タグ: Ubuntu Page 1 of 12

カテゴリー: Linux

Apacheのアクセスログを調査するとき何かと使うのでメモです。

アクセスログからIPのみを抽出してカウント

 awk 'match($0,/[0-9]+\.[0-9]+\.[0-9]+\.[0-9]+/) { print substr($0, RSTART, RLENGTH) }' "/var/log/apache/access.log" | sort -u

表示例

3 xxx.xxx.xxx.xxx
2 yyy.yyy.yyy.yyy
1 zzz.zzz.zzz.zzz

と、煩雑なその他のログを探すことなく件数とIPをカウントします。

更にステータスコードも表示

awk 'match($0, /[0-9]+\.[0-9]+\.[0-9]+\.[0-9]+/) { ip = substr($0, RSTART, RLENGTH) } match($0, /" [0-9]{3} /) { status = substr($0, RSTART+2, 3); print ip, status }' /var/log/apache/access.log | sort | uniq -c | sort -nr

表示例

5 xxx.xxx.xxx.xxx 200
3 yyy.yyy.yyy.yyy 404
2 zzz.zzz.zzz.zzz 500

ステータスコードが入るので、アクセス制御の有無やそれを突破してきたIPも調べられます。

Apacheにmod_dosdetector 導入

By manualmaton

オン 2024年10月21日

カテゴリー: Linux

概要

過剰なWebクローラーによりサーバのパフォーマンスが落ちることがあるため、mod_dosdetectorを入れてみます。

mod_dosdetector は、Apache HTTP Server 用のモジュールで、DoS（Denial of Service）攻撃を検出し、対策を講じるためのものです。このモジュールは、特定のIPアドレスからの過剰なリクエストを監視し、しきい値を超えた場合にそのIPアドレスを一時的にブロックすることで、サーバーのリソースを保護します。

Ubuntu20.04サーバにApacheのDoS対策モジュール(mod_evasive)を導入。

Ubuntu 20.04にはこちらを入れましたが、

ufwとの連携でサーバに負荷がかかる
細かい設定が可能

ということで、こっちをUbuntu 24.04に入れてみます。

環境

Ubuntu 24.04
Apache 2.4
- Apache2-devがインストールされていることが前提です。

さっくりとした手順

gitでソースをダウンロードします。
Makefileを書き換えた上でインストールします。
設定ファイルを作成します。
設定を有効化し、Apacheを再起動します。

mod_dosdetectorのダウンロード

ソース格納ディレクトリに移動

cd /usr/local/src && pwd

自分の環境に合わせます。

git clone

sudo git clone https://github.com/stanaka/mod_dosdetector.git

展開したディレクトリに移動

cd mod_dosdetector && pwd

Makefileの書き換えとインストール

Makefile修正

デフォルトのMakefileは/usr/sbin/apxsとなっているため書き換えます。

sudo sed -i 's|^APXS=.*|APXS=/usr/bin/apxs|' Makefile

インストール

sudo make install

インストール確認

cat /etc/apache2/mods-available/dosdetector.load

LoadModule dosdetector_module /usr/lib/apache2/modules/mod_dosdetector.soと表示されます。

設定ファイル追加

参考: mod_dosdetectorを使ってみましょうよ。～挫折を乗り越え～

sudo tee /etc/apache2/mods-available/dosdetector.conf > /dev/null <<EOF
<IfModule dosdetector_module>
DoSDetection on
DoSPeriod 60
DoSThreshold 5
DoSHardThreshold 10
DoSBanPeriod 60
DoSTableSize 100
DoSIgnoreContentType ^(image/|application/|text/javascript|text/css)
</IfModule>
EOF

DoSDetection on
- 説明: DoS (Denial of Service) 検出を有効にします。
DoSPeriod 60
- 説明: DoS攻撃を検出するための監視期間を秒単位で指定します。
DoSThreshold 5
- 説明: DoS攻撃と見なすリクエストの閾値を指定します。
DoSHardThreshold 10
- 説明: より厳しい閾値を指定します。
- 60秒間に同一IPアドレスから10回以上のリクエストがあった場合、即座にそのIPアドレスをブロックします。
DoSBanPeriod 60
- 説明: DoS攻撃と見なされたIPアドレスをブロックする期間を秒単位で指定します。
DoSTableSize 100
- 説明: DoS検出のために保持するIPアドレスの最大数を指定します。
DoSIgnoreContentType ^(image/|application/|text/javascript|text/css)
- 説明: DoS検出から除外するコンテンツタイプを正規表現で指定します。

