Pagina 1 di 2 1 2 ultimoultimo
Visualizzazione dei risultati da 1 a 10 su 13
  1. #1
    lo©2002
    Guest

    apache log: sotto attacco?

    ragazzi, ho notato una cosetta che mi ha un po' "allarmato"...

    tenendo d'occhio i log, mi sono accorto che apache mi informava ad un certo punto in questo modo:
    [21/May/2004:09:29:17 +0200] xxx.xxx.xxx.xxx "SEARCH
    /\x90\x02\xb1\x02\xb1\x02\xb1\x02\xb1\x02\xb1\x02\x b1\x02\xb1\x02\xb1\x
    [...]
    2\xb1\x02\xb1\x02\xb1\x02\xb1\x02\xb1\x02\xb1\x02\ xb1\x02\xb1\x02\xb1\x
    02\xb1\x02\xb1\x02\xb1\x02\xb1\x02\xb1\x90\x90\x90 \x90\x90\x90\x90\x90\
    x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x9 0\x90\x90\x90\x90\x90
    [...]
    0\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90" 414 338 "-" "-"
    ho trovato che si dovrebbe trattare di un "IIS WebDAV exploit".
    qualcuno mi sa approfondire l'argomento?
    grazie mille
    lo

  2. #2
    Utente bannato
    Registrato dal
    Aug 2002
    Messaggi
    930
    qualche scan automatico che prova exploit..niente di che...

    se vuoi togliertelo dai piedi fai in modo che apache risponda sempre HTTP 200 a tutte le richieste cosi' gia' rompi un po' a chi vuole giocare....

  3. #3
    se fai una ricerca c'è già un 3Dche parla di questo e lo avevo aperto proprio io...

    http://forum.html.it/forum/showthrea...ght=access.log

  4. #4
    lo©2002
    Guest
    cosa significa in pratica "HTTP 220" e come faccio a farglielo fare?
    ... questo per "rompere un po'"... e per "spezzare definitivamente"?
    nel senso... è dato per certo che apache e la porta 80 sono una delle parti più vulnerabili di un sistema (sbaglio?), quindi non vorrei avere brutte sorprese per colpa di alcuni bug... (apache 1.3.26-0woody3)

    grazie per la rispota!!
    lo

  5. #5
    Utente bannato
    Registrato dal
    Aug 2002
    Messaggi
    930
    cosa significa in pratica "HTTP 220" e come faccio a farglielo fare?
    partiamo dal presupposto che su una pagina viene trovata su un server l'header di risposta e' HTTP 200 (NON 220) e che se uno deve vedere se una pagina e' presente fara' una richiesta HTTP verso la tua macchina es. richiamando http://tuamacchina/pippo.exe
    settato di default Apache rispondera' HTTP404 pagina non trovata e quindi sapra' che pippo.exe non c'e' e che probabilmente si tratta di una macchina *nix

    se pero' il tuo server rispondesse sempre HTTP200 puntando ad un file vuoto (richiesta ok) ad ogni indirizzo, spiazzeresti lo scan che comincerebbe a non capire bene chi sei.

    In piu' potresti anche cambiare l'header di risposta facendo credere di essere un IIS e non Apache

    (anche se l'ordine del date ti fregherebbe ad un okkio esperto)

    Ad esempio nell'httpd.conf trovi una parte relativa ai tuoi messaggi di errore:




    # Customizable error response (Apache style)
    # these come in three flavors
    #
    # 1) plain text
    #ErrorDocument 500 "The server made a boo boo.
    # n.b. the single leading (") marks it as text, it does not get output
    #
    # 2) local redirects
    #ErrorDocument 404 /missing.html
    # to redirect to local URL /missing.html
    #ErrorDocument 404 /cgi-bin/missing_handler.pl
    # N.B.: You can redirect to a script or a document using server-side-includes.
    #
    # 3) external redirects
    #ErrorDocument 402 http://some.other-server.com/subscription_info.html
    # N.B.: Many of the environment variables associated with the original
    # request will *not* be available to such a script.


