시스템관리자의 쉼터, 커피닉스 http://coffeenix.net 시스템관리자의 쉼터 - *NIX, 보안, 네트웍 운영, IT 정보 ko PHP 5.3.9 Released(HashDoS 문제 해결 버전) http://coffeenix.net/bbs/viewtopic.php?p=7164#7164 hash table 충돌을 이용한 DoS 공격(일명 HashDoS)을 해결한 PHP 5.3.9버전이 나왔습니다.
- php 5.3.8 포함하여 이전 버전 사용중 : 필히 업그레이드 할 것
- php 5.3.9 RC 또는 5.4.0 RC4~RC5 사용중 : 임시 업그레이드하셨던 분은 필요하면 정식 버전을 적용해도 되겠네요.

참고로 php.ini의 max_input_vars default값은 1000입니다.



http://www.php.net/index.php#id2012-01-11-1


--------------- quote --

The PHP development team would like to announce the immediate availability of PHP 5.3.9. This release focuses on improving the stability of the PHP 5.3.x branch with over 90 bug fixes, some of which are security related.

Security Enhancements and Fixes in PHP 5.3.9:

* Added max_input_vars directive to prevent attacks based on hash collisions. (CVE-2011-4885)
* Fixed bug #60150 (Integer overflow during the parsing of invalid exif header). (CVE-2011-4566)

--------------- /quote --


* HashDoS 관련 글

- php에서 hash table DoS(HashDoS) 공격 방어 ( 2012.1.4, 글 좋은진호 )
- 웹서버 hash table DoS(HashDoS) 공격 (중요. PHP, ASP 등 해당) ( 2012.1.2, 글 좋은진호 )]]> *NIX / IT 정보 Wed, 11 Jan 2012 15:39:57 +0900 [구인] 클라우드 컴퓨팅 리더 아헴스에서 시스템 및 인프라 운영 http://coffeenix.net/bbs/viewtopic.php?p=7162#7162
아헴스는 프라이빗 클라우드 솔류션인 HyCloud, 클라우드에 맞는 서버 솔루션 Cloudbox, 클라우드 분산 파일 시스템, 클라우드 기반의 대용량 처리 시스템, 가상 데스크답 솔루션(VDI) 등을 개발하고 있으며, 현재 미국에 클라우드 인프라를 운영하고 있습니다. 아헴스는 기술 개발에 중심을 둔 회사이지만 점점 클라우드 인프라 운영 및 관리의 필요성이 늘어나 인프라팀 확장하려고 합니다.

클라우드, 리눅스, 네트웍 등에 관심이 많으신 분, 현재의 화두가 된 클라우드에 직접 뛰어들고 싶은 분들을 환영합니다!!

홈페이지: http://www.ahems.co.kr
블로그: http://blog.ahems.co.kr
채용공고: http://ahems.co.kr/company/jobs.html, http://blog.ahems.co.kr/archives/339
고용형태: 정규직
근무지: 잠실

* 모집 부분 및 자격 요건
네트웍 / 시스템 엔지니어 경력 및 신입
네트웍과 리눅스 시스템을 셋업/ 관리/ 운영해보신 좋겠지만, 모르셔도 열정이 있으시면 가능합니다. ahems는 당장의 실력 보다는 적극적으로 본인의 분야에서 프로의식과 열정을 가지고 함께 일하실 분을 보십니다.

- 리눅스 및 네트웍의 기본적인 이해
- 각종 인프라 운영 경험
- 커스텀 커널 컴파일
- Ubuntu / Debian 계열 패키징
- 한 가지 이상의 스크립트 언어 구사 능력: bash, python, perl, ruby... 등등
- IDC 등에서 네트웍 및 시스템 운영 경험
- 각종 리눅스 자격증 없어도 상관 없습니다. ^^;

* 지원 방법
이력서와 경력 기술서를 recruit@ahems.co.kr 또는 choe@ahems.co.kr 로 보내주시기 바랍니다.

감사합니다.]]> 구인 / 구직 Fri, 06 Jan 2012 19:15:07 +0900 php에서 hash table DoS(HashDoS) 공격 방어 http://coffeenix.net/bbs/viewtopic.php?p=7161#7161 웹서버 hash table DoS(HashDoS) 공격 (중요. PHP, ASP 등 해당)' 을 읽어보기 바란다.


