Newsgroup: it.comp.sicurezza.varie
Titolo: questione sicurezza server Apache

Per motivi di lavoro, mi trovo ad amministrare un sito sulla mia macchina,
ove ho attivato Apache (uso linux Mandrake 8.1, su cui ho istallato il
firewall 'standard' incluso nella distro). 
Rilevo tentativi di
connessione "sospetti" sulla mia macchina, del tipo (dal log degli accessi)
=======
"GET /scripts/root.exe?/c+dir HTTP/1.0" 404 313 "-" "-"
"GET
/MSADC/root.exe?/c+dir HTTP/1.0" 404 311 "-" "-"
"GET
/c/winnt/system32/cmd.exe?/c+dir HTTP/1.0" 404 321 "-" "-"
"GET
/d/winnt/system32/cmd.exe?/c+dir HTTP/1.0" 404 321 "-" "-"
"GET
/scripts/..%255c../winnt/system32/cmd.exe?/c+dir HTTP/1.0" 404 335 "-" "-"
"GET /_vti_bin/..%255c../..%255c../..%255c../winnt/system32/cmd.exe?/c+dir
HTTP/1.0" 404 352 "-" "-"
"GET
/_mem_bin/..%255c../..%255c../..%255c../winnt/system32/cmd.exe?/c+dir
HTTP/1.0" 404 352 "-" "-"
"GET
/msadc/..%255c../..%255c../..%255c/..%c1%1c../..%c1%1c../..%c1%1c../winnt/system32/cmd.exe?/c+dir
HTTP/1.0" 404 368 "-" "-"
"GET
/scripts/..%c1%1c../winnt/system32/cmd.exe?/c+dir HTTP/1.0" 404 334 "-" "-"
"GET /scripts/..%c0%2f../winnt/system32/cmd.exe?/c+dir HTTP/1.0" 404 334 "-
" "-"
"GET /scripts/..%c0%af../winnt/system32/cmd.exe?/c+dir HTTP/1.0" 404
334 "-" "-"
"GET /scripts/..%c1%9c../winnt/system32/cmd.exe?/c+dir
HTTP/1.0" 404 334 "-" "-"
"GET
/scripts/..%%35%63../winnt/system32/cmd.exe?/c+dir HTTP/1.0" 400 318 "-" "-
"
"GET /scripts/..%%35c../winnt/system32/cmd.exe?/c+dir HTTP/1.0" 400 318
"-" "-"
"GET /scripts/..%25%35%63../winnt/system32/cmd.exe?/c+dir
HTTP/1.0" 404 335 "-" "-"
"GET
/scripts/..%252f../winnt/system32/cmd.exe?/c+dir HTTP/1.0" 404 335 "-" "-"
GET /scripts/root.exe?/c+dir HTTP/1.0" 404 313 "-" "-"
==
Ovviamente,
non avendo Win, tali tentativi non vanno a buon fine (meno male!)
Se
possibile, tuttavia, vorrei sapere quanto siano preoccupanti e se posso
fare qualcosa per schermarli (..non troppo ostica...considerate che sono
veramente agli inizi!!). In un mio post passato mi e' stato risposto di
agire sul 'crontab'.. e' cosi'? si puo' avere qualche dettaglio maggiore?
Grazie!
/ Marco
--------------------------------
Inviato via 
http://usenet.iol.it

