個人的なメモと備忘録 2003年 9月

>>Linux コマンド

よく使用するコマンドのオプションを調べてみるといろいろと便利な機能や面白い機能がありましたので、気になったものをメモしておきます。RedHat Linux 7.3 でしか確認していませんが、他の OS でも大体同じように使えると思います。

• ps コマンド

  プロセスの状態を表示するコマンドです。オプションに f や --forest を入れると、プロセスの階層を分かりやすく表示してくれます。pstree でもプロセスの階層の表示はできますが、kill コマンドなどで使用するために、プロセス番号と親(子)プロセスの関係を知りたいときには便利です。

  $ ps aux --forest

  また、w オプションを3つくらい入れておくと、コマンドラインの引数が長くても途切れずに表示してくれます。ファイルなどにリダイレクトしたときにコマンド引数が途切れる場合などに役に立つと思います。

  $ ps auxfwww > ps.log

• top コマンド

  プロセスの状態を画面に一定時間毎に表示するコマンドです。コマンドラインオプションと、多くの対話的なコマンドがあります。コマンドラインオプションの -b を使用すると、-d で指定した一定時間毎(指定しないと 5秒毎)に標準出力に書き出されますので、それをリダイレクトして、ログに保存したり、別のコマンドにパイプで渡して、別の処理を行うなどいろいろな方法が考えられます。以下のようにバックグラウンドでログを取りながら別の作業を行うと、後でプロセスや CPU 負荷の確認ができます。スクリプト言語などにリダイレクトして、集計を行っても良いかもしれません。

  $ top -b > top.log &

  他に、以下のように -q オプションを使用すると、リアルタイムで画面が更新されますので、楽しいかもしれません。

  $ top -q

• 定期的に情報を出力できるコマンド

  調べてみると、定期的に情報を出力できるコマンドは意外と多いです。細かいログが必要になったときには、これらのコマンドを組み合わせると多くの情報が得られると思います。

  $ top -b -d [delay]         # [delay]秒ごとに top の結果を出力
  $ vmstat    [delay [count]] # [delay]秒ごとに [count]回 vmstat の結果を出力
  $ free -s   [delay]         # [delay]秒ごとに free の結果を出力
  $ netstat -c                # 1秒ごとに netstat の結果を出力
  

  また、Linux には、sysstat というツールが使用できますので、このツールを使うと、非常に詳細な情報が取得できます。RedHat Linux では、RPM パッケージがありますので、インストールしておくと便利です。

  sysstat には、いくつかのコマンドが含まれ、CPU 負荷状況、デバイスへの入出力状況、ネットワーク使用状況など、多くの情報の取得が可能です。

  $ iostat [delay [count]]  # [delay]秒ごとに [count]回の CPU や各デバイスの入出力状況を出力
  $ mpstat [delay [count]]  # [delay]秒ごとに [count]回のプロセス関連の情報を出力
  $ sar    [delay [count]]  # [delay]秒ごとに [count]回の他のオプションで指定した情報を出力
  

  sar コマンドのオプションは非常に多いです。詳細は man sar などで調べると分かりますが、とりあえず、以下のように -A オプションを使用することで、どのくらいの情報が取得できるかが分かります。日本語環境の場合、少し時間の後ろの部分が文字化けしますが、気になるようでしたら、LANG=C を前に付けておくと良いと思います。

  $ sar -A 1 1

  sysstat のページで、sar -A を実行したときのサンプルレポートが見られます。

>>セキュリティ関係

UsePam no

<Limit WRITE>
     DenyAll
</Limit>

>>気になったニュースなど

• Samba 3.0

  Unix 系の OS で動作するオープンソースの Windows NT / 2000 互換のファイル、プリントサーバ。Active Directory や、Unicode サポート、Windows NT 4.0 ドメインコントローラとの信頼関係の締結など、Samba 2.2.x と比べて、多くの新機能が含まれています。Samba 3.0 のリリースノート(日本 samba ユーザ会日本語訳)とプレスリリースも参考にしてください。

• Perl 5.8.1

  スクリプト言語。Perl 5.8.0 から多くの修正が行われています。perldelta - what is new for perl v5.8.1に新機能や変更点などの詳細があるようです。また、Perl 5.8.1 Official Announcement も出ています。

• Mozilla 1.5 RC2

  オープンソースのブラウザ、メール環境。1.5 のリリース候補 2版。Mozilla 1.5 Release Candidate 2 Release Notes(日本語訳:Mozilla 1.5 Release Candidate 2 リリースノート)も参照してください。