--------------- quote --

웹서버에서는 Request POST, GET 변수를 hash 구조로 관리한다. 그런데 POST 요청 파라미터수가 상당히 많을 경우(GET 요청은 길이 제한이 있으므로 문제가 되지 않음)에 hash 충돌이 많이 발생하게 되어 CPU load가 상당히 올라가게 된다. 이런 문제는 PHP5, Asp.Net, Java, V8 자바스크립트 엔진 등에서 발생한다.
--------------- /quote --


취약점을 해결하거나 공격을 약화시키는 방법이다.

1. php 5.4.0 RC버전과 앞으로 나올 PHP 5.3.9 버전 (취약점 해결)

max_input_vars 설정으로 파라미터 개수를 제한한다.

* PHP 5.3.9 Released(HashDoS 문제 해결 버전) (2012.1.11(수) 내용 수정)

2. 기존 php버전에서 (완벽한 해결이 아닌 공격을 약화시키는 방법)

php.ini 설정값 (default)

--------------- quote --

max_input_time = 60 ; Maximum amount of time each script may spend parsing request data
post_max_size = 8M

--------------- /quote --


max_input_time은 요청 데이터를 파싱하는데 걸리는 최대 시간이다.
max_input_time으로 파싱 시간 제한, post_max_size으로 POST 사이즈를 제한함으로써 파라미터수를 어느정도(?) 제한하는 효과를 갖는다. 완벽한 해결이 아닌 공격을 약화시키는 방법이다.

기존에 쌓아둔 웹로그를 분석해서

1. 스크립트의 실행 시간이 얼마나 걸리는지 ((max_input_time 설정위해. 웹로그 시간은 정확히는 전송시간 + max_input_time + max_execution_time과 관련)
2. POST 요청의 사이즈를 분석한다. (post_max_size 설정위해)

수치를 적절히 파악한 후 서비스에 지장없는 정도로 조절한다.
(예 : max_input_time = 10, post_max_size = 100K)
단, 파일이 업로드되는 서비스는 POST사이즈가 크므로 post_max_size는 적용하기 어렵고, max_input_time만 설정해볼 수 있다.

3. 수호신(suhosin) php 보안 모듈 사용 (취약점 해결)


--------------- quote --

suhosin.post.max_value_length = 1000000
suhosin.post.max_vars = 500
suhosin.request.max_vars = 500

--------------- /quote --


수호신 모듈을 사용하면 위 설정만으로도 문제가 해결된다. 최대 파라미터 개수를 500개로 제한한 경우이다. default는 1000이다. 다음과 같이 차단되었음을 확인할 수 있다.


--------------- quote --

suhosin[95705]: ALERT - configured POST variable limit exceeded - dropped variable '..생략..' (attacker 'xxx.xxx.xxx.xxx', file '/..생략../index.html')

--------------- /quote --


4. apache와 nginx에서 POST사이즈 제한 (100K로 제한하는 예)

POST사이즈 제한을 php설정 외에 웹서버 자체 설정도 적용하고 싶다면 다음과 같이 한다. 위 2번에서 설명한대로 기존 웹로그를 분석해서 적절한 POST사이즈를 파악해서 적용한다.

1) apache
LimitRequestBody 100000

2) nginx (defaul는 1MB)
client_max_body_size 100k;

※ 다음은 php.ini의 max_input_time 설정을 착각하는 분들이 있어 정리했다. (1.4(수) 19시)

위에서 말한대로, php.ini 설정 중 max_input_time은 HTTP '요청 데이터(POST, GET)를 파싱하는데 걸리는 시간'이다. 'input' 이라는 단어가 들어가기 때문에, 전송되는 시간으로 착각하는 경우가 있다. 하지만 모든데이터를 다 받은 순간부터 실행 시작하기까지의 시간이다. 즉, 아래에서 3번에 해당하는 구간이다.