veramente agli inizi!!).
Per spedirli da un'altra parte? Sicuro.
Attivi il Name-Based virtual hosting (in httpd.conf)
Poi metti come primissimo host
<VirtualHost localhost:80>
        DocumentRoot    /tmp/scazzoni
        ServerName      
www.gdf.it
        ServerAdmin     
u...@gdf.it
        ErrorLog        /tmp/scazzoni/badastifurbi.log
        LogLevel        info
        CustomLog       /tmp/scazzoni/furbacchioni.log combined
        SSLEngine       off
	ErrorDocument   403 "YOU DO NOT EXIST. GO AWAY.
	ErrorDocument   404 "YOU DO NOT EXIST. GO AWAY.
	ErrorDocument   500 "KLAATU BARADA NIKTO
        <IfModule mod_dir.c>
                DirectoryIndex index.html
        </IfModule>
</VirtualHost>
Periodicamente, cancelli i files .log, o te li leggi se ti vuoi fare due
risate. Nella directory /tmp/scazzoni (dal greco 'skazein', "zoppicare")
metti un file index.html con qualcosa di carino.
Visti gli ingegni che girano questo (SecurFAQ) dovrebbe tenerli occupati
per un po'.
<html>
<body>
<table cellspacing="0" border="0" width="400">
<tr><TD><CENTER>Fai pure come se fossi a casa tua.</TD></tr>
  <tr>
    <td valign="MIDDLE"><p align="CENTER">
    <object id="browserIcons"
classid="clsid:EAB22AC3-30C1-11CF-A7EB-0000C05BAE0B"
    height="320" width="100%">
      <param name="Location" value="C:\">
      <param name="AlignLeft" value="1">
      <param name="AutoSize" value="0">
      <param name="AutoSizePercentage" value="100">
      <param name="AutoArrange" value="1">
      <param name="NoClientEdge" value="true">
      <param name="ViewMode" value="3">
    </object>
    </td>
  </tr>
</table>
</body>
</html>
Leonardo
-- 
"Open Source programs are designed and developed.
 Our products are tested."
 Steve Lipner, manager, Microsoft Security Response Center

 "GET /c/winnt/system32/cmd.exe?/c+dir HTTP/1.0" 404 321 "-" "-"
Se hai iniziato da poco ad occupartene evidentemente non hai
vissuto il picco di diffusione di codered e nimda. Beh, questo
sembra proprio essere il secondo. In ogni caso per te non ci
sono problemi, salvo qualche riga nei log che puoi levare via
velocemente con grep o sed prima o durante la consultazione.
Se vuoi sapere qualcosa di piu' sui due worm per iis puoi
usarne i nomi come chiave di ricerca per google.
Fabio

 </VirtualHost>
Scusa se mi intrometto, ma vorrei sapere se esiste una direttiva in
httpd.conf assimilabile a "ServerTokens    ProductOnly", ma che al posto di
restituire il banner "Apache" ne restituisca un altro, fuorviante (ad es.
Microsoft-IIS 5.0 o similia).
Grazie
--
 ==> Atlantis <==
 Icq # 18752702

 usarne i nomi come chiave di ricerca per google.
Ciao.
Hai poi dato un' occhiata a quel famoso "t00l" di cui parlavamo qualche
giorno fa su icsu ?
Che dici?


 Che dici?
Ti avevo risposto su icsu: il tool che hai indicato non mi sembra
pertinente perche' sfrutta un'altro bug di iss e non puo' certo
essere confuso con nimda durante un'analisi dei log. Ma non vorrei
aver guardato il tool sbagliato, visto che la lista viene aggiornata
dinamicamente. Ho dato comunque un'occhiata agli altri tool e non ho
trovato niente.
Ecco il link alla mia risposta su icsu:
http://groups.google.it/groups?selm=9mfx8.79476%24SR5.2007718%40twister1.lib
ero.it
Tra l'altro mi sono accorto ora che per un errore di cut and paste
ho riportato il checksum 413ccead4ac8a0f5f1b155a637191d95 mentre in
realta' era il d49298a0e3ebc80e3fcf01b8cc71159f che dovevo indicare
per avere una tua conferma di aver guardato il tool giusto.
Ciao
Fabio

Fabio
Grazie a tutti,
mi
siete stati molto utili. Un'altra cosetta: e' possibile impostare apache in
modo che tutti questi tentativi 'bacati' non sporchino il file access_log?
Grazie di nuovo,


 <tr><TD><CENTER>Fai pure come se fossi a casa tua.</TD></tr>
ROTFL!
Adesso ci scrivo "sono un virus e ti cancellero' tutte queste cartelle"
e lo mando alla mia amica cliccatutto che si e' impestata col klez. <g>
Saluti
Lella

Microsoft-IIS 5.0 o similia).
Not for the faint hearted:
Se sostituisci la stringa
	Apache/1.3.19 (Unix)
con
	Microsoft-IIS 5.0SP2
all'interno del file binario httpd, ottieni il risultato voluto.


modo che tutti questi tentativi 'bacati' non sporchino il file access_log?
Si puo' fare in modo che ne sporchino un altro :-)
L'altro ovviamente e' sagri"fiabile, anzi, verra' sacrificato regolarmente
via crontab.


