Newsgroup: it.comp.sicurezza.unix
Titolo: sicurezza httpd

Dando un'occhiata al file LOG di un server httpd installato su un PC con
Linux ho notato le seguenti righe:
home.kp-c.ac.kr
 - - [30/Jul/1998:05:26:11 +0200] "GET /cgi-bin/phf" 404
-
home.kp-c.ac.kr
 - - [30/Jul/1998:05:26:12 +0200] "GET /cgi-bin/test-cgi"
404 -
home.kp-c.ac.kr
 - - [30/Jul/1998:05:26:14 +0200] "GET /cgi-bin/handler"
404 -
home.kp-c.ac.kr
 - - [30/Jul/1998:08:17:09 +0200] "GET /cgi-bin/phf" 404
-
home.kp-c.ac.kr
 - - [30/Jul/1998:08:17:11 +0200] "GET /cgi-bin/test-cgi"
404 -
home.kp-c.ac.kr
 - - [30/Jul/1998:08:17:13 +0200] "GET /cgi-bin/handler"
404 -
lax-ca19-05.ix.netcom.com
 - - [17/Aug/1998:06:08:39 +0200] "GET
/cgi-bin/phf" 404 -
lax-ca19-05.ix.netcom.com
 - - [17/Aug/1998:06:08:40 +0200] "GET
/cgi-bin/test-cgi" 404 -
lax-ca19-05.ix.netcom.com
 - - [17/Aug/1998:06:08:41 +0200] "GET
/cgi-bin/handler" 404 -
202.186.118.2 - - [30/Aug/1998:17:27:53 +0200] "GET /cgi-bin/phf" 404 -
202.186.118.2 - - [30/Aug/1998:17:27:55 +0200] "GET /cgi-bin/test-cgi"
404 -
202.186.118.2 - - [30/Aug/1998:17:28:00 +0200] "GET /cgi-bin/handler"
404 -
168.126.240.26 - - [01/Oct/1998:23:24:12 +0200] "GET /cgi-bin/phf" 404 -
168.126.240.26 - - [01/Oct/1998:23:24:13 +0200] "GET /cgi-bin/test-cgi"
404 -
168.126.240.26 - - [01/Oct/1998:23:24:15 +0200] "GET /cgi-bin/handler"
404 -
Le pagine richieste non esistono sul mio server, e data la sequenza
identica di richieste da vari server, mi sembra quasi ovvio che c'e' un
qualche programma che "prova" a richiedere questi cgi-bin su qualunque
computer abbia un server http.
Ora mi viene il forte sospetto che questi cgi-bin (che forse vengono
installati di default da alcuni server http) possano essere sfruttati
per violare il sistema ospitante il server.
Qualcuno ne sa qualcosa?
?manu*

Qualcuno ne sa qualcosa?
Dunque, sono tentativi di qualche furbacchione di trovare una strada per
entrare nel tuo server.
Il phf, ad esempio, e' un modulino che si trovava sui server apache che, se
titillato a dovere, ti restituiva il contenuto di alcuni file ( esempio,
potevi riuscire a leggerti tutto etc/password , il che puo' portare parecchi
benefici, ad uno sfrucugliatore di sistemi altrui).
Sono comunque buchi noti da qualche tempo, e ogni server che si rispetti,
dovrebbe avere gia' le contromosse adeguate.
Tali contromosse, possono essere le piu' varie, dal ditino oscillante che
comunica al furbastro di non farlo piu' che non e' il caso, fino al
controbattere con alcuni trucchi accettando la battaglia e vedere chi dei
due ha le corazze piu' robuste ;-)
In ogni caso, il fatto che ti risponda 404 (not found) dovrebbe
tranquillizzarti, quei moduli non sono presenti, ma potresti farli tu per
far desistere l'attaccante, come dicevo, basta uno scriptino che gli dica di
piantarla, magari loggandogli l'IP e mostrandoglielo a video, che tu metti
con il nome phf.iltuolinguaggiopreferito nella cgi-bin, e probabilmente
smettono.
Ciao.roberto
-- 
Save our planet!
Save wildlife;
For your E-MAIL use only recycled Bytes !!
roberto poggi  
rpo...@usa.net

 dovrebbe avere gia' le contromosse adeguate.
A quanto pare pero' il trucco ogni tanto funziona, visto che la gente
continua ad usarlo....anche a me e' successo di trovare roba simile
nel mio log in contemporanea ad una serie di mails mandatemi dai
tcp_wrappers che indicavano tentativi di finger/telnet.
A questo proposito: esiste una cosa equivalente alle hosts.deny e
hosts.allow per gli http demons? So che si possono far eseguire da
inetd e quindi usare i tcp_wrappers, ma in questo modo si perdono i
privilegi del pre-forking fatto dai demoni attuali.
Ciao,
Alberto
-- 
Alberto BARSELLA
PGP fingerprint = 13 3F 22 D2 0B 0A D3 25  F1 89 FE B5 82 AD 75 2A
** Beliefs are dangerous. Beliefs allow the mind to stop functioning.
A non-functioning mind is clinically dead.  Believe in nothing... **

privilegi del pre-forking fatto dai demoni attuali.
Sorry, stai andando oltre cio' di cui sono sicuro, e debbo per forza
lasciare la palla a qualcuno che si possa fregiare davvero del titolo di
amministratore di rete.
Sulla sicurezza, sono ancora nella fase *spugna*, sto approfondendo a grandi
(spero) passi succhiando ovunque info.;-)


 hosts.allow per gli http demons? So che si possono far eseguire da
Per apache, hai mod_access.
mod_auth* se poi vuoi pure accessi controllati da password.
	indicatamente,
	    Cthulhu
-- 
       Ph'nglui mglw'nafh Cthulhu 
http://www.rlyeh.it
 wgah'nagl fhtgan!

 privilegi del pre-forking fatto dai demoni attuali.
Non proprio pero' c'e' modo di proteggere da configurazione specifiche
directory rispetto alle classi di IP.
Meglio che niente.
E poi ci sono sempre filtri/acl sui router...
-- 
Francesco P. Lovergine  
f.lov...@iesi.ba.cnr.it
CNR-IESI                
http://www.iesi.ba.cnr.it
V.Amendola 166/5
I-70126
BARI BA (ITALY)

 
forse intendi access.conf ?
----------------------------------------------
Blade Spammer II     
AntiSpam Net-Runner Unit
" I've seen SPAMs you people wouldn't believe.
   Time to shutdown. "                     ;^)
----------------------------------------------