Newsgroup: it.comp.macintosh
Titolo: attacchi web

Hola,
cerco di capire qualcosa su questi tentativi di attacco, con
condivisione web attiva, e tentativo di richiesta GET con "1456":
da /var/log/httpd/access_log
82.59.xx.yy - - [04/Sep/2005:09:27:04 +0200] "GET / HTTP/1.0" 200 1456
un deficiente italiano (come tanti altri) prova, credo, a prendere il
controllo del sistema.
in /var/log/httpd/error_log trovo
[Sun Sep  4 09:46:31 2005] [error] [client 82.59.zz.hh] request failed:
URI too long
un altro idiota (sempre italiano) ha cercato di eseguire una SEARCH
lunghissima:
"SEARCH
/\x90\x02\xb1\x02\xb1\x02\xb1\x02\xb1\x02\xb1\x02\xb1\x02\xb1\x02\xb1\x0
2\xb1\x02\xb1\x02\xb1\x02\xb1 ...........
.......\x90\x90\x90\x90\x90\x90\x90\x90" 414 338
Ho fatto una prova veloce:
telnet localhost 80
GET / HTTP/1.1
Host: 1456
                (due righe vuote)
fornisce l'html dell'homepage e un prompt:
cat /etc/passwd
non dà nulla, ma in /var/log/system.log trovo
""cat /etc/passwd" 501 -""
quel 501 è l'id utente...
Insomma, chiedo, Condivisione web la devo sempre lasciare disabilitata?
rimedi per lasciarla e renderla sicura?
Cosa cercano di ottenere l'ho capito, ma fino a che punto possono
riuscire?
Va be' che Apache e il firewall si difendono, ma visti gli fgebamv che
ci sono in giro...
bah...
-- 
salvo 
che a certi "akker" secchino ...le foglie ;-)

 quel 501 č l'id utente...
Stai divagando, non c'entra nulla.
EmJey
-- 
Non prendere la vita troppo sul serio... non ne uscirai mai vivo
http://www.joram.it/articoli/informatica/futuro.htm

 Stai divagando, non c'entra nulla.
d'accordo, ma ho solo cercato di riprodurre quello che hanno cercato di
fare.
ciao,
Salvo

 fare.
Lascia perdere questo tipo di "esperimenti", sono fuorvianti.


 Lascia perdere questo tipo di "esperimenti", sono fuorvianti.
o istruttivi, bisogna vedere come si intendono :)
-- 
salvo

 o istruttivi, bisogna vedere come si intendono :)
Non ho percepito alcun metodo sperimentale nelle tue prove, potresti
spiegarmelo?


 solo passaggio di dati in chiaro.
ok, ma nel caso di specie non ho usato quasi per niente né telnet, né
ssh
Anche dopo aver cambiato le password (computer disconnesso, quindi
nessun passaggio di dati), DirectoryService ha riportato un'altro paio
di volte l'errore [47] FailedAuthentication ... delay ... over five
times ... users...
Questo *forse* non è opera "esterna". O no?
Salvo
-- 
Steve, give us the NeXT Mac OS pda, please!
§alvomi©

 Questo *forse* non è opera "esterna". O no?
L'email e' valida, se vuoi mandarlo privato, altrimenti posta i syslog
completi, il fallimento di autenticazione va analizzato con cognizione
di causa e tanta (ma proprio tanta!) pazienza


 di causa e tanta (ma proprio tanta!) pazienza
ok,
in console.log trovo ad es.
Sep  4 21:26:40 miohostname DirectoryService[47]: Failed Authentication
return is being delayed due to over five recent auth failures for
username: cane.
AUDIT: Sun Sep  4 21:27:53 2005: 22155 X11: last message repeated 1
times
bash: no job control in this shell
Invece, in system.log ci sono linee come:
Sep  5 07:50:13 miohostname DirectoryService[47]: NetInfo connection
failed for server 
127.0.0.1/local
Sep  5 09:47:42 miohostname launchproxy[19670]: /usr/sbin/smbd:
getnameinfo(): Non-recoverable failure in name resolution
poche, a dire il vero, ma ricorrenti spesso quando il computer riparte
dopo lo stop.
Nelle ultime 10 ore, in access.log ed error.log solo le richieste di
http "1456" o con altri numeri, ma molte meno, e soprattutto da ip
italiani.
Appena posso ti mando qualcosa di completo, ciao, grazie :)
-- 
salvo