設定有効化とApache再起動

mod有効化

sudo a2enmod dosdetector

Webサービス再起動

sudo systemctl restart apache2.service

まずはこれで様子を見てみます。

Firefly-iiiのアップデート。(6.1.2→6.2.1)

By manualmaton

オン 2024年10月18日

カテゴリー: Firefly III, Linux

LAMP環境で動く財務管理システム、firefly-iiiを6.1.2→6.2.1にアップグレードしたときの手順メモです。

参考:Upgrade a self-managed server/Firefly III documentation

環境

Ubuntu 24.04
Apache 2.4
MySQL 8.0.39
PHP 8.3.12
Composer 2.7.9
firefly-iii 6.1.2

さっくりとした手順

DBのバックアップを取得します。
最新版のパッケージをダウンロードして展開します。
利用中のfirefly-iiiを待避させます。
待避させたfirefly-iiiからファイル/ディレクトリをコピーします。
アップグレードを行います。

DBのバックアップ

作業ディレクトリに移動

cd /hoge && pwd

任意の作業ディレクトリに移動します。

DBバックアップ

mysqldump --no-tablespaces --single-transaction -u username -h localhost -p database_name > DB_Backup.$(date +%Y%m%d).sql

usename、database_name、及びDB_Backupは自分の環境に合わせます。

バックアップ確認

head -100 DB_Backup.$(date +%Y%m%d).sql

バックアップができていること、平文でSQLが読めることを確認します。

パッケージ取得

作業ディレクトリに移動

cd /hoge && pwd

任意の作業ディレクトリに移動します。

wget

wget https://github.com/firefly-iii/firefly-iii/releases/download/v6.1.21/FireflyIII-v6.1.21.zip

ファイル所有者変更

sudo chown www-data:www-data FireflyIII-v6.1.21.zip

ファイル確認

ls -l FireflyIII-v6.1.21.zip

ファイルがあること、所有者がWebアプリ実行ユーザ(www-data)であることを確認します。

アップデート前のfirefly-iiiを待避

ディレクトリごと待避

sudo mv /home/www-data/firefly-iii /home/www-data/firefly-iii.$(date +%Y%m%d)

自分の環境に合わせます。firefly-iiiがインストールされているディレクトリをまるごと移動します。

待避確認

ls -ld /home/www-data/firefly-iii

→ ディレクトリが無いこと

ls -ld /home/www-data/firefly-iii.$(date +%Y%m%d)

→ ディレクトリがあること

アップデートパッケージの解凍と配置

解凍

sudo -u www-data unzip -o /hoge/FireflyIII-v6.1.21.zip -x "storage/*" -d /home/www-data/firefly-iii

/hogeは先ほど取得したパッケージがある場所です。アップデート前と同じ位置、名前に解凍します。

解凍・配置確認

ls -l /home/www-data/firefly-iii

ファイル一式があり、www-dataが所有者になっていること

アップデート前のファイル・ディレクトリをコピー

待避させたディレクトリに移動

cd /home/www-data/firefly-iii.$(date +%Y%m%d) && pwd

自分の環境に合わせます。

.envファイルをコピー

sudo cp -pi .env /home/www-data/firefly-iii/.env

コピー先のディレクトリは自分の環境に合わせます。

.envファイルコピー確認

ls -l /home/www-data/firefly-iii/.env

ファイルがあることを確認します。

storageディレクトリのコピー

sudo cp -pir storage /home/www-data/firefly-iii/

storageディレクトリのコピー確認

ls -l /home/www-data/firefly-iii/storage

ファイルやディレクトリがあることを確認します。

アップグレード

アップグレード後のディレクトリに移動

cd /home/www-data/firefly-iii && pwd

先ほど展開したディレクトリに移動します。

DBマイグレーション

sudo -u www-data php artisan migrate --seed

Yesが見えるようにして実行します。

一時複合化

sudo -u www-data php artisan firefly-iii:decrypt-all

アプリケーションキャッシュクリア

sudo -u www-data php artisan cache:clear

コンパイルされたビューのキャッシュクリア

sudo -u www-data php artisan view:clear

DBアップグレード

sudo -u www-data php artisan firefly-iii:upgrade-database

Laravel assportのキー生成

sudo -u www-data php artisan firefly-iii:laravel-passport-keys

アップグレード反映・確認

Webサービス再起動

sudo systemctl restart apache2.service

Webサービス再起動確認

systemctl status apache2.service

アップデート確認

アップデートを行ったfirefly-iiiサイトにブラウザでアクセスします。
ログインできることを確認します。
バージョンが上がっていることを確認します。
登録操作などができることを確認します。

