�ʤ��Υ��Ϥ����ָŤ��Τǡ����Ƥˤʤ�ޤ��󡣤����ʤ�����


�����ΤΥե���

-(front-end).php
 --mainfile.php
   ---modules/protector/include/precheck.inc.php
   ---include/common.php  (�����ǽ��ƥ桼�������å����ĥ�����
   ---modules/protector/include/postcheck.inc.php
 --header.php
   x ---modules/protector/blocks/protector_block.php (deleted)
...

mainfile.php �ؤΥѥå�������



��Anti-DoS�ν����ե���

��precheck.inc.php

�����Ǥν����Ϥʤ��ʤä���

��postcheck.inc.php

$protector->check_dos_attack() �θƤӽФ�

��ȡ�
  protector_access �ơ��֥�Υ��٥���
  Ʊ��IP����Ʊ��URI�ؤι����٥������������å� (F5 Attack)
   > protector_access �ơ��֥�ؤΥ쥳�����ɲ� (DELAYED INSERT)
   > protector_access ���Ʊ��IP�쥳���ɤ����Ǥ�5ʬ��˱�Ф��ʤ��ν������ष�����ƶ������ꤽ���˻פ���Τǡ��Ȥꤢ���������Ƥߤ��
   > preferences �ǻ��ꤵ�줿������Ԥä�false���֤�
   > banIP ��¨�¤�bad_ips����Ͽ����
   > exit �����ϡ�exit; �������ˡ�������Ͽ
  USER_AGENT �����å�
   > ���ޤ��٤�USER_AGENT�ʤ顢����������ʤ���OK�Ȥ���
   > USER_AGENT�򺾾Τ��밭�դ���bot�ؤ��к��Ϻ���β���
  Ʊ��IP�����͡���URI�ؤι����٥������������å� �ʥᥢ�ɼ����ܥå�����
  protector_access �ơ��֥�ؤΥ쥳�����ɲ� (DELAYED INSERT)
   > preferences �ǻ��ꤵ�줿������Ԥä�false���֤�
   > banIP ��¨�¤�bad_ips����Ͽ����
   > exit �����ϡ�exit; �������ˡ�������Ͽ
  ������ˤ⳺�����ʤ����OK��

�֤��ͤ�false�ʤ顢������Ͽ
�����Ǥϡ�purge() �����ʤɤϤ��ʤ�


��preferences �ǻ���Ǥ������

none   �����й����֤ϤȤ�ʤ���������Ͽ�����Ԥ�
sleep  5�ÿ�����sleep()���롣Apache��MySQL����٤����䤹�������⤷�줺������侩
exit   ¨�¤�exit����
banip  xoopsConfig �� bad_ips ����Ͽ
htaccess .htaccess��DENY FROM�Ȥ��ƽ񤭹��ࡣuploads/.htaccess.bak���Хå����åץե�����ǡ��Хå����åפ��ʤ��ơ�.htaccess������м�ư�������դˡ�.htaccess����Ȥ��ʤ��ƥХå����åפ�������ϡ��Хå����åפ�����᤹��uploads/���̾�Υѡ��ߥå���������ʤ�����.htaccess�����ϡ�����Ū�˽�����¤�Ϳ����ɬ�פ��ꡣ



�������ե����륢�åץ������к�

precheck �ΤߤǹԤ���

�ǥե���Ȥ�ON��

$_FILES ����������
/(\.php|\.phtml|\.phtm|\.php3|\.php4|\.cgi|\.pl|\.asp)$/i
�Ȥ����ѥ�����˹��פ���ե�����̾�����ä��顢¨�¤�purge()

B-Wiki�Ǽ���եȤ��������ʤɡ�php�ե������ź�դ������ӤǤϡ����ε�ǽ��OFF�ˤ���¾�ʤ���������

�⥸�塼��¦�ǡ�mainfile.php �ƤӽФ����� PROTECTOR_SKIP_FILESCHECKER ��������뤳�ȤǤ⡢���Υ����å��ϥ����åפǤ��롣B-Wiki�ʤɤ��б����Ƥ����ȴ򤷤���



�������ƥ��ѿ������к�

precheck �ΤߤǹԤ���

���Ĥ��ä����Υǥե����ư��ϡ�exit��

$_POST, $_GET, $_COOKIE ��ꥫ����������������

'GLOBALS'
'_SESSION'
'HTTP_SESSION_VARS'
'_GET'
'HTTP_GET_VARS'
'_COOKIE'
'HTTP_COOKIE_VARS'
'_REQUEST'
'_SERVER'
'_ENV'
'_FILES'
'xoopsDB'
'xoopsUser'
'xoopsUserId'
'xoopsUserGroups'
'xoopsUserIsAdmin'
'xoopsConfig'
'xoopsOption'
'xoopsModule'
'xoopsModuleConfig'

�Υ���ǥå�����̵������Ĵ�٤롣

���Υ����å��ϡ����󥹥ȥ饯���ǹԤ�

precheck �Ǹ��Ĥ��äơ����ġ�ban_ip ����ʤ顢�Ȥꤢ����GET��POST�������ˤ��ơ�bad_ip��Ͽͽ��postcheck�λ��ˡ��ݸ�롼�פǤʤ����ban��

¨�¤��б��Ǥ��롢�Ȥ������ǡ����̤ˡ�exit ���ɤ��Ȼפ��롣



���⥸�塼����ID�� XSS , SQL Injection �к�

precheck �Τߡ�

$_POST, $_GET, $_COOKIE ��������������ǥå����� 'id' �ǽ���äơ����ġ�����ǤϤʤ��ѿ��ˤĤ��Ƥϡ�intval() �򤫤���

�ǥե���ȤǤ�OFF��



��SQL Injection�к��Σ��ѥ�����

postcheck �Τߡ�common.php �θ�Ǥ⡢�ۤ�����ʤ��������Ȥ���Ƚ�ǡ�

$_POST, $_GET, $_COOKIE ��Ƶ�Ū������������Ȥˡ�UNION �ޤ��ϸ�Ω���� /* ��̵����������å�����

�ʸ�Ω����/* �Ȥϡ��Фˤʤ� */ �Τʤ� /* �Τ��ȡ�SQL Injection�ˤ����ơ����ˤ˻Ȥ����

���Ĥ��ä����Υ��������Ϥ��줾�죴�ʳ����٤�

�����⤷�ʤ�

��bit0 �������� �ʥǥե���ȡ�
  UNION �ʤ顢UNI-ON ��ʬ�򤹤�
  /* �ʤ顢�Ǹ�� */ ����Ϳ����

��bit1 ��λ
  ��Ω���� /* �����̤˽���򤷤Ƥ��Ƥ�ճ����ɤ�����ѥ�����ʤΤǡ��Ǽ��Ĥʤɤ���Ƥ�����ü����������̤Ȥ����Τϡ�����äȥӥå��ꤷ�Ƥ��ޤ���������

��bit2 bad_ip ��Ͽ
  ��λ�Ǥ�����ӥå��ꤹ��Τˡ�����Ϥ������ˤ�ꤹ������



�����路���ե��������ζػ�

precheck �ǤΤ߹Ԥ���

�ե�����̾��GET��ľ�ܻ��ꤹ����ˡ��Ĥ������å���˺��ƥǥ��쥯�ȥ���̤��뤳�Ȥ��ɤ���

�ե�����ѥ��Ϥ��ʤ�θ�̩�����׵᤹��Τǡ��ճ��ȥѥ�����Ϲʤ��ġĤȻפäƤ������������Ǥ�ʤ�������

�Ȥꤢ�������ǥ��쥯�ȥ���̤뤿��ˤϡ�../ ���鳫�Ϥ��뤫��../../ �Ȥ����ѥ������ޤ�ɬ�פ����Ф�ɬ�פʤΤǡ����������ѥ������ΤȤ�����

������󡢥̥�Х����к���ɬ�ס�

�ǥե���Ȥ�ON��

2.3x �ޤǤϡ�POST�ˤĤ��Ƥ�ԤäƤ�������POST�ˤĤ����̤�����å���ɬ�פʤΤϡ�2.0.9.2�ޤǤΥ�����������������顢������˰�ư������



���̥�Х����к�

���󥹥ȥ饯���ǹԤ������פ����precheck��

�ꥯ������ʸ����� \0 ������ȡ��Ƽ�����å���ͭ���˸����ʤ���
��Ȥ�ȡ�\0 ��¸�ߤ��뤳�ȼ��Τ��������Τǡ��ꥫ�������˥����å����ơ�
���Ĥ��ä����ϡ����ڡ������Ѵ����롣

�ǥե���Ȥ�ON��



�����å����ϥ�����å��к�

postcheck �Τߡ�

���å�����IP�������Ʊ�쥻�å����ǰۤʤ�IP�����������褿�����ǥ�
�������Ȥ����롣

���������ץ������Υ����ɥХ�󥹡���������Ų������ӥ��������ʤɤǤϡ�
�����������IP���ɥ쥹���Ѥ�뤳�Ȥ��ɤ�����Τǡ��Ȥꤢ�����ϥ��롼
������б��Ȥ�����

�����ԥ��롼�פ�����IP�����å���ͭ���ˤ���Τ������֥Х�󥹤��Ȥ��
����Ȥϻפ����ʥǥե���Ȥ⤽���ʤäƤ����



��XOOPS�����С�������ͭ�η�դ���

�Ȥꤢ������2.0.9.2 �Ǹ��Ĥ��ä����ProtectorŪ��ˡ�Ǻɤ��Ǥߤ���
�����2.4����ϡ��ǥե���Ȥ�off�Ȥ��Ƥ��롣



������IP�ꥹ�Ȥ˺ܤäƤ��ޤä����εߺѺ�

XOOPS_URL/m/protector/admin/rescue.php
�ǡ����餫�������ꤷ�Ƥ������ѥ���ɤ����Ϥ���С�IP���ݤ��Τ�Τ����Ǥ���

�����������Υѥ���ɤϤ��餫�������ꤷ�Ƥ���ɬ�פ����롣
������֡ʥѥ���ɤ���ʸ���ˤξ�硢���εߺѺ���̵���Ȥʤ롣

precheck �ǡ������ͤ򸫤ơ�md5������Ƥ��ʤ��ʤ顢����Ū��md5�ϥå����Ȥä���Τ��֤������롣����Ƚ�Ǵ��Ϻǽ�Σ�ʸ����'*=*'�Ǥ��뤫�ɤ������Ȥ�Ǥ�ʤ���ˡ�Ǥ��뤳�Ȥϼ��Ф��Ƥ���Τ��ͤù��ޤʤ��Ǥ������� :-)

�ʤǤ⡢�ճ����ɤ���ˡ�����




��������٥�ʻ����

�ӥåȤ��б�
--------------------------------
1:   �����٤ι⤤��Ρʥǥե���ȡ�
     CONTAMI, UPLOAD
     BruteForce, xmlrpc, CRITERIA,
     misc debug, misc smilies, edituser avatar choose, findusersh
     DBLayerTrap�ˤ��SQL Injection����
-------------------------------- Quiet
16:  DoS, CRAWLER
32:  NullByte, ISOCOM, UNION
-------------------------------- quiet
64:  ../ �Ǥ��̤� 
128: SPAM
-------------------------------- full




