Newsgroup: it.lavoro.informatica
Titolo: Un consiglio: sito poco sicuro?

ciao gente, un consiglio.
tempo fa ho messo in piedi un sito per un cliente. senza usare un cms
standard, un sito ex novo, solo con qualche componente strautilizzato
ovunque (l'onnipresente lightbox eheh)
ora 'sto sito è stato bucato. sul server sono comparse delle cartelle e dei
file che non ho messo io, e in nei css sono comparsi dei rimandi offuscati
a questi file, che si sono poi rivelati dei trojan. tolto tutto, tutto
ricompare. cambiate le password di ftp e quant'altro, nulla.
qualcuno di voi ha competenze specifiche nel "trovare buchi" nei siti o
qualcosa di simile? tenete conto che il sito è su un providerone da
millemila clienti (
register.it
) quindi zero collaborazione e zero
possibilità di accedere alla macchina.
anzi, qualche velata minaccetta di "se infettate i pc degli utenti vi
facciamo il culo", che il cliente mi ha ovviamente (?) girato.
che faccio?
d.
-- 
Sai quelli che dicono: «Uno torna la sera a casa stanco...».
«Che strazio questo che torna sempre a casa stanco. Lo detesto.
Ma non tornare a casa! Sei stanco? Muori!»  ###  E. Vaime
http://www.pilardeimeli.net/blog

 ricompare. cambiate le password di ftp e quant'altro, nulla.
evidentemente è stato iniettato un trojan che in questo momento è in
esecuzione su quella macchina.
devi rimuovere prima di tutto quello.
è una macchina windows, suppongo?

 possibilità di accedere alla macchina.
scusa, non avevo letto attentamente questa parte.

 scusa, non avevo letto attentamente questa parte.
passo alla domanda di riserva: io che strumenti ho, per vedere se c'è
qualche buco nel mio codice? (a parte debuggarlo riga per riga, cosa che
comunque temo darebbe frutti relativi)


 esecuzione su quella macchina.
Domanda: ma questo non significherebbe che il problema è del *provider*?
Ciao,
Giulio
-- 
OnAir:
http://www.giuliopetrucci.it
http://www.fujikomonamour.com

 
Ciao,
un approccio che si usa in questi casi è quello di partire dai log.
Trattandosi di un'applicazione web e sospettando una debolezza nel 
codice potrebbe essere visibile qualche malformed url dai log (ma non è 
detto ci sono mille altri modi che vanno dalla sql injection al faking 
di parametri di POST e via).
Ovviamente hai bisogno di un po' di collaborazione da parte del provider 
perchè se non ti da accesso ai log la strada non è ovviamente percorribile.
Altra cosa è quella di provare a cercare nei file e cartelle creati 
delel keyword con le quali identificare la tipologia di attacco. Spesso 
sono metodologie più o meno standard non viene scritto un root-kit su 
misura ogni volta.  Se identifichi la forma è più facile identificare il 
punto di ingresso...
ciao
fg

 punto di ingresso...
epperò chi ha fatto sta cosa l'ha fatta in modo simil-intelligente
per capirci, ha preso spunto dal tema del sito per creare i file e le
cartelle "dell'attacco". non dico di che sito si tratta, ma se fosse un
autosalone le cartelle si chiamerebbero \leasing e \kmzero ecco...
cmq mi pare una buona idea chiedere i log al provider...
ciao e grazie


1) accertati che queste sottocartelle esistano veramente
2) se non esistono fisicamente, prova a cercare nella root il file .htaccess
Ultimamente inseriscono un .htaccess con alias/redirect verso siti 
esterni contenenti il malware.
Si è parlato recentemente anche di apache bucati con inject del codice 
malevolo a livello di browser !
In mail privata mandami il link, stasera (se non risolvi prima) provo a 
darci una occhiata.
Francesco

 facciamo il culo", che il cliente mi ha ovviamente (?) girato.
Non ho capito, da chi sarebbe arrivata la velata minaccia? Da
register?
bye!

