mass defacement

[giangarotto]

Gestisto un sito e ho scoperto che il sito è stato defacciato, nella cartella public ho trovato delle pagine che ho gia provveduto a cancellare.
Cosa posso fare per evitare intrusioni future ... intanto ho eliminato il fromupload che era presente nel sito il quale permetteva l'upload di immagini.

Grazie 1000

[maiosyet]

IIS? Apache? Hostato? Firewall? Log? Aggiornato?

[Habanero]

In genere i defacement avvengono a causa del server vulnerabile più che del sito vulnerabile.
Se il server è in hosting il "merito" è del tuo hoster che non tiene il server patchato. Ti consiglio di farti sentire..

[giangarotto]

Ecco cosa mi ha risposta aruba ....

"la modifica del contenuto della sua cartella public avviene
tramite un tools hacker di nome zehir, inserito tramite il formupload
presente nel suo dominio e non adeguatamente protetto, come indicato sul vademecum"

secondo loro la la colpa è mia

[eraser]

beh occhio, non diamo il 100% della colpa all'hoster

L'hoster può tenere il server sempre il piu aggiornato possibille ma se il sito è stato costruito con alcuni script vulnerabili (in questo caso il formupload) il defacement è lo stesso possibile. La colpa in questo caso non è dell'hoster ma dell'autore del sito che non si è preoccupato di aggiornare i propri script (o nel caso siano già aggiornati, si è incappatati in un 0-day exploit, cioè un exploit che sfrutta un bug nuovo non ancora patchato)

Ciao

Eraser

[Habanero]

Ok sono stato un po' troppo precipitoso...

[maiosyet]

Originariamente inviato da giangarotto

secondo loro la la colpa è mia

Esatto, la colpa è solo tua...

(o nel caso siano già aggiornati, si è incappatati in un 0-day exploit, cioè un exploit che sfrutta un bug nuovo non ancora patchato)

Uno 0-day è un exploit non rilasciato pubblicamente, ma comunque non è questo il caso

[giangarotto]

adesso ho eliminato il fromupload, facendo così ho migliorato la situazione???

Grazie 10000

[Habanero]

se quello era lo script vulnerabile (l'unico?)... direi di si.

[eraser]

Originariamente inviato da maiosyet
Esatto, la colpa è solo tua...



Uno 0-day è un exploit non rilasciato pubblicamente, ma comunque non è questo il caso

è un exploit non rilasciato pubblicamente che sfrutta un bug non ancora conosciuto o che è stato individuato da pochissimo tempo (di solito lo stesso giorno che viene usato l'exploit)

cmq sia si, non è questo il caso