[2000] Defacements

[chycco]

Ciao a tutti

qualcuno sa dirmi cosa dovrei sistemare nel mio server windows 2000 per fare in modo che gli hackers smettano di eseguire defacements sui siti che sono contenuti nel server?

Grazie a qualsiasi risposta

[ZofM]

Che tipo di attacco stai subendo?
Utilizzano la porta 80?

Ps. ho mod il titolo della discussione in base al punto 5 del regolamento (che ti invito a leggere).

[chycco]

ehm...mi era sfuggito il punto 5 in preda al panico com'ero
Credo sia per la porta 80, ma non ti so dire di piú perchè l'altro dei miei problemi è installare un firewall da remoto (vedi thread che ho aperto sempre ieri) per cui non ho analizzato l'attacco.

Mi hanno giá fatto 2 defacements, grazie a dio non mi hanno cancellato files. Riescono a mettere un file
con script (in ASP) in una delle cartelle che contengono il sito, poi lo fanno partire da browser e scrivono su tutte le altre cartelle del server. Ovviamente avevo giá tolto (dopo il primo defacement) il permesso di scrittura sulla cartella, per cui non ti so dire come sono entrati per effettuare il secondo def.

Sono adesso in strumenti di amministrazione >> criteri di protezione locale
Sto cercando di capire dove mettere le mani e se mi sai dare qualche dritta te ne sarei grato....

[ZofM]

Da come hai descritto sembra un problema di "malformed url" e agiscono sulla porta 80. Qui il firewall ci fa poco.. al max puoi bloccare determinati indirizzi ip. Ma non è qui il problema..
Tutto sta nella configurazione del sistema.
Prima di tutto devi assicurarti di aver installato l'SP4 e tutti gli aggiornamenti post-sp del caso.

In più è necessaria una buona configurazione del server.
Dove tieni i siti? In c:\inetpub\wwwroot? La stessa Microsoft sconsiglia di utilizzare questa cartella.

Cmq sulla cartella wwwroot vanno dati i permessi esclusivamente al gruppo Administrator (in Full Control), all'utente SYSTEM (in Full Control) e all'utente IUSR_<nomemacchina> (in lettura). Da qui poi per ogni sito ci saranno cartelle ad accesso in scrittura ma poi quelle le vedi con calma in un momento successivo.
Il problema è che se il server è già in produzione fare queste modifiche è pericoloso: rischi di nn far + vedere i siti ai visitatori.. Sono tutte configurazioni da fare subito dopo l'installazione del sistema operativo.

Fammi sapere qualcosa in più intanto sui permessi agli utenti presenti nelle cartelle dove stanno i siti (e dimmi dove hai messo la wwwroot).