Newsgroup: it.comp.os.linux.sys
Titolo: [forse ot] Qualche consiglio

Ciao a tutti,
la faccio breve, da alcuni giorni ho un ip statico alla mia connessione
wdsl, ho configurato un server web con apache,e dato l'accesso ftp a due
miei amici.
Stamane volevo sapere se erano venuti a visitare il mio sito ed allora ho
aperto il file di apache access_log e ho scoperto questo:
127.0.0.1 - umberto [07/Feb/2004:13:57:21 +0100] "GET /private/index.py
PatternGet?id=10 HTTP/1.1" 200 5211
127.0.0.1 - umberto [07/Feb/2004:14:02:07 +0100] "GET /private/index.py
PatternGet?id=10 HTTP/1.1" 200 5211
127.0.0.1 - umberto [07/Feb/2004:14:02:18 +0100] "GET /private/index.py
PatternGet?id=21 HTTP/1.1" 200 4892
151.27.36.193 - - [07/Feb/2004:14:10:08 +0100] "GET / HTTP/1.1" 304 -
151.27.36.193 - - [07/Feb/2004:14:10:13 +0100] "GET /img/07260017.jpg
HTTP/1.1" 304 -
151.27.36.193 - - [07/Feb/2004:14:10:17 +0100] "GET /img/07270004.jpg
HTTP/1.1" 304 -
151.27.36.193 - - [07/Feb/2004:14:10:17 +0100] "GET /img/07260024.jpg
HTTP/1.1" 206 4391
151.27.36.193 - - [07/Feb/2004:14:10:23 +0100] "GET /private/index.py
HTTP/1.1" 401 509
151.27.36.193 - camillo [07/Feb/2004:14:10:52 +0100] "GET /private/index.py
HTTP/1.1" 200 1395
151.27.36.193 - camillo [07/Feb/2004:14:11:06 +0100] "GET /private/index.py
HTTP/1.1" 200 1395
151.27.36.193 - camillo [07/Feb/2004:14:11:19 +0100] "GET /private/index.py
HTTP/1.1" 200 1395
62.94.141.155 - - [07/Feb/2004:17:11:34 +0100] "\x16\x03\x01" 501 323
62.94.141.155 - - [07/Feb/2004:17:11:37 +0100] "\x16\x03" 501 322
62.94.141.155 - - [07/Feb/2004:17:11:38 +0100] "GET / HTTP/1.0" 200 11815
62.94.141.155 - - [07/Feb/2004:17:11:46 +0100] "GET /scripts/dbman
db.cgi?db=no-db HTTP/1.1" 404 326
62.94.141.155 - - [07/Feb/2004:17:11:47 +0100] "GET / HTTP/1.1" 200 11815
62.94.141.155 - - [07/Feb/2004:17:11:48 +0100] "GET / HTTP/1.1" 200 11815
62.94.141.155 - - [07/Feb/2004:17:11:50 +0100] "GET /top.html HTTP/1.1" 400
334
62.94.141.155 - - [07/Feb/2004:17:11:53 +0100] "POST / HTTP/1.0" 200 11815
62.94.141.155 - - [07/Feb/2004:17:11:55 +0100] "GET / HTTP/1.1" 200 11815
62.94.141.155 - - [07/Feb/2004:17:11:55 +0100] "GET / HTTP/1.1" 200 11815
62.94.141.155 - - [07/Feb/2004:17:11:57 +0100] "GET /robots.txt HTTP/1.1"
404 316
62.94.141.155 - - [07/Feb/2004:17:11:58 +0100] "GET /CVS/Entries HTTP/1.1"
404 317
62.94.141.155 - - [07/Feb/2004:17:11:58 +0100] "GET NonExistant1707428247
HTTP/1.1" 404 328
62.94.141.155 - - [07/Feb/2004:17:11:59 +0100] "GET .cobalt HTTP/1.1" 404
314
62.94.141.155 - - [07/Feb/2004:17:11:59 +0100] "GET /<SCRIPT>foo<
SCRIPT>.jsp HTTP/1.1" 404 342
62.94.141.155 - - [07/Feb/2004:17:11:59 +0100] "GET 
NessusTest842038791.html HTTP/1.1" 404 330
il 127.0.0.1 sono chiaramente io, il 151.27.36.193 è il mio amico, e il
62.94.141.155 invece cosa fa?
in meno di mezza ora ha lanciato più di 2000 richieste delle più svariate
come una sfilza di "/..0%%..//../..0%%..//../..0%%", slash etc etc..
Ho l'impressione di aver subito un attacco.
Mi posso proteggere?
Come posso sapere se mi ha danneggiato o e entrato veramente?
Ho scoperto che è l'ip di una ditta che propone soluzioni per la sicurazza
informatica della mia città.
sono ben accetti commenti, e consigli
grazie a tutti.
 Linux user number 341136

 
Se dallo stesso IP la cosa persiste, potresti bloccarlo in anticipo con
il firewall.
Il punto e' che ci sono diversi di questi software (worm, virus o che cosa
diavolo sono) che provano a sfruttare le vulnerabilita' di parsing del
tuo server web per poterlo crashare o ottenere una shell con i diritti
di privilegio alti, etc. etc.
Non credo che "fare il piantone" sui file log e "blacklistare" qualsiasi
IP sia una buona idea, sia perche' sono tanti, sia' perche le stesse
macchine che hanno lanciato tali (chiamamoli cosi') attacchi potrebbero
avere IP diversi in tempi diversi.
La cosa migliore e' consultare sempre il sito di Apache e stare aggiornati
con le ultime release, in modo tale che tali attacchi risultino quanto piu'
possibile inefficaci ...

 Mi posso proteggere?
Puoi usare un firewall o configurare apache in modo che le richieste da
quell'indirizzo vengano respinte (oppure, che vengano accettate solo quelle
provenienti da indirizzi "amici", ma per un server web non ha molto senso).
Host che inviano richieste del genere ce ne sono parecchi in internet e non
sempre i proprietari ne sono consapevoli. Normalmenete non sono un vero
pericolo se il sistema e' aggiornato e configurato correttamente.
Alessandro.