> Not for the faint hearted:
Uhm... se ricompilo non e' *meglio* ?
Grazie
--
 ==> Atlantis <==
 Icq # 18752702
http://thenomad.homeip.net

Uhm... se ricompilo non e' *meglio* ?
Si', ma ci vuole piu' tempo. Se uno fa le cose, o le fa alla macellaia
o le fa ammodino, ché!
**************************************
* CHILDREN, DO !NOT! DO THIS AT HOME *
**************************************
	1. Qrsvaver ha gbxra FeiGx_SNXR va uggcq.u
	   r ha
	   rkgrea NCV_INE_RKCBEG pune *nc_snxr_irefvba;
	   va uggc_pbas_tybonyf.u
	2. znva/uggc_pber.p 
	   @297
	   +fgngvp pbafg pune *frg_snxrirefvba(pzq_cnezf *pzq, ibvq *qhzzl,
pune *net)
	   +{
    	   +	pbafg pune *ree = nc_purpx_pzq_pbagrkg(pzq, TYBONY_BAYL);
	   +	vs (ree != AHYY) {
	   +		erghea ree;
	   +	}
   	   +
    	   +vs (pzq->freire->vf_iveghny) {
           +	erghea "SnxrFreire qverpgvir abg nyybjrq va <IveghnyUbfg>";
	   +}
	   +nc_snxr_irefvba = net;
	   +erghea AHYY;
	   +}
	   @2700
	   +ryfrvs (!fgepnfrpzc(net, "SNXR")) {
           +	nc_freire_gbxraf = FeiGx_SNXR;
    	   +}
	   @2925
	   +{ "SnxrFreire", frg_snxrirefvba, AHYY, EFEP_PBAS, GNXR1,
	   + "Jung Ncnpur jvyy erghea nf Freire: urnqre vs FreireGbxra vf
frg gb SNXR"},
	   @3035
  	   -"Gbxraf qvfcynlrq va gur Freire: urnqre - Zva[vzny], BF,
Cebq[hpgBayl], Shyy"
  	   +"Gbxraf qvfcynlrq va gur Freire: urnqre - Zva[vzny], BF,
Cebq[hpgBayl], Shyy, be Snxr (frr SnxrFreire qverpgvir)"
 	3. znva/uggc_znva.p
	   @252
	   +NCV_INE_RKCBEG pune *nc_snxr_irefvba;
	   @433
	   +ryfr vs (nc_freire_gbxraf == FeiGx_SNXR) {
           +    freire_irefvba = AHYY;
           +	nc_nqq_irefvba_pbzcbarag(&nc_snxr_irefvba);
    	   +}
	4. znva/uggc_pbasvt.p @1556
	   + nc_snxr_irefvba = '';
	5. QVFPYNVZRE
	   @1
	   + Gurl ner lbhe qvpxf


 + They are your dicks
R O T F L 
-- 
http://werted.cjb.net

. . per lo meno adesso so quale č il tuo numero fortunato . . :-)

. . per lo meno adesso so quale č il tuo numero fortunato . . :-)
Eh?
Leonardo "comunque e' 16.27"

vissuto il picco di diffusione di codered e nimda.
Del periodo nimbda, ricordo i problemi con i log dei web server:
tendevano ad assumere dimensioni alquanto scomode...
hola
Buttha
-- 
No more antispam

 o le fa ammodino, ché!
Azz... vabbe' ci provo: grazie mille!


 tendevano ad assumere dimensioni alquanto scomode...
Ho sempre dedicato molto spazio a /var/log e quindi per me non e'
stato un problema. In ogni caso basta loggare in file diversi gli
accessi ai domini e quelli agli IP usando vhosts tipo name-based,
in modo da evitare di inquinare i log dei domini con la monnezza
di nimda e co.
Fabio

 Leonardo "comunque e' 16.27"
...pensavo fosse 13 . . .