 ricompare. cambiate le password di ftp e quant'altro, nulla.
Conoscere sistema operativo, server web e piattaforma/linguaggio del sito 
aiuterebbe ;-)
Massimo

 possibilità di accedere alla macchina.
Con 
register.it
 mi sono trovato male anch'io. Ho aspettato che 
scadessero i contratti e me ne sono andato via appena ho potuto.
-- 
Andrea Francia
http://andreafrancia.blogspot.com/

 comunque temo darebbe frutti relativi)
I buchi nel codice non li trovi cosě.
Ci sono tecniche particolari, che io non conosco.
Il progetto OWASP si occupa di sicurezza e fornisce delle guide per 
creare siti web sicuri. Sul fatto di verificare la sicurezza di un sito 
non so, ma magari qualche risorsa su OWASP c'e'.


 fg



nessuno, se il codice l'hai scritto tu l'avrai fatto ritenendolo
sicuro, se nel frattempo non hai letto/studiato/imparato altro
difficilmente riesci a trovi i buchi nel codice, non è una questione
di debug del codice.
L'unica cosa in più che mi viene in mente rispetto all'aiuto che ti è
già stato dato è: hai controllato il db (se ne hai uno)? se prendi
dati dal db per scriverli in pagina probabilmente hanno "iniettato"
del codice anche li.
L'altra cosa che mi viene in mente sul discorso htaccess è che
potresti sfruttarlo al contrario, almeno finchè non trovi i buchi,
cioè visto che conosci le cartelle e i file "maligni" fai un redirect
degli stessi sul url fittizio, ho metti nell'htaccess delle
restrizioni per l'accesso alle url incriminate.

 collaborazione e zero possibilità di accedere alla macchina.
ah, quei dementi che quando chiedi di installarti joomla, ti installano 
la 1.0.13, sono quelli che quando gli chiedi di aggiornarlo ti 
rispondono che sono cazzi tuoi, ah beh, bravi quelli.
-- 
/me che si prepara ad un altro salto indietro nel tempo.
E chi vuole, e specialmente puo' capire... capisca!

 
Quelli che quando passi dal profilo medio al profilo alto ti fanno 
pagare tutto il profilo alto invece di farti pagare la differenza.
Quelli che non ti rispondono mai al telefono.


 Quelli che non ti rispondono mai al telefono.
 
ah ok, parliamo degli stessi dementi :)


 rispondono che sono cazzi tuoi, ah beh, bravi quelli.
non ho capito, perchè se devi installare joomla piuttosto che un'altro 
cms lo commissini all'hosting?
io do per scontato che ognuno se lo sceglie e installa da solo, al 
limite si fa del male con le sue mani.
certo, se quando uno sceglie l'hosting non fa caso a questi "dettagli" 
evidentemente poi si ritrova il servizio che merita.
-- 
 Fino all'anno scorso avevo un solo difetto. Ero presuntuoso.
http://softvalley.blogspot.com
http://www.flickr.com/photos/marko_po/

 
certo e in tempo zero te lo ribucano uguale.
a meno che tu intendessi cancellare tutto il codice e riscriverlo da zero :)


Uhm, hai ragione.


 d.
Visto che il server è in hosting presso Register, penso sia difficile che 
l'intera macchina sia stata compromessa; probabilmente hanno trovato il 
modo di bucare il tuo sito (XSS o SQL Injection sono i metodi più usati).
Se hai accesso ai log puoi fare cercare di capirci qualcosa, altrimenti è 
veramente dura.
Ricorda che un tentativo di attacco ai fini di scoperta delle 
vulnerabilità su una macchina in hosting, anche se autorizzato dal 
titolare del dominio, è illegale e passibile di denuncia (son paranoico, 
ma sto studiando per l'esame OPST :-; ). Parlane con quelli di 
Register.it, solo loro ti potrebbero aiutare
-- 
"Le opinioni dei fanatici prescindono dai fatti"
python -c "print 'bG9ybWF5bmFAZ21haWwuY29t'.decode('base64')"
Linux Registered User: 461615
http://lmainardi.blogspot.com

 "dettagli" evidentemente poi si ritrova il servizio che merita.
non dirlo a me, e' un problema che mi ha esposto un cliente.
