Apache Killer対策について

質問

Apache Killer対策を要する基準として次の2つがあることがわかりました。

1. Apache2.2.20未満
2. Apache2.0.x

しかし、1または2のいずれかに該当しているサイトでも、
巷に出回っているDoSツールを利用して実際に攻撃してみても、
「対象ホストは脆弱性がなさそう」といったメッセージが出力され停止します。

ステータスコード206を応答しないサーバーは「脆弱性がない（だろう）」と
判断しているように思えます。

この場合、アドバイザリに出ている設定ファイルへの追加といった、
暫定的な対応は不用なのでしょうか？

とりわけ、2.0系列は対策済みのパッチがリリースされていないため、
早めにconfファイルへの暫定対応を施したほうがよいのか、
それとも対策版がリリースされてからのアップデートでよいのか
迷っています。

よろしくお願いします。

回答No.1

Lchan0211 · ベストアンサー

あてずっぽうですが、もしかしてPHP等の動的コンテンツを
使って検証していませんか?
Apache killerは、rangeヘッダを利用するので、
静的コンテンツを対象にしないと「206 Partial Content」
は返ってこないんじゃないかなと思います。(推測です)

PHPを使ったWebアプリでも、GIF等の静的ファイルが
必ず使われていると思いますので、それを使って検証することを
お勧めします。

念のため確認ですが、それって自分が管理しているWebサーバを
検証しているのですよね?
他人が管理しているWebサーバを勝手に検証しているのだったら、
それは攻撃とみなされますよ。

お礼

回答ありがとうございます。

＞静的コンテンツを対象にしないと「206 Partial Content」
＞は返ってこないんじゃないかなと思います。(推測です)

なるほど。
DocumentRootを静的なページに向けて、わざわざテストしました。
動的ページでもそこに含まれる静的なコンテンツを指定すれば、
同じ結果が得られるだろうということですね。

助かりました。ありがとうございます。

＞念のため確認ですが、それって自分が管理しているWebサーバを
＞検証しているのですよね。

もちろん、管理下サーバーです。