Newsgroup: it.comp.www.php
Titolo: per esperti sicurezza, sito sotto attacco?

Salve a tutti, ho un sito in php e database mysql e da ieri sto avendo 
strani problemi.
Vi descrivo la vicenda, crosspostata anche su un altro ng, in attesa di 
spiegazioni dai piï¿œ esperti in sicurezza informatica.
Ho un pacchetto di hosting con 10GB di banda traffico mensile e 500MB di 
database e una media di 400 visitatori al giorno. Fino a oggi nessun 
problema e un impiego di banda mensile pari a 5-6GB max (fino a dicembre).
Ieri mattina vado sul sito e lo trovo offline, il plesk alle 7.20 circa 
del mattino mi notifica che ha superato il limite di banda e da 10GB 
consentiti ï¿œ stato oscurato automaticamente avendo raggiunto i 10.9GB.
Chiamo il provider e mi dicono che devo raddoppiare la banda. Ok chiedo 
l'aumento e l'assistenza tecnica nel frattempo mi rimette online il sito 
dandomi un extra di 2GB in attesa dell'ampliamento della banda a 20gb di 
traffico mensile.
Le modifiche tardano ad arrivare e stamane il sito ï¿œ di nuovo offline, 
ha superato i 2GB extra che mi avevano dato e cosa singolare ï¿œ andato 
offline alla stessa ora (minuto piï¿œ, minuto meno) di ieri!
Ieri l'assistenza mi aveva detto che non risultavano irregolaritï¿œ dai 
logs ma oggi ho chiesto di effettuare un controllo piï¿œ approfondito...
Che ne pensate?
Come posso scoprire se qualcuno sta usando il mio sito per spam, 
leeching o altro o lo sta semplicemente facendo collassare volutamente?
Mi rendo conto che ï¿œ una insinuazione cattiva ma non potrebbe essere lo 
stesso provider che per farmi spendere sta facendo sto giochetto? Da 
dove potrei scoprirlo???
Avete avuto esperienze simili? Voi che fareste o a quale causa pensereste?
Ho paura che non appena la banda nuova da 20gb sarï¿œ attiva mi venga 
bruciata in poche ore!
Grazie a chiunque mi risponde.
Mirko

Forse google ti ha messo in prima pagina e hai triplicato i
visitatori ;)
Scherzi a parte, potrebbe essere qualche scratcher che legge il tuo
sito, estrapola le informazioni che gli servono, e le salva nel suo
db, per poi pubblicarle/venderle su altri siti.
L'unica è controllare i log delle connessioni, se vedi che ci sono
indirizzi IP che si comportano in modo strano, bannali.
Poi bisognerà configurare il server per far si che auto-banni gli ip
che si comportano in modo strano, ma se sei su uno shared hosting non
credo te lo lascino fare.
Cmq, valuta anche di cambiare hosting, ormai ci sono anche quelli
economici che non mettono alcun limite di banda (al massimo il sito ti
rallenta, ma almeno non viene 'oscurato')

 Poi bisogner� configurare il server per far si che auto-banni gli ip


controlla di non avere file .avi o qualcosa del genere.
se usi un software bucato è molto semplice uploadare un film e dire agli 
amici:
scarictevelo da qui pwnd
che tristezza però

 su un cms open source, quindi le righe inserite non hanno avuto effetto. :-/
Bhè, a questo punto si.
Magari un altro attacco che nei log non compare (o non sembra tale) è
andato a buon fine, oppure, l'attacco per joomla ha cmq avuto effetto
su una parte del sito.
Non sono un grande esperto di server, ma ci dovrebbe essere il modo di
sapere quali pagine/file sono stati scaricati e gli IP responsabili.

su un cms open source, quindi le righe inserite non hanno avuto effetto. :-/
Cioe', *E' RIUSCITO* a inserire il codice malevolo e questo non e'
riuscito ad attivarsi?
In questo caso vuol dire che invece di avere due buchi [1], ne hai
uno solo... ma e' sempre possibile infilartici qualche cosa usando
del codice malevolo un po' diverso.
Leonardo
[1] uno per inserire il codice, uno che lo lascia eseguire
-- 
The cock doth craw, the day doth daw,
the channerin' worm doth chide:
gin we be mist oot o' oor place,
a sair pain we maun bide.