アップデート後の処理:mysqldumpの削除

バックアップしたDBの削除

cd /hoge && pwd

mysqldumpを実行したディレクトリに移動します。

dump削除

rm DB_Backup.$(date +%Y%m%d).sql

バックアップ削除確認

head -100 DB_Backup.$(date +%Y%m%d).sql

ファイルが読めないことを確認します。

アップデート後の処理待避させたディレクトリの削除

削除前：待避ディレクトリ確認

ls -ld /home/www-data/firefly-iii.$(date +%Y%m%d)

ディレクトリがあることを確認します。（自分の環境に合わせます。）

待避させたディレクトリの削除

[ -d "/home/www-data/firefly-iii.$(date +%Y%m%d)" ] && sudo rm -rf "/home/www-data/firefly-iii.$(date +%Y%m%d)"

それぞれ、待避させたディレクトリであることを入念に確認してから行ってください。

削除前：待避ディレクトリ確認

ls -l /home/www-data/firefly-iii.$(date +%Y%m%d)

ディレクトリがないことを確認します。

Nextcloudのメンテナンス時に出てきたエラーに対処。

By manualmaton

オン 2024年10月17日

カテゴリー: Linux, nextcloud

環境

Ubuntu 24.04
Nextcloud 29.8
PHP 8.3
MySQL 8.0.39
Apache 2.4

警告内容

Nextcloudのメンテナンスのため、以下のコマンドを実行。

sudo -u www-data php occ maintenance:repair

この警告が出たので対処をしていきます。

WARNING: Failed to create filecache trigger (compatibility mode will be used): Anng a query: SQLSTATE[HY000]: General error: 1419 You do not have the SUPER privilege andmight* want to use the less safe log_bin_trust_function_creators variable)
WARNING: ffmpeg binary could not be configured

DBのトリガー修正

mysqlの設定ファイルのバックアップ

サーバの要となるサービスです。バックアップは確実に行ってください。

ファイルバックアップ

sudo cp -pi /etc/mysql/mysql.conf.d/mysqld.cnf /path/to/backup/directory/mysqld.conf.$(date +%Y%m%d)

任意のバックアップディレクトリを指定します。

ファイルのバックアップ確認

diff -u /path/to/backup/directory/mysqld.conf.$(date +%Y%m%d) /etc/mysql/mysql.conf.d/mysqld.cnf

エラーがなければバックアップは成功です。

設定ファイル書き換え

sedによるファイル書き換え

sudo sed -i '/\[mysqld\]/a log_bin_trust_function_creators = 1' /etc/mysql/mysql.conf.d/mysqld.cnf

書き換え後の差分確認

diff -u /path/to/backup/directory/mysqld.conf.$(date +%Y%m%d) /etc/mysql/mysql.conf.d/mysqld.cnf

差分

 [mysqld]
+log_bin_trust_function_creators = 1

設定反映

反映前のサービス確認

systemctl status mysql.service

active(running)を格納します。

サービス再起動

sudo systemctl restart mysql.service

反映後のサービス確認

systemctl status mysql.service

active(running)を格納します。

ffmgetのインストール

そもそもこのパッケージがインストールされていなかったので、

sudo aptitude install ffmpeg

として、パッケージをインストールします。

設定反映確認

Nextcloudのルートディレクトリに移動

cd /nextcloud/root/directory

自分の環境(/var/www/html/nextcloudなど)を指定します。

設定確認

sudo -u www-data php occ maintenance:repair

冒頭のエラーがなければOKです。

証明書-中間証明書の整合性を確かめるワンライナー。

By manualmaton

オン 2024年10月16日

カテゴリー: Linux

SSLサーバ証明書の発行/更新時のチェック方法のメモです。

今まではissuerとsubjectのハッシュ値が同じことを確認していましたが、より確実な方法を調べました。

前提

Let's Encryptのように、証明書と中間証明書が結合されている状態の証明書です。

コマンド

openssl crl2pkcs7 -nocrl -certfile /etc/certs/hoge.example.com.crt | openssl pkcs7 -print_certs -outform PEM | awk 'BEGIN {c=0;} /BEGIN CERTIFICATE/ {c++} { print > "cert" c ".pem"}' && openssl verify -CAfile cert2.pem cert1.pem

