうな気がしないでもない

そんなの簡単じゃん

[Technical Type (3408)]

telnet どこぞ.co.jp 80

などとすればサーバーのバージョンが判ります。これは、単にブラウザでアクセスするのと同じで、許可が必要なワケはありません。sorede, 既にセキュリティーホール(クロスサイトスクリプティング含む)があると判っているバージョンだったら、それだけで「危険」だとわかるでしょ？

Re:そんなの簡単じゃん

[dai75 (557)]

サーバーのバージョンはフツー隠せます。

Apache なら ServerTokens [apache.org].

--
-- wanna be the biggest dreamer

Re:そんなの簡単じゃん

[Technical Type (3408)]

> サーバーのバージョンはフツー隠せます。

ええ、おっしゃる通りですが、隠す事まで考えていないない所が多いんじゃないでしょうか? (自分でも100個所ぐらいサンプルとしてやってみて、調べてみようかな)

もっとも、telnet 80 以外の方法でバージョンを特定する方法も幾つか頭に浮かびますが、、、(要は、突っつくという事ですが)

バージョン番号

[kubota (64)]

Debian の安定版の場合には、セキュリティ上の問題が見つかった場合、通常はバージョンアップせず、パッチをバックポートします。ので、バージョンで判断すると、問題あり、ということになってしまいます。

他の場合は知りませんが。