--------------- quote --

1) POST 요청 -> 2) POST 데이터 전송 -> 3) 전송후 파싱 -> 4) 실행

--------------- /quote --


정상적인 요청이라면 파싱하는데 걸리는 시간은 짧다. 그래서 이 수치를 줄임으로써 어느정도의 효과가 있다.]]> *NIX / IT 정보 Wed, 04 Jan 2012 09:58:57 +0900 외국계 프린터 회사 필드 기술영업 지원 팀장 과차장급 http://coffeenix.net/bbs/viewtopic.php?p=7160#7160
2. 직급 : 과,차장급

3. 자격 요건
(1) 서울 소재 대학 학사 이상 학위 보유자
(2) 프로그램 개발 경력자(Shell 프로그램, JAVA 등)
(3) 시스템 관련 기술 보유자(Unix, Window)
(4) 영어 의사소통 가능자 (메일작성, 기초 회화, 독해 가능자 토익 750점 이상)
(5) 정보처리 기술 자격자 우대
(6) 업무에 대한 빠른 이해력과 의사소통 능력 (팀장)
(7) 동종업계 종사자 우대 (프린팅 산업에 종사자 : ex) Xerox, 삼성 등)

4. 주요 담당 업무
(1) 솔루션 사업 발굴을 위한 기술 영업 지원
(2) 고객의 출력 및 프린팅 환경에서 발생하는 IT 문제 분석 및 기술적 솔루션 제안
(3) 당사 소프트웨어에 대한 기술적 지원 (설치, 테스트, 적용)
(4) 솔루션 프로젝트 관리 및 수행 (팀장)

6. 대우수준
(1) 고용형태 : 정규직
(2) 연봉수준 : 회사내규, 경력/능력에 따른 협의
기본급 + 성과급(20% 수준)

7. 목표 채용일 : 2012. 1. 20(금)

8. 전형방법 및 제출처
(1) 1차 서류전형, 2차 면접
* 합격자에 한해 개별 통보
(2) 제출서류 : 국문(영문) 이력서(경력의 경우 경력기술서 위주 작성)
* 이직(지원)사유, 업무상 강점, 현재연봉, 희망연봉 기재
(3) 제출처 : sjahn@sufs.ac.kr
(4) 담당자 : ㈜서울외대스카우트 S.J.AHN 이사
(5) 연락처 : 010-4193-8436
(6) 제출기한 : ASAP (채용 시 마감)]]> 구인 / 구직 Wed, 28 Dec 2011 09:01:11 +0900 regular expression(정규표현식) 쉽게 뽑아 보기 http://coffeenix.net/bbs/viewtopic.php?p=7157#7157
책을 보시고 테스트를 하며 머리를 썩히시는 분들을 위해 추천 드립니다.
의외로 많은 분들이 책을 보고 외우고 직접 테스팅 하는 분들이 많더군요

위에 표현식을 쓰시고 아래에 해당 regexp로 뽑아낼 컨텐츠를 넣으면
정확한 표현식으로 썼는지 판단할수 있습니다 ^-^]]> *NIX / IT 정보 Sat, 24 Dec 2011 12:17:07 +0900 [심플렉스인터넷] 카페24 개발팀 웹프로그래머 모집 http://coffeenix.net/bbs/viewtopic.php?p=7154#7154 >>>>상세보기: http://www.jobkorea.co.kr/List_GI/GIB_Read.asp?GI_No=9931368

■ 업무내용
- 카페24 쇼핑몰솔루션 개발 및 관리

■ 자격요건
- 신입 및 경력
- 기본 : html, css, javascript
- PHP/MySQL 등 웹프로그램 경력

## 우대사항
- Python, Perl, ASP,JSP 사용 가능자
- 쇼핑몰솔루션 관련 개발 경험자
- Linux용 서버프로그램 설치 및 설정 가능자
- 대용량 데이터 활용 및 처리 경험자
- APM 경력자
- 오픈 API 등 연동 작업 경험자
- 외국어 가능자(중어/일어/영어)

------------------------------------------------------------------------------

카페24 서버개발팀 웹프로그래머 (신입/경력)
>>>>상세보기: http://www.jobkorea.co.kr/List_GI/GIB_Read.asp?GI_No=9075775

■ 업무내용
- 웹 API 서버/클라이언트 개발
- 호스팅, 쇼핑몰 서버 자동화 개발
- 호스팅, 쇼핑몰 서버운영/관리 업무
- 서버 모니터링 페이지 UI 개발

■ 자격요건
- 신입 및 경력
- Linux 환경의 PHP 개발 가능자
- Linux 설치 및 사용 가능자 우대
- pgsql, python 경험자 우대
- 대용량 사이트 및 서비스 운영 경력 우대
- 웹 개발 환경 구축에 대해 이해하고 작업할 수 있는 분
- 타 부서의 업무를 폭 넓게 이해하고 작업할 수 있는 분

------------------------------------------------------------------------------

카페24 웹개발팀 웹프로그래머 (신입/경력)