• Opera 7.20

  表示が高速なブラウザ。日本語版 Opera 7.20 も公開されています。

• OpenOffice 1.1 RC5

  オープンソースの Office 環境。リリース候補 5版。詳しくは、Release Notes for the OpenOffice.org 1.1 RC 5 Release にあります。日本語の情報はまだ出ていないようです。

• chkrootkit 0.42b

  システムに RootKit が仕掛けられていないかをチェックするツール。

>>VeriSign のドメインハイジャック問題

VeriSignが全ての未登録.COM、.NETドメインをハイジャック(スラッシュドット・ジャパン)などでも話題になっていますが、VeriSign が全ての未登録 .COM、.NET ドメインを特定の IP アドレスにリダイレクトするように設定を行ったようです。現在は、ドメイン検索を行うページになっています。

これに対しては、非難されているようですが、「米ベリサインのエラーページ・リダイレクトに非難の嵐(CNET Japan)」VeriSign 側では、続けるそうです「米ベリサイン：「リダイレクトはやめない」(CNET Japan)」。

この問題に対して、Bind や djbdns などの DNS サーバや、メールサーバの Postfix などに対抗する Patch などもあるそうです。セキュリティホール memo の 2003.09.18 と、2003.09.22 の情報に、Patch などの情報があります。

スラッシュドット・ジャパンには、今回の VeriSign 関係の記事が３つ出ていました。

• VeriSignが全ての未登録.COM、.NETドメインをハイジャック
• VeriSignの未登録ドメインハイジャック、訴訟へ
• VeriSignが乗っ取ったドメインでSMTPサーバを立ち上げ

(2003.10.05 追記)

今回は取り下げたという情報がありました。VeriSign、ICANN命令でSite Finder中止へ(ZDNet)

>>セキュリティ関係

>>気になったニュースなど

• OpenSSH 3.7.1

  通信を暗号化するネットワークツール、サーバ類。セキュリティホールの修正、ライセンスの見直し、バグ修正などが行われています。

• Sendmail 8.12.10

  広く使用されているメールサーバ。セキュリティホールの修正、バグ修正などが行われています。

• KDE 3.1.4

  デスクトップ環境。セキュリティホールの修正と、バグ修正などが行われています。変更点などは、KDE 3.1.3 to 3.1.4 Changelog などを参照してください。

• Snort 2.0.2

  オープンソースのネットワーク侵入検知システム(NIDS)。バグ修正と、新機能の追加。バージョンアップすることが勧められています。

• Sylpheed 0.9.6

  GTK+ を使用した電子メールクライアント、ニュースリーダ。バグ修正、パフォーマンス改善などが行われています。

>>正規表現

ちょっと気になったので、メモしておきます。

いくつかのスクリプト言語で試してみたのですが、以下のような結果になるのが意外でした。

$ php -r 'echo ereg_replace("b*","z","abc") . "\n";'
zazzcz
$ ruby -e 'puts "abc".gsub(/b*/,"z");'
zazzcz
$ perl -e '$s="abc"; $s=~s/b*/z/g; print "$s\n"'
zazzcz

最初は、b* を z に置き換えると、abc が azc になることを予想したのですが、そうではないようです。以下のように、いくつか似たような処理を試してみましたが、予想と合わないものが多かったです。

$ php -r 'echo ereg_replace("[^abc]*","z","abc") . "\n";'
zazbzcz
$ php -r 'echo ereg_replace(".*","z","abc") . "\n";'
zz
$ php -r 'echo ereg_replace("^.*","z","abc") . "\n";'
z
$ php -r 'echo ereg_replace(".*$","z","abc") . "\n";'
zz

>>セキュリティ関係

>>気になったニュースなど

• ProFTPD 1.2.9 RC2

  FTP サーバ。IPv6 がテスト的にサポートされたようです。configure オプションに --enable-ipv6 を付けてコンパイルすれば有効になるそうです。その他、新機能や、修正されたバグは NEWS を参照してください。

• Samba 3.0 RC4

  Unix 系の OS で動作するオープンソースの Windows NT / 2000 互換のファイル、プリントサーバのリリース候補の第 4版。新機能や変更点についてはアナウンス(The Samba Team announces Samba 3.0.0 RC4)を参考にしてください。

