回答編集履歴
1
コメントへの回答を追記しました
answer
CHANGED
|
@@ -18,4 +18,24 @@
|
|
|
18
18
|
> ③上記②が不可能な場合、IPアドレスの偽装をチェックしてアクセスを防ぐなどの方法は可能でしょうか？
|
|
19
19
|
|
|
20
20
|
IPアドレスの偽装チェックは、TCP/IPのレイヤーでなされているので、アプリケーション側では不要だし、偽装のチェックをアプリケーションで実装することは難しいと思います。大昔にはTCP/IPでIPアドレスの偽装ができた時代がありましたが、これはTCPの脆弱性として修正されています。UDPの場合は、IPアドレスの偽装は容易なので、上位レイヤーで対策する必要があります。HTTPはTCPなのでIPアドレスは信頼できると考えてよいかと思います。
|
|
21
|
-
もっとも、TCPの場合でも、利用者とウェブサーバーの通信経路上の端末であればIPアドレスは偽装できますが、その状況は通常想定しなくてもよいでしょう。
|
|
21
|
+
もっとも、TCPの場合でも、利用者とウェブサーバーの通信経路上の端末であればIPアドレスは偽装できますが、その状況は通常想定しなくてもよいでしょう。
|
|
22
|
+
|
|
23
|
+
---
|
|
24
|
+
|
|
25
|
+
コメントへの回答を追記します。
|
|
26
|
+
|
|
27
|
+
> ①現状、当該PHPファイルへのリンクは、自社で提供しているクライアントソフト（exe）から、HTTPS通信で情報を送信しているところだけです。その場合、HTTPSでもリンク先がわかってしまうものでしょうか。
|
|
28
|
+
|
|
29
|
+
通信からはリンク先URLはわかりません。通信先のIPアドレスとホスト名はわかりますが、URLのパス名はわかりません。
|
|
30
|
+
しかし、exeそのものを解析されたりすると、わかる可能性が高いと思います。
|
|
31
|
+
|
|
32
|
+
> ②ウェブサーバーはIP制限されているため、外部の侵入はあまり考えられません。今一番可能性があるのは「ディレクトリリスティングが有効になっていた」ということだと思っているのですが、無効になる場合はどんなケースなのでしょうか？
|
|
33
|
+
|
|
34
|
+
端的にいうと設定が間違っている場合です。以下のように書かれていますが…
|
|
35
|
+
|
|
36
|
+
> ①ドキュメントルートの.httaccessに下記の記述があります。
|
|
37
|
+
> Options -Indexes
|
|
38
|
+
> DirectoryIndex index.html index.php
|
|
39
|
+
|
|
40
|
+
.httaccessではなくて、.htaccess ですね。質問時のタイプミスかもしれませんが、仮にサーバー上でもファイル名が間違っていると、この設定は有効になりません。
|
|
41
|
+
あるいは、httpd.conf側で AllowOverride None などの設定があると、.htaccess があっても無視されます。
|