ExtendedStatus

[Tobster]

Hallo,

ich habe folgendes Problem. Ich möchte ExtendedStatus aus on setzen, aber beim restart vom Apache kommt

ExtendedStatus not allowed here

So sieht die Konfiguration aus

<Location /server-status>
    SetHandler server-status
    ExtendedStatus On
    Order deny,allow
   Deny from all
    Allow from 127.0.0.1
</Location>

Wo liegt mein Denkfehler?

Anderes Thema: Bereite ich mir durch das Anschalten größere Sicherheitsprobleme? Geht die Performance runter?

 

[djrick]

Wo liegt mein Denkfehler?

Zieh das "ExtendedStatus On" mal aus dem "location"-Tag heraus und setz es davor.

Bereite ich mir durch das Anschalten größere Sicherheitsprobleme? Geht die Performance runter?

Nein und nein

 

[Tobster]

Ok jetzt geht es.

 

[Huschi]

Sorry, DJrick!

Bereite ich mir durch das Anschalten größere Sicherheitsprobleme?

Nein, solange Du es auf localhost beschränkst.
Ja, sobald Du es dauerhaft für alle frei gibst.

Geht die Performance runter?

Ja, sobald Du diese dauerhaft abfragst. Jeder Request zieht erheblich viel Last.

huschi.

 

[djrick]

Nur mal aus reiner Neugier:
Mein Status wird jede Minute abgefragt. Von einem fernen Rechner, also nicht localhost. Ich merk aber keinen Performanceunterschied?!

 

[Huschi]

Dann schau doch mal welche Informationen Apache bei ExtendedStatus ausspuckt. Diese Informationen liegen nicht in einer "zentralen Datenbank" bereit, sondern müssen von jedem Client einzeln abgefragt werden.
Die Performance hat sich zwar in der 2er Version verbessert, aber es zieht immer noch Last.

huschi.

 

[Tobster]

Nein, solange Du es auf localhost beschränkst.
Ja, sobald Du es dauerhaft für alle frei gibst.

Was kann jemand mit den Informationen anfangen bzw. anstellen? Nachdem es jetzt geht habe ich es mir toller vorgestellt bevor ich es hatte. Hilfreich ist es schon, aber was damit gemacht werden kann um den Server zu penetrieren weiß ich nicht so recht.

 

[Huschi]

aber was damit gemacht werden kann um den Server zu penetrieren weiß ich nicht so recht.

Ganz einfach: Ein "Penetrator" kann direkt seinen Erfolg erkennen/messen/steuern.
Er kann aus den Werten Deine Server-Einstellungen erahnen und entsprechend gezielter angreifen.

huschi.

 

[Tobster]

Von der Seite habe ich das noch gar nicht gesehen.

Den nächsten Kommentar gar nicht erst ignorieren. So was sollte man bei Frauen auch einbauen.