>>>>상세보기: http://www.jobkorea.co.kr/List_GI/GIB_Read.asp?GI_No=10282138

■ 업무내용
- www.cafe24.com 호스팅 파트 담당 개발자
- 사내 제반 서비스 파트 개발

■ 자격요건
- 신입 및 경력
- Apache, Php, Jquery 가능자
- DBMS (Mysql) 관련지식 및 활용 가능자

## 우대사항
- 대규모 사이트 서비스 제공 및 유지보수 경험자
- 개발관련 전공자
- 타부서의 업무를 이해하고 원활한 커뮤니케이션이 가능한 분
- 창의적이고 능동적인 분

------------------------------------------------------------------------------

카페24 쇼핑몰호스팅팀 웹퍼블리셔 (경력)
>>>>상세보기: http://www.jobkorea.co.kr/List_GI/GIB_Read.asp?GI_No=10241349

■ 업무내용
- 카페24 쇼핑몰 솔루션 웹표준 퍼블리싱

■ 자격요건
- 경력 2~3년
- 웹표준 코딩 경험자
- 웹사용성, 웹접근성에 대한 이해 및 제작 경험 있는 분
- 100페이지 이상의 대형 웹 사이트 단독 제작 경험이 있는 분
- jquery 등 자바스크립트 프레임워크 경험자 우대
- 타 부서의 업무를 폭넓게 이해하고 작업할 수 있는 분

------------------------------------------------------------------------------

지원방법

- 온라인 입사지원
- e-mail : recruit@simplexi.com
- 문의 : HR팀 지윤정 (02-3284-0293/02-6276-1642)]]> 구인 / 구직 Wed, 14 Dec 2011 13:32:31 +0900 [질문] TCP / IP통신에서 write() / read()에 관한 질문입니다. http://coffeenix.net/bbs/viewtopic.php?p=6507#6507


책에 보니까 write()가 반환되는 시점은 상대 호스트로 데이터의 전송이 완료되는 시점이 나닌, 전송할 데이터가 출력버퍼로 이동이 완료되는 시점이라고 나와있는데요...



이것때문에 제가 구현한 서버측 소스내에서 write()가 제대로 동작(?) 하지 않아 클라이언트에서 read()하면 타임아웃이 발생하는 것 같습니다.



일단 소스를 보시면,





--------------- code --

//이부분은 스레드를 생성하고 그 안에서 실행되는 부분입니다.
while(1) {
str_len=read(clnt_sock, protocol, sizeof(protocol));
if(str_len > 0) { //데이터를 읽음
printf("str_len : %d\n", str_len);
}
else {
printf("str_len : %d\n", str_len); //데이터가 없으므로 루프 반복
continue;
}

if(packet_valid_check(protocol, str_len) == 1) {
printf("패킷 정상 수신.\n");
}
else {
printf("정상적인 패킷이 아님.\n");
}

//패킷 분석(배열 인덱스3에 위치한 값이 프로토콜) ex) @.a.중간내용.#
switch(protocol[2]) {

// a라면...
case 'a':
result[0]='1';
write(clnt_sock, result, strlen(result));
break;
}
}

--------------- /code --

a라는 프로토콜을 전송하면 서버측에서는 읽고 패킷분석까지 하고 switch()내의 case문 까지 잘 진입합니다.



write함수 반환값을 받아보면 바이트 수까지 정확하게 찍습니다.



그리고 루프를 돌아 read()에서 블록 상태까지 대기까지 하는 것 같습니다.



근데 클라이언트쪽에서는 read()하면 타임아웃이 발생합니다....



제가 해본 방법으론는 서버측 write() 실행 후 버퍼에만 데이터가 남아있고 전송이 안된 것 같아 fflush(stdout); 넣어봤는데 안됐고요..



close(clnt_sock); 하니까 전송이 되네요... (이 방법은 한번 연결하고 끊어 버리기 때문에 다른 방법이 필요 합니다.)



한 일주일 이것때문에 여기저기 다 찾아보고 했는데 해답을 잘 못찾겠네요.



리눅스 DDD 디버거를 써볼려고 해도 사용법이 잘 안나와있어서 ...