    di tutorial in giro ne trovi tanti su questo...un apache impostato di default da risposte di default e uno scanner ne puo' individuare velocemente tipo,versione e possibili exploit.

    sperando di esserti stato utile e chiaro, buona lettura

    ciao

  6. #6
    lo©2002
    Guest
    è si, chiaro ed utile

    gracias!!!!
    lo

  7. #7
    Utente bannato
    Registrato dal
    Aug 2002
    Messaggi
    930
    figurati...ti mollo alcuni link che ritengo (IMHO)interessanti

    http://openskills.info/view/boxdetai...pe=description

    http://openskills.info/view/topic_sl...boxtype=topics

    http://www.zone-h.it/files/8/apache.pdf

    http://www.debian.org/doc/manuals/se...s.it.html#s5.8

    sono solo una goccia di acqua in mare ma a me hanno dato la giusta intro...considera che in libreria su apache e sicurezza trovi tanta di quella roba che c'e' da invecchiare....

  8. #8
    lo©2002
    Guest
    posso solamente ringraziarti... ... per l'aiuto e per i links, anche troppi!! :gren:

    grazie, ciao
    lo

  9. #9
    lo©2002
    Guest
    scusami è... sono sempre io...

    cioè, in pratica dovrei creare nella rootdir di apache un file vuoto 'missing.html' ed abilitare 'ErrorDocument 404 /missing.html'?
    o non ho capito nulla...

    grazie nuovamente
    lo

  10. #10
    Utente bannato
    Registrato dal
    Aug 2002
    Messaggi
    930
    preso da http://httpd.apache.org/docs/mod/core.html
    ErrorDocument directive

    Syntax: ErrorDocument error-code document
    Context: server config, virtual host, directory, .htaccess
    Status: core
    Override: FileInfo
    Compatibility: The directory and .htaccess contexts are only available in Apache 1.1 and later.

    In the event of a problem or error, Apache can be configured to do one of four things,

    1. output a simple hardcoded error message
    2. output a customized message
    3. redirect to a local URL-path to handle the problem/error
    4. redirect to an external URL to handle the problem/error

    The first option is the default, while options 2-4 are configured using the ErrorDocument directive, which is followed by the HTTP response code and a message or URL.

    Messages in this context begin with a single double-quote character ("), which does not form part of the message itself. Apache will sometimes offer additional information regarding the problem/error.

    URLs can begin with a slash (/) for local URLs, or be a full URL which the client can resolve. Examples:

    ErrorDocument 500 http://foo.example.com/cgi-bin/tester
    ErrorDocument 404 /cgi-bin/bad_urls.pl
    ErrorDocument 401 /subscription_info.html
    ErrorDocument 403 "Sorry can't allow you access today

    Note that when you specify an ErrorDocument that points to a remote URL (ie. anything with a method such as "http" in front of it), Apache will send a redirect to the client to tell it where to find the document, even if the document ends up being on the same server. This has several implications, the most important being that the client will not receive the original error status code, but instead will receive a redirect status code. This in turn can confuse web robots and other clients which try to determine if a URL is valid using the status code. In addition, if you use a remote URL in an ErrorDocument 401, the client will not know to prompt the user for a password since it will not receive the 401 status code. Therefore, if you use an "ErrorDocument 401" directive then it must refer to a local document.

    Microsoft Internet Explorer (MSIE) will by default ignore server-generated error messages when they are "too small" and substitute its own "friendly" error messages. The size threshold varies depending on the type of error, but in general, if you make your error document greater than 512 bytes, then MSIE will show the server-generated error rather than masking it. More information is available in Microsoft Knowledgebase article Q294807.

    See Also: documentation of customizable responses. See the HTTP specification for a complete list of the status codes and their meanings.
    se cerchi la documentazione vai

    http://httpd.apache.org/docs-project/

    e selezioni la tua versione di Apache (ho quotato 1.3)


Permessi di invio

  • Non puoi inserire discussioni
  • Non puoi inserire repliche
  • Non puoi inserire allegati
  • Non puoi modificare i tuoi messaggi
  •  
Powered by vBulletin® Version 4.2.1
Copyright © 2024 vBulletin Solutions, Inc. All rights reserved.