• Ethereal 0.9.15

  ネットワークプロトコルアナライザ。新しいプロトコルへの対応など。

• Sylpheed 0.9.5

  GTK+ を使用した電子メールクライアント、ニュースリーダ。9月2日くらいに出ていました。バグ修正などが行われています。

• WinSCP 3.3

  オープンソースの SFTP/SCP クライアント。

>>PHP のセッション管理について

PHP でセッション管理をより安全に出来る可能性がありそうですので、メモしておきます。

少し前ですが、PHP-users メーリングリストに、session_regenerate_id() の挙動についての投稿がありました([PHP-users 17600]session_regenerate_id()の挙動について)。session_regenerate_id() は、PHP 4.3.2 から導入された関数で、ユーザがブラウザでアクセスするごとに、セッション ID を新しく生成し、前のセッション ID と置き換えることができます。セッション ID を頻繁に変更することで、セッションハイジャックの危険性を減らす目的があると思われるのですが、PHP 4.3.3 で試したところ、実際の挙動では、デフォルト設定の /tmp に保存されているセッション変数の値が古いファイル内に残ったままで、これではセッションハイジャック対策にならないのではないかという指摘でした。

この対処として、以下のように古いセッション情報のファイルは unlink() で消してしまうという方法があるようです([PHP-users 17601]Re: session_regenerate_id()の挙動について)。

$oldID = session_id();
session_regenerate_id();
unlink(session_save_path() . "/sess_$oldID");

また、PHP 4.3.1 以前でも動作する session_regenerate_id() と同等の処理を実現する関数の投稿がありました([PHP-users 17602]Re: session_regenerate_id()の挙動について)。

function session_switching()
{
  $QQ = serialize($_SESSION);
  session_destroy();
  session_id(md5(uniqid(rand(),1)));
  session_start();
  $_SESSION = unserialize($QQ);
}

実際に PHP 4.3.3 で session_regenerate_id() だけを実行(上記のように、古いセッションファイルを削除せずに)して試してみたところ、セッションデータが保存されているファイルは削除されずに、そのまま残ってしまうということが確認できました。また、残っていた古いセッションファイルの ID を ブラウザ側の Cookie で指定して、セッションハイジャックを試みたところ、セッションハイジャックに成功してしまいました。

session_regenerate_id() を使用する場合、古いセッションファイルを削除しないと、セッションファイルが増える分、安全にはなっていないと思われますので、メーリングリストで紹介のあったような方法を使用して、セッションファイルを廃棄／削除する必要があります。

セッション ID を頻繁に変更する方法は、ユーザがブラウザで別のページにアクセスするごとに、セッション ID が変更されるため、もし、何らかの方法で他人にセッション ID が漏洩してしまったとしても、漏洩したセッション ID が使用できなければ安全です。

ただし、セッション ID は、サーバへのアクセスが行われた時に変更が行われますので、セッション ID が漏洩してしまった場合、正規のユーザがアクセスする前に、漏洩したセッション ID を使用して別のユーザがアクセスした場合、セッションハイジャックは成功してしまいますので、絶対に安全であるとは言えません。個人情報などの重要な情報を扱うような場合は、SSL と Cookie の Secure フラグを使用してさらに安全なセッション管理を行った方が良いと思います。以前に、Cookie のセキュアフラグを付ける方法を紹介しましたので、そちらも参考にしてください。

参考として、Cookie をセッション管理に使用している場合のブラウザ上から Javascript を使って、Cookie にセッション情報を設定する方法を書いておきます。ブラウザで対象の Web ページを表示した状態で、ブラウザの URL 欄に、Cookie 情報を書き込む Javascript を入力します。

javascript:alert(document.cookie="PHPSESSID=99d90aa745db323b4f345d4256098af0; path=/;")

PHP の場合、デフォルトでは、セッション名が PHPSESSID という文字列になっていますので、上のような感じで Cookie を設定すると、セッション ID が設定されます。alert を付けておくと、Cookie 情報が表示されるウインドウがポップアップするので分かりやすいと思います。

最後に、PHP サーバの設定を行う場合、PHP マニュアルの、XCIV. セッション処理関数(session) の部分については、読んでおいた方が良いと思います。特に、session.save_path では、セッションファイルを分散して保存する際の注意や、権限の問題について説明されています。また、警告として、以下のような注意が書かれています。

この設定を /tmp (デフォルト)のようにどこからでも読み込み可能なディレクトリのままにしている場合、サーバ上の他のユーザがこのディレクトリのファイルのリストを取得することにより、セッションをハイジャックをすることが可能となります。

>>セキュリティ関係

chmod u-s XFree86

>>気になったニュースなど

• Java 2 SDK 1.4.2_01

  開発環境。8月末に出ていたみたいです。

• Mozilla Thunderbird 0.2

  オープンソースの Mozilla のメール部分のコンポーネントを再デザインしたメールクライアント。まだまだ未完成な部分がありますが、多くの新機能があります。Mozilla Thunderbird 0.2 Release Notes (日本語訳:Mozilla Thunderbird 0.2 リリースノート) も参照してください。