Related posts:

1. Sociable Pluginを導入 + はてなボタンを追加
2. AWStatsに脆弱性が発見されました？
3. AWStats Ver.6.95完全日本語版完成間近

主なポイントとしては、

• 設定ファイル(awstats.[servername].conf)の完全日本語化
• 一部残っている英語を日本語化し、かつ全体的に”自然な”日本語になるように修正
• 検索語をAWStats本体の機能に依存しないで独自にデコード(誤爆があるようですが…)
• 日本の検索エンジン(gooとか)やブラウザ(Sleipnir, Lunascape)の検知機能追加
• AWStats 7.0 Betaで追加されたWindows 7検知機能を追加(実際はWindows Server 2008を読み替えているだけみたいですが…)
• 画面の表示上の最適化

などとなっています。

近日中に公開する予定です(Ver.7.0はベータからなかなか動きませんし…)。

Related posts:

1. AWStatsに脆弱性が発見されました？
2. AWStats Ver.6.95 完全日本語版
3. Sociable Pluginを導入 + はてなボタンを追加

以下、JVNに掲載された内容を一部引用します。

AWStats には、設定ファイルディレクトリを指定する際に、”\\” の処理に起因する脆弱性が存在します。これにより、攻撃者はネットワーク上に存在する任意の設定ファイルを指定することが可能です。

これだけでも気が付く人は気が付いたと思いますが、実はそれほど重大な問題ではありません。大元のUS Certの記事の一部を引用しますが、

An attacker can instruct the web server to load a malicious configuration file located on a malicious SMB file share. The malicious configuration file can contain arbitrary commands to be run on the vulnerable remote server as the web service account.

要するに、”ネットワーク上に存在する任意の設定ファイル”といってもSMB file share、いわゆるWindows共有上にある設定ファイルに限定されるため、影響は非常に限定的であるといえるでしょう。細かく言うと、AWStatsが動作しているサーバがWindows共有があるネットワーク上に属し、そのサーバがWindowsもしくはSambaが動作しているUNIX系のサーバで、更にその同一Windows共有上に不正な設定ファイルを置いてそれを指定しない限りは、悪用はできないということになります。

Workaround(回避策)としてAWStats 7.0を利用することと書かれていますが、7.0は現時点でベータ版ですし、上記の条件に合致しない限りは、特に気にする必要はないと思います。

Related posts:

1. AWStats Ver.6.95完全日本語版完成間近
2. APC (Alternative PHP Cache) の導入
3. Nexus Sをドコモで利用する際の制約

原因究明のきっかけとなったのが、別件で検索した時にたまたま引っかかった“教えて! 宅ファイル便”のこのページでした。

要するに、mod_deflateを利用してサーバ側でコンテンツの圧縮を行っている場合は、圧縮ファイルはそのターゲットから外さないと、二重圧縮になっておかしなことになる、ということでした。この投稿を参照して、関連個所の記述に赤文字の行を追加したところ、問題が解決したように見えました。

SetOutputFilter DEFLATE
BrowserMatch ^Mozilla/4 gzip-only-text/html
BrowserMatch ^Mozilla/4\.0[678] no-gzip
BrowserMatch \bMSI[E] !no-gzip !gzip-only-text/html
SetEnvIfNoCase Request_URI \.(?:gif|jpe?g|png)$ no-gzip dont-vary
SetEnvIfNoCase Request_URI \.(?:zip|gz)$ no-gzip dont-vary
Header append Vary User-Agent env=!dont-vary

二重に圧縮されても、原理的には問題なさそうな気がするのですが…
とりあえず問題は解決したので良しとします。

No related posts.

プラグインを含めて色々な手段があることはすぐにわかりましたが、その中で気になったのが以下のページで紹介されているAPC(Alternative PHP Cache)でした。

WordPress を高速化する5つの方法 | Sun Limited Mt.:

簡単に言えば毎回毎回生成されるPHPの中間コードをキャッシュすることにより高速化を目指すというもので、PHPで書かれたコードであればWordpressに限らずあらゆる場面で効果があります。

PHPの拡張として動作するため、レンタルサーバなどでは取りにくい対策ではありますが、逆に言えば自宅サーバならではの対策とも言えるため、まずはこちらをやってみることにします。導入については、上に紹介したページからリンクされているこのページを参考にしました。