/etc/certs/hoge.example.com.crtは、サーバにある証明書をフルパスで指定します。

証明書をCRL（証明書失効リスト）を含めずにPKCS#7形式に変換。
PKCS#7形式からPEM形式で出力。
awkによって証明書と中間証明書に分解。
サーバ証明書と中間証明書を分割。

を含めています。

実行結果

openssl verify -CAfile cert2.pem cert1.pem
cert1.pem: OK

と出れば、cert1.pem（サーバ証明書）がcert2.pem（中間証明書）によって正しく署名されていることを示しています。

主なエラーの意味と対策

unable to get local issuer certificate

意味：中間証明書またはルート証明書が見つからないか、信頼されていない。
対策：CAファイルに必要な中間証明書とルート証明書が含まれていることを確認します。

certificate signature failure

意味：証明書の署名が無効であるか、改ざんされている可能性がある。
対策：証明書が正しく署名されていることを確認し、証明書ファイルが改ざんされていないかチェックします。

unable to verify the first certificate

意味：証明書チェーンの最初の証明書（通常はサーバ証明書）が検証できない。
対策：CAファイルに正しい中間証明書とルート証明書が含まれていることを確認します。

self signed certificate in certificate chain

意味：自己署名証明書が証明書チェーンに含まれている。
対策：自己署名証明書が適切に信頼されているか確認します。

AWS Lightsail → WebARENAへの移行完了。

By manualmaton

オン 2024年10月13日

カテゴリー: BookStack, Linux, nextcloud, redmine

はじめに

個人的に用いているVPSのコンテンツを、AWS LightsailからWebARENAへと移行完了。

今までUbuntu 20.04で動いていたサーバがUbuntu 24.04へと変わったことにより、Ubuntu 20.04のEOL対応を済ませたという形。

Redmine:『クーケン島観光ガイド』
- https://atelier.reisalin.com/
BookStack: 『Barrel Gazer』
- https://barrel.reisalin.com/

それぞれが、URLもそのままに、バージョンが上がった状態で表示されているという形です。

移行のきっかけ

Ubuntu 20.04のEOLが近づいてきた

これが一番の理由。Lightsailを最初に使い始めた頃は2022年5月だったので、まだ余裕があったのですが、そこから2年も経つとさすがに対応するしかないという形。

