ウェブサーバー — Arcivéo

リクエスト、応答コード、よく現れるアドレス。ウェブサーバーのアクセスログから読み取ります。

24時間 7日

リクエスト

16,800

RPS

0.03

エラーの割合

7.4%

5xx

送信量

273.7 MB

ソース：/var/log/nginx/access.log。ログは末尾のみを読み取るため、長い期間は一部しか含まれないことがあります。 · 対象範囲: 04.10 22:27 → 11.10 22:27

時間ごとのリクエスト

応答コード

2xx14,045 · 83.6%

3xx1,512 · 9%

4xx1,176 · 7%

5xx67 · 0.4%

多いアドレス

/ru/	2,856
/ru/index.php	1,512
/assets/css/app.css	1,344
/favicon.ico	1,176
/login.php	924
/ru/security_monitor.php	756
/ru/system_metrics.php	588
/assets/js/app.js	588
/sw.js	420
/api/status.php	336

多い IP

203.0.113.20	1,848
198.51.100.11	336
198.51.100.12	302
198.51.100.13	269
198.51.100.14	235
198.51.100.15	202
198.51.100.16	168

多いエラー

404 /wp-login.php	2,184
404 /.env	1,596
404 /phpmyadmin/	1,008
403 /admin/config.php	588
404 /.git/config	420

クライアント

Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36	3,444
Mozilla/5.0 (Macintosh; Intel Mac OS X 10_15_7) AppleWebKit/605	1,596
Mozilla/5.0 (compatible; Googlebot/2.1; +http://www.google.com	1,008
curl/8.5.0	672
python-requests/2.31.0	504

既知の脆弱性を狙った試行 7

ログ内で既知のエクスプロイトに一致するリクエストと、それぞれがこのサーバーで成功しうるかどうか。

CVE	対象	試行回数	IP	最終	影響の有無
CVE-2017-9841	PHPUnit eval-stdin.php: コード実行	84	5	11.10 21:58	影響なし: ファイルが存在しません (応答 404)
CVE-2024-4577	Windows 上の PHP-CGI: コード実行	54	3	11.10 21:00	影響なし: Windows 上の PHP-CGI のみ
CVE-2021-3129	Laravel Ignition: コード実行	36	2	11.10 19:43	影響なし: ファイルが存在しません (応答 404)
CVE-2018-13379	FortiGate SSL VPN: ファイル読み取り	24	2	11.10 18:28	影響なし: ネットワーク機器または別プラットフォームの脆弱性
CVE-2023-1389	TP-Link Archer ルーター: コマンド実行	18	1	11.10 16:37	影響なし: ネットワーク機器または別プラットフォームの脆弱性
CVE-2012-1823	PHP-CGI: クエリ文字列経由のコード実行	12	1	11.10 13:17	影響なし: PHP 5.4.2 で修正済み、このサーバーは PHP 8.3
CVE-2014-6271	Bash (Shellshock): コード実行	12	1	11.10 09:23	影響なし: bash は 2014 年に修正済み

Web サーバーの堅牢化

このサーバー上の各サイトの訪問者が受け取る内容です。サーバー自身へのリクエストで確認し、10 分ごとに更新します。

応答に含まれる Web サーバーのバージョンnginx

応答に含まれる PHP のバージョン非表示

TRACE メソッド無効

サイト	HSTS	X-Frame-Options	X-Content-Type-Options	Referrer-Policy	Permissions-Policy	CSP
example.com
shop.example.com						Report-Only
app.example.com						—

黄色は追加すべきヘッダー、灰色は推奨ヘッダーです。 CSP は 1 行では有効にできません。ポリシーはサイトごとに作る必要があり、そうしないとサイト自身のスクリプト、スタイル、フォントが読み込めなくなります。Report-Only は監視モードのポリシーです。

不足分は 1 つのコマンドで追加できます。conf.d に別ファイルを作り、nginx -t の後にのみ再読み込みします。独自の add_header を持つ server ブロックでは共通行が無視されるため、そのブロックにも追加してください。

sudo tee /etc/nginx/conf.d/zz-arciveo-hardening.conf >/dev/null <<'EOF' && sudo nginx -t && sudo systemctl reload nginx
add_header Referrer-Policy "strict-origin-when-cross-origin" always;
add_header Permissions-Policy "geolocation=(), camera=(), microphone=()" always;
EOF

デモモード