 riuscito ad attivarsi?
No, non � riuscito a fare niente, ha cercato di mandare in GET una serie 
di variabili e istruzioni ad esse associate ma il mio cms non ha 
variabili di questo tipo gestite in GET.
Comunque mi � venuto un altro dubbio... l'ho scritto in reply ad un 
altro utente su un altro ng, magari sapete dirmi anche voi che ne 
pensate. Lo copio-incollo:
"mi chiedo se la ragione di questa saturazione possa essere un video 
recentemente incorporato in home tramite <embed>, il file di circa 5mb � 
ospitato sul server del sito e sto usando un player esterno per farmelo 
visualizzare dalla home. Ho notato pero' che quando carica tutta la 
pagina a volte nella barra di stato del browser rimane per alcuni 
secondi la scritta 'Lettura di www...... ecc.' e non esce subito 
"Completato" come solitamente appare a fine lettura di una pagina web.
Che per caso tutto il video venga precaricato nel frattempo anche se non 
� ancora in riproduzione prendendo quindi banda dal sito?"
Il video � su una colonna della home, quindi � visibile sempre, 
qualunque pagina venga caricata del sito (il sito ha circa 400 pagine 
indicizzate da google), per questo mi chiedo se non sia la causa del 
casino... :-/
Ripeto, il dubbio � legato al fatto che il video � caricato sul mio 
server e non � il classico embed da youtube.
Grazie a tutti e grazie Leo, speravo in un tuo reply ;)

 Grazie a tutti e grazie Leo, speravo in un tuo reply ;)
Bhè, togliti il dubbio e prova a caricare il video su youtube e nel
sito metti il codice di youtube.
Cmq, 5Mb x 400 = 2Gb al giorno, se ogni utente rimane sull'home page
il tempo necessario per 'sacricare' il video (ma in teoria dovrebbe
essere in streaming, cioè parte il download solo quando l'utente
clicca e guarda il video?)

visualizzare dalla home.
Fai un controllo e guarda quanti byte ci sono nel log di Apache in
corrispondenza dell'URL di quel file. Se ogni volta invia 5 Mb, il
che � possibilissimo, mille letture ti fanno gi� cinque giga...
Leonardo


Ho controllato il file di log, in dimensioni non sembra riporti niente. 
E' l'unico file a me accessibile da plesk.
Questo comunque � il contenuto della riga associata al video dall'ultimo 
IP che lo ha -presumo- riprodotto:
87.15.104.12 - - [20/Jan/2010:19:04:10 +0100] "GET /video/nomevideo.flv 
HTTP/1.1" 200 4317090 
"
http://ismedia.exeter.ac.uk/playerfiles/flowplayer.swf?0.7507771111481765
" 
"Mozilla/4.0 (compatible; MSIE 8.0; Windows NT 6.1; Trident/4.0; SLCC2; 
.NET CLR 2.0.50727; .NET CLR 3.5.30729; .NET CLR 3.0.30729; Media Center 
PC 6.0)"
Mah comunque ragazzi il video � stato caricato 10 gg fa, e solo ieri e 
oggi il dominio ha subito questa impennata, a me la cosa non convince 
proprio :-/
Grazie.
Leonardo Serni ha scritto:


Su consiglio di un utente di un altro ng ho controllato tramite Opera la 
quantit� di dati caricati dal browser e questi sono i dati rilevanti che 
mi sono apparsi:
Dimensione della pagina principale:
23.178 byte
Numero di elementi in linea:
54 (4.868.525 byte)
Opera nel caricare gli elementi ci ha messo diversi minuti a passare dal 
53simo al 54simo e ultimo, forse era il video che veniva precaricato...?
Se per voi � questa la causa risolverei caricandolo su youtube?
Mirko

E' l'unico file a me accessibile da plesk.
Non hai strumenti in grado di convertirlo in qualcosa di usabile?
In una shell Unix (anche cygwin) farei
grep "GET.*HTTP/1" $FILELOG \
	| cut -f7,10 -d" " \
	| sed -e 's/?[^ ]* / /g' \
	| sort | awk '{ if ( $1 == fld ) { sum+=$2; cnt++ } else { print
sum " : " fld " : " cnt; sum=$2; fld=$1; cnt=1 } }' \
	| sort -n \
	| tail -n 37
per avere i 37 file che fanno piu' traffico. grep, cut, sed, sort e awk
ci sono anche per Windows, credo. Vale la pena provare, anche per avere
un'idea in futuro.