Lightsailにそのままインスタンスを移行させても良かったのですが

円安によるLightsail利用料高騰

という立ちはだかる壁があり、

4GB Memory
80 GB SSD

をもう一つ作り維持して行くには結構辛いものがありました。その上、

IPv4アドレスに追加料金

という更に手痛い値上げも発表されます。

迫るEOLに維持費の高騰、それをどうにかするために選んだのがWebARENAです。

WebARENAに切り替えた理由

利用費の安さ

https://web.arena.ne.jp/indigo

2024/10/12現在、

4vCPU
4GB Memory
80GB SSD

で月額1630円。（筆者がサインアップしたときは1年間有効のクーポン付きでした）

Lightsailの24USD/月より安価なのは魅力的でした。

キャリア運営による回線の安定。

今回はNextcloudを使うと決めているだけに、回線が安定しているキャリア（docomo)のvpsを利用しました。

移行が思ったよりスムーズだった理由

元からデータをクラウドストレージに保存していた

これが一番大きかったです。クラウドストレージWasabiをs3でマウントしていたために、他のサーバに画像を転送する必要すらありませんでした。

また、mysqldumpの転送も、同じようにs3経由で引っ張るだけです。

サービス構築のメモを最初に残していた

冒頭の外部サイトやこのブログに

うまくいった手順
ハマったこと
失敗した理由

など書いていたのが助かりました。手順を基本的にコピペで済むように済ませていたのも自賛する点です。

事前検証

検証: redmine 4.2のデータを別サーバに完全移行。

この検証のように、別サーバに移行することをやっていたのもまた助かりました。

今後

最小限構成でのLightsailの転用

とはいえ、「LightsailのDNS機能」が有用であるため、一番安いインスタンスを残しつつ他の用途に使っていきます。

Ubuntu 20.04で動いていた Redmine 4.2のデータを Ubuntu 24.04上のRedmine 5.1に移行。

By manualmaton

オン 2024年10月10日

カテゴリー: Linux, redmine

概要

Redmine 4.2 を動かしている Ubuntu 20.04 が2025年4月にEOLを迎えるため、Redmine 5.1 (Ubuntu 24.04)にリプレースをしました。

最初に

「この手順で上手くいった」という筆者のメモ書きです。
Rubyのバージョン違いなどで動かないプラグインがいくつかあります。代替手段は別途考慮してください。

動かなかったプラグインとワークアラウンド

redmine_knowledgebase です。

5.xで動くフォークを試したものの、rubyの兼ね合いで動きませんでした。

そのため、記事をこのBookStackに移行させています。

環境

移行前環境

Ubuntu 20.04
Redmine 4.2
Ruby 2.7
Apache 2.4
MySQL 8.0.39

移行後環境

Ubuntu 24.04
Redmine 5.1
Ruby 3.2
Apache 2.4
MySQL 8.0.39

さっくりとはならない手順

【移行先】空のRedmineを構築します。
【移行元】DBのダンプファイルを作成し、移行先に転送します。
【移行元】ファイル、メール設定ファイルなどを移行先に転送します。
【移行先】DBをリストアします。
【移行先】gemのアップデートを行います。
【移行先】移行元で稼働していたプラグインを入れていきます。
【移行先】動作確認を行います。
【移行元】移行元のredmineを停止します。
【移行先】必要に応じてDNSの切り替えと移行先のサイト設定を行います。

【移行先】Redmineを構築していきます。

こちらのページに従って、移行先のUbuntu 24.04サーバに、Redmineを構築していきます。
構築したてのRedmineのアカウントとパスワードは admin /admin なので、仮パスワードを設定しておきます。

【移行元】DBのダンプファイルを作成して転送します。

ディレクトリ移動

cd /hoge && pwd

任意のディレクトリを指定します。

ダンプファイル取得

mysqldump -h localhost -u redmine -p --no-tablespaces --single-transaction redmine > redmine_backup.$(date +%Y%m%d).sql

ユーザー名(-uの後)とDB名(>の前)は自分の環境に合わせます。

ダンプファイル内容確認

view redmine_backup.$(date +%Y%m%d).sql

SQL文が平文で読めることを確認します。

作成後、任意の安全な方法で移行先に転送します。

【移行元】各種ファイルを転送します。

以下のディレクトリやを任意の安全な方法で転送します。

/path/to/redmine/root/directory配下（移行前のRedmineルートディレクトリ）の

files ディレクトリ（添付ファイル一式）
config/configuration.yml ファイル(メール設定がある場合)
public/thme/配下のテーマディレクトリ

これらのファイルは転送後、移行後のRedmineに対応するディレクトリ/ファイルに、そのまま上書きます。

【移行先】DBのリストアを行います。

ダンプファイル格納ディレクトリに移動

cd /hoge && pwd

ダンプファイル確認

ls -l redmine_backup.$(date +%Y%m%d).sql

ファイルがあることを確認します。

DBリストア

mysql -h localhost -u redmine -p redmine < redmine_backup.$(date +%Y%m%d).sql

このときのパスワードは、「移行先のRedmineのDBユーザのパスワード」です。

Webサービス再起動

sudo systemctl restart apache2.service

Webサービス再起動後に

移行後のRedmineサイトが移行元と同じ見た目であること
ログインできること
プロジェクト一覧が見られること

までは確認しましたが、チケットを確認しようとすると

500 internal server error

が発生し、閲覧も編集もできない事態が発生しました。

【移行先】gemのアップデートを行います。

こちらの、チケット表示でinternal server errorを解消するため、

Has 500 Internal Server Error when upgrade 4.1.1 to 4.2.7, please help.
https://www.redmine.org/boards/2/topics/67435