ちなみに、環境は以下の通りです。

# uname -a
Linux www.starplatinum.jp 2.6.18-164.el5 #1 SMP Thu Sep 3 03:33:56 EDT 2009 i686

# /usr/sbin/httpd -V
Server version: Apache/2.2.3
Server built:   Sep  3 2009 17:38:51
Server’s Module Magic Number: 20051115:3
Server loaded:  APR 1.2.7, APR-Util 1.2.7
Compiled using: APR 1.2.7, APR-Util 1.2.7
Architecture:   32-bit
Server MPM:     Prefork
threaded:     no
forked:     yes (variable process count)
Server compiled with….
-D APACHE_MPM_DIR=”server/mpm/prefork”
-D APR_HAS_SENDFILE
-D APR_HAS_MMAP
-D APR_HAVE_IPV6 (IPv4-mapped addresses enabled)
-D APR_USE_SYSVSEM_SERIALIZE
-D APR_USE_PTHREAD_SERIALIZE
-D SINGLE_LISTEN_UNSERIALIZED_ACCEPT
-D APR_HAS_OTHER_CHILD
-D AP_HAVE_RELIABLE_PIPED_LOGS
-D DYNAMIC_MODULE_LIMIT=128
-D HTTPD_ROOT=”/etc/httpd”
-D SUEXEC_BIN=”/usr/sbin/suexec”
-D DEFAULT_PIDLOG=”logs/httpd.pid”
-D DEFAULT_SCOREBOARD=”logs/apache_runtime_status”
-D DEFAULT_LOCKFILE=”logs/accept.lock”
-D DEFAULT_ERRORLOG=”logs/error_log”
-D AP_TYPES_CONFIG_FILE=”conf/mime.types”
-D SERVER_CONFIG_FILE=”conf/httpd.conf”

# /usr/bin/php -v
PHP 5.1.6 (cli) (built: Apr  7 2009 08:00:04)
Copyright (c) 1997-2006 The PHP Group
Zend Engine v2.1.0, Copyright (c) 1998-2006 Zend Technologies

まず、おもむろにpecl経由でAPCの導入を試みます。

# pecl install APC

しかし、参考ページと同じく、”phpizeがない”とエラーが出ます。そちらではそこであきらめてソースからコンパイルしていますが、同じことをやっても芸がないので、少しだけ追いかけてみます。

少しGoogle先生に聞いてみたらすぐに回答に辿り着きました。どうやら、php-develパッケージを入れればいい模様なので、yum経由でインストール。

# yum install php-devel.i386

再度上のコマンドを叩くと、今度はapxsがないと言って怒られます。こちらもすぐにGoogleで対策が見つかったので、httpd-develパッケージを同じくyumでインストール。

# yum install httpd-devel

本来であれば、Apacheのコンパイル時にapxsが有効になっていることを確認する必要がありますが、何も考えずにapxsを入れたら通ったので、いいことにします。これでAPC本体のインストールが完了しました。

続いて、APCを有効にする設定を行います。これも簡単で、以下の1行を/etc/PHP.iniに追加するだけです。場所はどこでもいいと思いますが、下の場所に入れるのが美しいでしょう。

;;;;;;;;;;;;;;;;;;;;;;
; Dynamic Extensions ;
;;;;;;;;;;;;;;;;;;;;;;
;
; If you wish to have an extension loaded automatically, use the following
; syntax:
;
;   extension=modulename.extension
;
; For example:
;
;   extension=msql.so
;
; Note that it should be the name of the module only; no directory information
; needs to go here.  Specify the location of the extension with the
; extension_dir directive above.

extension=apc.so

あとはhttpdの再起動を行って、動作を確認するだけです。
phpinfo()のみを書いたPHPファイル(通常phpinfo.phpという名前になります)用意してアクセスすれば、APCが有効になっているかどうかわかります。私の環境でアクセスしたところ、

こんな感じで確認できました。
最適化は何もしていない状態なので、設定値はすべてデフォルトのままです。

なお、APC導入時に/usr/share/pearに入るapc.phpをWebサーバで表示できるパスに置いてアクセスすることにより、Web経由でキャッシュのヒット状況など現状の確認ができるようになります。また、apc.phpを編集することにより、管理業務的な作業も実施できるようになります。

管理業務を行うためには基本的にログインが必要となりますので、apc.phpを編集してパスワードを設定する必要があります。認証不要で管理画面にアクセスできるように設定することも可能ですが、外部からのアクセスがない環境などを除けば、そのように設定するべきではありませんので、注意してください。

コンテンツが少ないうえに、自宅サーバとしてはかなり贅沢な環境で回しているので、正直効果は体感できませんでした….と書くことになるかと思ったら、意外にも体感できるレベルで速度が向上しました！

記事を書く時や管理画面にアクセスする時など、現状ではこのサーバの最大のヘビーユーザは自分になるわけですが、投稿のプレビューや記事間の移動のスピードが明らかに向上しました。

導入可能な環境でWordPressを運用しているのであれば、マイナスはないのでとにかく入れてみることをお勧めいたします。驚くほどパフォーマンスが向上するかもしれませんよ？

Related posts:

1. WebkeepersのVPSにWordPressを導入
2. ローカルアクセスをログから除外する
3. AWStats Ver.6.95完全日本語版完成間近

AWStatsであれば、設定でそのようなアクセスを統計から除外することもできますが、Apache側の設定でログを取得しないように設定することができます。してみたところ、気分的にかなり快適になりました。

設定は非常に簡単で、デフォルトで以下のように書かれている設定を、

CustomLog logs/access_log combined

以下のように書き換えるだけです。

SetEnvIf Remote_Addr 192.168.0. no_log
CustomLog logs/access_log combined env=!no_log

見れば一目瞭然ですが、リモートアドレスが192.168.0.0/24なアクセスを”no_log”という名前で環境変数として設定しておき、それに合致しないログを記録する、ということになります。

SetEnvIfのリファレンスマニュアルはこちら。

Related posts:

1. AWStats Ver.7.0 完全日本語版
2. Sociable Pluginを導入 + はてなボタンを追加
3. APC (Alternative PHP Cache) の導入