Tag: options

Apache 的 Optionsbleed

Apache 也出了類似 Heartbleed 的包：「Apache bug leaks contents of server memory for all to see—Patch now」，原文出自「Optionsbleed - HTTP OPTIONS method can leak Apache's server memory」。

這掛上 CVE-2017-9798 了，影響版本包括了：

This affects the Apache HTTP Server through 2.2.34 and 2.4.x through 2.4.27.

發生在對 OPTIONS 處理出問題：

Optionsbleed is a use after free error in Apache HTTP that causes a corrupted Allow header to be constructed in response to HTTP OPTIONS requests. This can leak pieces of arbitrary memory from the server process that may contain secrets. The memory pieces change after multiple requests, so for a vulnerable host an arbitrary number of memory chunks can be leaked.

就... 更新吧 @_@

Google Chrome 停用平滑捲動

因為把 JavaScript 開回來了，所以有這個困擾... :(

Google Chrome 的平滑捲動可以透過 chrome://flags 裡面的設定關閉 (OS X 上則是透過系統設定關閉)，但就是有不少網站會很雞婆，用 JavaScript 模擬平滑捲動，所以就花了時間把 extension 寫出來：「Stop Smooth Scrolling」。

由於大多數平滑捲動的作法都是透過對 document 或是 window 上掛上與平滑捲動相關事件做到的，所以我是透過 addEventListener() 與 useCapture flags，然後再用 preventDefault() 擋下後續的處理。

這樣做會有一些問題，其中比較明顯的是地圖類功能的滾輪會失效，這個部分我先放進預設的白名單了，如果有其他的問題，除了可以自己加以外，也可以開 ticket 讓我加進預設清單 :o

實際運作起來大概是這樣：

Anyway，寫這個還蠻有趣的，玩了不少新東西：

HTTP Header 裡與安全相關的 Header 的分析...

還是在 Zite 上看到的，對最大的一百萬個網站分析與安全有關的 HTTP Header：「Security Headers on the Top 1,000,000 Websites: November 2013 Report」。

數字大致上都有增加，不過對我來說的重點在於有列出所有與安全有關的 HTTP Header...

可以看到有這幾個：

  • Access-Control
  • Content-Security-Policy
  • Strict-Transport-Security
  • X-Content-Security-Policy
  • X-Frame-Options
  • X-Webkit-CSP

剛好可以拿來 review 設定...

FreeBSD 引入 OptionsNG 後 ports.conf (portconf) 的轉換

以 www/apache22 為例子，本來 /usr/local/etc/ports.conf 內是這樣：

www/apache22: WITH_MPM=worker

引入 OptionsNG 後增加了不少檢查。其中因為 WITH_MPM=worker 的關係，需要把 CGID 打開，並且關掉 CGI。以前的寫法是 WITH_CGID=yes + WITHOUT_CGI=yes 就好，現在要改成：

www/apache22: OPTIONS_SET=CGID | OPTIONS_UNSET=CGI | WITH_MPM=worker

這樣就可以繼續用 ports.conf 管了... 不過還是有些地方要解決 (像是 WITHOUT_X11=yes 這種設定要怎麼轉到 OptionsNG 架構)，看起來得想辦法讓 portconf 可以吃更多形式？