この手順を追加します。

Redmineのルートディレクトリに移動

cd /path/to/redmine/root/directory && pwd

自分の環境に合わせます。

gem update

 sudo gem update

しばらく時間がかかります。

Webサービス再起動

sudo systemctl restart apache2.service

gemのアップデート後、今度はエラーが出ないことを確認です。

【移行先】各種プラグインを入れていきます。

移行前に動いていたプラグインを確認しながら、プラグインを入れていきます。

DBマイグレーション中にrake abortedが出た場合は、そのプラグインはRedmine/Rubyのバージョンが合わないので、動かないプラグインです。

【移行先】動作環境を行っていきます。

プラグインを入れながら、既存の機能（別のユーザーがログインできるか、アクセス権は合っているか、チケットの作成や更新ができるか）などを見ていきます。

【移行元】稼働していたRedmineサイトを停止します。

移行元のサーバにSSHログインし、

sudo a2dissite redmine.conf

redmine.confは自分の環境に合わせます。

で設定ファイルを無効化後、

Webサービス再起動

sudo systemctl restart apache2.service

として、稼働していた移行元のサイトにアクセスできないことを確認します。

【移行先】必要に応じてDNSの切り替えと移行先のサイト設定を行います。

これは、移行元でも同じURL（ドメイン）を使いたい場合の措置です。

DNS向き先変更

DNを利用して、ドメインを移行先のIPアドレスへと付け替えます。

各種DNSサービスによって異なるので、そちらを参照してください。

apacheバーチャルサイトの設定変更

/etc/apaches/site-available/redmine.conf (自分の環境に合わせます)

の以下の箇所を編集していきます。

<VirtualHost *:80>
servername hoge.example.com
# 今まで動いていたドメイン名

<VirtualHost *:443>
    ServerName hoge.example.com
# 今まで動いていたドメイン名

構文確認

sudo apache2ctl configtest

Syntax OKを確認します。

Webサービス再起動

sudo systemctl restart apache2.service

切り替え後

前と同じドメインで、新しいRedmineサイトにログインできる
（プラグインが廃止していなければ）同じ機能を使える

ことを確認できれば作業完了です。

移行後の処理

DB移行時に利用したダンプファイルを削除します。
時期を見て旧サーバのデータの削除を行います。

Ubuntu 24.04に設定したMod_Securityでファイルアップロードエラーを退避。

By manualmaton

オン 2024年10月4日

カテゴリー: redmine

事象

Redmineでクリップボードの画像を貼り付けようとした際、画像のアップロードができませんでした。

そこで、エラーログを確認したところ、以下のメッセージが表示されました。

ModSecurity: Request body no files data length is larger than the configured limit (131072). [hostname "redmine-url"] [uri "/uploads.js"] [unique_id "Zv0wom0FwSak1tXDUgFRLAAAAAw"], referer: https://redmine-url/issues/3

環境

Ubuntu 24.04
Apache 2.4
Mod_Security 2
Redmine 5.1

確認したこと

バーチャルサイトのMod_Securityの設定

SecRequestBodyInMemoryLimit 524288000
SecRequestBodyLimit 524288000

と、50MBはアップロードできるようになっています。

Redmineでアップロード可能なファイル容量

管理＞設定＞ファイルの「添付ファイルサイズの上限でも`51200KB`を確認。

Mod_Security Confファイル確認

`cat /etc/modsecurity/modsecurity.conf |grep Limit` の結果、以下を確認しました。

SecRequestBodyLimit 13107200
SecRequestBodyNoFilesLimit 131072
SecRequestBodyInMemoryLimit 131072
SecRequestBodyLimitAction Reject
SecRequestBodyJsonDepthLimit 512
SecPcreMatchLimit 100000
SecPcreMatchLimitRecursion 100000
SecResponseBodyLimit 524288
SecResponseBodyLimitAction ProcessPartial

原因

`/etc/modsecurity/modsecurity.conf`の設定がバーチャルサイトの設定にオーバーライドしたため、こちらの設定が上書きされた模様です。

これを変更していきます。

対応手順

ファイルバックアップの作成

sudo cp -pi /etc/modsecurity/modsecurity.conf /path/to/backup/directory/modsecurity.conf.$(date +%Y%m%d)