조언 부탁드립니다.]]> 네트웍 관리 / 보안 Sat, 26 Nov 2011 19:27:14 +0900 카페24 쇼핑몰호스팅팀 웹프로그래머 모집 http://coffeenix.net/bbs/viewtopic.php?p=6473#6473 심플렉스인터넷(주)은 끊임없이 변화하는 IT분야의 국내시장 선점 및 해외시장 진출을 목적으로 함께 성장할 인재를 모집중에 있습니다.
10 여년 전 30여명으로 출발한 회사는 현재 직원수 600여명으로 성장한 만큼 "사람이 경쟁력이다." 라는 마인드를 기반으로 인적자원에 미래를 위한 투자를 진행중입니다.
새로운 비젼을 공유할 수 있는 분들의 많은 지원을 바랍니다.

### 채용부문
- 카페24 쇼핑몰호스팅팀 웹프로그래머

### 업무내용
- 카페24 쇼핑몰솔루션 개발 및 관리

### 자격조건 및 우대사항
- 신입 및 경력
- 기본 :html, css, javascript
- PHP/MySQL 등 웹프로그램 경력

[우대사항]
- Python, Perl, ASP,JSP 사용 가능자 우대
- 쇼핑몰 솔루션 관련 개발 경험자 우대
- Linux용 서버프로그램 설치 및 설정 가능자 우대
- 대용량 데이터 활용 및 처리 경험자 우대
- APM 경력자 우대
- 포탈 사이트 및 서비스 운영 경력 우대
- 외국어 가능자 우대(중어/일어/영어)

### 복리후생 및 기타
- 임직원 600여명 규모의 회사이며, 근무 분위기 좋습니다.
- 주5일제를 2003년 1월부터 실시 중입니다.
- 4대보험/건강검진/경조휴가/연차휴가 지원합니다.
- 점심식대(6,000원/일) 지원합니다. (야근시 추가지원)
- 업무관련 도서를 구입할 경우 도서비 지원합니다.
- 친목활동, 자기개발을 위한 복지기금(연 80만원)을 지원합니다.
- 매월 네번째 금요일은 휴무이며, 휴무일에는 레저휴가비용(10만원/월)을
지원합니다.

### 지원방법
- 온라인 입사지원
- 채용시 마감
- e-mail : recruit@simplexi.com
- 문의 : HR팀 지윤정 (02-3284-0293/02-6276-1639)

### 회사위치
서울시 동작구 신대방2동 전문건설회관빌딩 28층]]> 구인 / 구직 Thu, 20 Oct 2011 15:58:52 +0900 [질문] NGINX의 무단링크 차단 http://coffeenix.net/bbs/viewtopic.php?p=6471#6471 각각의 도메인을 지정할때는 잘 되는데, 특정 도메인mydomain.com의 하위도메인 전체에 적용하고자 아래와 같이 정규식을 이용했는데 적용이 안되더군요.

location ~* \.(png|gif|jpg|jpeg)$ {
set $testref "";
if ($http_referer !~ ^(http://(.*).mydomain.com)){
set $testref I;
}
set $testref "${testref}G";
}
if ($testref = IG){
return 444;
}
}

이에 정규식에 대해 고수님들의 고견 듣고자 합니다.
감사합니다.]]> 시스템 설치 및 운영 Fri, 14 Oct 2011 21:06:12 +0900 nginx 1.1.2에 Range 헤더 적합성 체크 추가 http://coffeenix.net/bbs/viewtopic.php?p=6446#6446 아마 최근 문제있던 아파치의 Range 헤더 DoS 취약점을 의식해서 추가한 것 으로 보인다.
nginx에 아파치와 같은 DoS 취약점은 없지만, 안정성을 위해서 추가한 것 같다.



http://nginx.org/en/CHANGES


--------------- quote --

*) Change: now if total size of all ranges is greater than source response size, then nginx disables ranges and returns just the source response.
*) Feature: the "max_ranges" directive.

정리하면,
Range 헤더에 지정한 총 길이 > 소스 길이 = Range 헤더 disable

--------------- /quote --



--------------- code --

(요청 예)

GET /a.html HTTP/1.1
Host: foobar.com
Range: bytes=0-,1-,1-1234

--------------- /code --


위처럼, 웹페이지(a.html)의
0자리~끝까지 + 1자리~끝까지 + 1~1234자리까지 합하면 당연히 소스 길이보다 커지니 Range헤더는 disable될 것이다.


* 관련글 : 아파치 웹서버, 심각한 DoS 취약점과 패치 버전 (2011.9.2)]]> *NIX / IT 정보 Tue, 06 Sep 2011 18:43:24 +0900