任意のバックアップディレクトリを指定します。

バックアップ作成確認

diff -u /path/to/backup/directory/modsecurity.conf.$(date +%Y%m%d) /etc/modsecurity/modsecurity.conf

バックアップできていること（差分がないこと）を確認します。

sedによる書き換え

sudo sed -i 's/SecRequestBodyNoFilesLimit 131072/SecRequestBodyNoFilesLimit 52428800/; s/SecRequestBodyInMemoryLimit 131072/SecRequestBodyInMemoryLimit 52428800/; s/SecRequestBodyLimit 13107200/SecRequestBodyLimit 52428800/' /etc/modsecurity/modsecurity.conf

ファイル書き換え確認

diff -u /path/to/backup/directory/modsecurity.conf.$(date +%Y%m%d) /etc/modsecurity/modsecurity.conf

以下の差分を確認します。

-SecRequestBodyLimit 13107200
-SecRequestBodyNoFilesLimit 131072
+SecRequestBodyLimit 52428800
+SecRequestBodyNoFilesLimit 52428800
 
 # Store up to 128 KB of request body data in memory. When the multipart
 # parser reaches this limit, it will start using your hard disk for
 # storage. That is slow, but unavoidable.
 #
-SecRequestBodyInMemoryLimit 131072
+SecRequestBodyInMemoryLimit 52428800

設定反映

sudo systemctl restart apache2.service

書き換え後、無事にファイルのアップロードができることを確認しました。

Mod_Securityの連携。(検知した怪しい挙動とtor出口リストをブロックする)

By manualmaton

オン 2024年9月23日

カテゴリー: Linux

個別に走らせていたスクリプトを1つにまとめました。

前提

Apache / Mod_Security導入済み
サイトのログローテーションが毎日であること

スクリプト

スクリプトの動き

Tor出口リストを公式からダウンロードします。
このリストからIPアドレスだけを抽出します。
変数に従ってエラーログからMod_Securityが検知したIPアドレスだけを抽出します。
これらをMod_Securityのnegativelistに入れ、以下のサイトアクセスを丸ごと弾きます。
- Tor出口リストに登録されているIPアドレス
- Mod_Securityが検知したIPアドレス
自分の偽陽性を防ぐため、自分のゲートウェイなどのIPアドレスからのアクセスは除外します。
リストを反映させるためApacheを再起動します。

スクリプト内容

#!/bin/bash
# このスクリプトは、Tor出口ノードリストをダウンロードし、特定のログファイルからIPアドレスを抽出して処理します。
# 使い方: このスクリプトを実行することで、最新のTor出口ノードリストを取得し、ログファイルから抽出したIPアドレスと照合します。
# 結果は指定されたディレクトリに保存され、Apacheが再起動されます。
# cronでの指定例: 毎日午前2時に実行する場合 -> 0 2 * * * /path/to/this_script.sh

# === 変数の定義 ===

# 出口ノードリストのURL
TOR_EXIT_LIST_URL="https://check.torproject.org/exit-addresses"

# ダウンロード先ファイル名
OUTPUT_FILE="/hoge/script/log/node_list/exit_nodes.$(date +%Y%m%d).txt"

# 各サイトのログディレクトリ
log_dirs=("/var/log/bookstack")  # 各サイトのログディレクトリを指定

# エラーログファイル名
log_file="bs_error.log"

# Tor出口ノードリストのディレクトリ
tor_list_dir="/hoge/script/log/sorted_list"  # tor_list.txtのディレクトリを指定

# Tor出口ノードリストのファイル名
tor_list_file="sorted_ip_addresses$(date +%Y%m%d).txt"

# 除外するIPアドレスをファイルで指定
exclude_ips_file="/hoge/script/log/exclude_ips.txt"

# 共通の出力ログディレクトリ
output_log_dir="/hoge/script/log"

# === Tor出口ノードリストのダウンロードと処理 ===

# curlを使用してリストをダウンロード
curl -o "$OUTPUT_FILE" "$TOR_EXIT_LIST_URL" >/dev/null 2>&1

# ダウンロードが成功したかどうかを確認
if [ $? -eq 0 ]; then
echo "Tor出口ノードリストをダウンロードしました。ファイル: $OUTPUT_FILE"
else
echo "ダウンロード中にエラーが発生しました。"
exit 1
fi

# IPアドレスのみを抽出し、ソートして出力
awk '/^ExitAddress/ {print $2}' "$OUTPUT_FILE" | sort -u | tee "$tor_list_dir/$tor_list_file" >/dev/null 2>&1

# === 各サイトのエラーログからIPアドレスを抽出して処理 ===

for log_dir in "${log_dirs[@]}"; do
cd "$log_dir"
awk '/ModSecurity/ && match($0,/[0-9]+\.[0-9]+\.[0-9]+\.[0-9]+/) { print substr($0, RSTART, RLENGTH) }' "$log_file" | sort -u > "$output_log_dir/suspicious_ip/suspicious_ip.$(date +%Y%m%d)"
done

# 過去のIPアドレスを読み込んで重複を排除し、ファイルに保存
cat "$output_log_dir/suspicious_ip/suspicious_ip."2* | sort -u > "$output_log_dir/suspicious_ip_all.txt"

# 新たにリストに書き起こすと同時に別のログファイルを読み込んで重複を排除し、negativelist.txtに追加
cat "$output_log_dir/suspicious_ip_all.txt" "$tor_list_dir/$tor_list_file" | sort -u > "$output_log_dir/negativelist.txt"

# 除外するIPアドレスをファイルから削除
while IFS= read -r exclude_ip; do
sed -i "/$exclude_ip/d" "$output_log_dir/negativelist.txt"
done < "$exclude_ips_file"

# Apacheを再起動
systemctl restart apache2.service

スクリプトの他に用意するもの

exclude_ips.txt

192.168.0.1
nnn.nnn.nnn.nnn

など、エラーログから除外したいIPアドレスのリストを作ります。

バーチャルサイトの編集

/etc/apache2/site-available 配下のバーチャルサイトの設定ファイルを以下のように追記します。

    # Mod_Security設定
    SecRuleEngine On

    SecRule REMOTE_ADDR "@pmFromFile negativelist.txt" "phase:1,id:2,deny,msg:'Negativelisted IP address'"

スクリプトが生成したファイルへのシンボリックリンク

sudo ln -sf /hoge/script/log/negativelist.txt /etc/apache2/sites-enabled/negativelist.txt

cron設定

sudo crontab -e -u root

として、

0 2 * * * /path/to/this_script.sh

等と設定すれば、毎日2時に、その日に検知した怪しい動きをシャットダウンしてくれます。

Linuxサーバの履歴を追いやすくする設定。

By manualmaton

オン 2024年9月19日

カテゴリー: Linux

初期設定の機会が多くなったので、改めてメモをします。

「いつ、どのような操作をしたか」を追いやすくするために以下の設定を行います。

sudo tee -a /etc/profile.d/history.sh > /dev/null << 'EOF'
export HISTSIZE=50000
export HISTFILESIZE=50000
export HISTTIMEFORMAT='%Y/%m/%d %H:%M:%S '
EOF

全ユーザーでhistoryコマンドの履歴を5万行に引き上げます。
コマンド実行した日付を記載します。

設定後、新しいシェルセッションを開始するか、

source /etc/profile.d/history.sh

を実行することで上記が反映されます。

設定後、

history

実行後、

 1964  2024/09/17 15:12:18 cd /mnt/wasabi/
 1965  2024/09/17 15:12:19 ll
 1966  2024/09/17 15:12:24 cd redmine/
 1967  2024/09/17 15:12:24 ll
 1968  2024/09/17 15:12:27 cd files/
 1969  2024/09/17 15:12:27 ll
 1970  2024/09/17 15:12:31 pwd
 1971  2024/09/17 16:27:20 cd 
 1972  2024/09/17 16:27:24 sudo aptitude update
 1973  2024/09/17 16:28:35 sudo aptitude upgrade
 1974  2024/09/17 16:30:23 sudo reboot
 1975  2024/09/17 16:33:05 df -h
 1976  2024/09/17 17:25:47 cd script/
 1977  2024/09/17 17:25:47 ll

のように、日付と時間入りでコマンド操作履歴が表示されます。

2024年10月
月	火	水	木	金	土	日
	1	2	3	4	5	6
7	8	9	10	11	12	13
14	15	16	17	18	19	20
21	22	23	24	25	26	27
28	29	30	31