Forum Linux.général Tentative de piratage Apache !

Posté par liberforce (site web personnel) le 29 octobre 2004 à 00:35.

Étiquettes : aucune

oct.

2004

J'ai eu la mauvaise surprise en regardant les logs apache de ma machine ce soir : une ligne de ce type apparait

213.89.64.62 - - [25/Oct/2004:21:51:04 +0200] "SEARCH /\x90\x02\xb1\x02\xb1\x02\xb1\x02\xb1\x02\xb1\x02\xb1\x02\xb1\x02\xb1\x02\xb1\x02\xb1\x02\xb1
[etc, etc, ...] 414 372 "-" "-"

Bon, je suis pas trop un pigeon, j'ai bien vu qu'on essayait un buffer overflow sur apache, qui semble t'il a tenu bon. J'ai aussi essayé de le localiser avec un traceroute, mais bon, c'était 2 heures après sa tentative, et le traceroute me retournait "* * *" à partir du 15 saut....

Question : comment être sûr que le pirate ne s'est pas introduit ? Comment faire pour éviter qu'il ne recommence ? Comment être prévenu quand quelqu'un tente un truc aussi gros (genre popup d'alerte) ?

Je précise que je suis sous Mandrake 10.1 avec les version apache suivantes :
apache2-modules-2.0.50-7mdk
apache2-common-2.0.50-7mdk
apache-conf-2.0.50-4mdk
apache2-2.0.50-7mdk

Merci de votre aide à tous, que je puisse dormir tranquille....

# Pas de quoi s'inquiéter

Posté par Sleem le 29 octobre 2004 à 00:46. Évalué à 9.

L'exploit utilisé contre ton serveur est normalement fait pour s'en prendre aux serveurs IIS, exploitant une faille de type buffer overflow bien connue (google est ton ami si tu veux en savoir plus). Tu ne risques donc rien, le pirate est sans doute un script kiddie lançant son exploit sur des plages d'addresses IP sans vérifier au préalable la nature du serveur web utilisé sur chacun des serveurs rencontrés.

Tu n'as donc pas à t'en faire, contente toi d'appliquer régulièrement les mises à jour, de maintenir proprement ton infrastructure et d'être au courant des bulletins de sécurité (en t'inscrivant à la liste de sécurité de mandrake par exemple).
# faut pas s'en faire

Posté par Bernez le 29 octobre 2004 à 01:02. Évalué à 7.

Comme l'a dit Sleem, ce n'est pas une attaque contre Apache, mais contre IIS.

comment être sûr que le pirate ne s'est pas introduit ?
Si t'utilises pas IIS, c'est bon.

Comment faire pour éviter qu'il ne recommence ?
Convaincre les gens d'arrêter d'utiliser IIS.

Comment être prévenu quand quelqu'un tente un truc aussi gros (genre popup d'alerte) ?
Je te le déconseille fortement. Ce genre d'incidents arrive vraiment très fréquement (à chaque fois uniquement destiné à IIS). Tu serais vite débordé de boulot si t'en fais un fromage à chaque log suspect.
- [^] # Re: faut pas s'en faire
  
  Posté par Antoine Büsch le 29 octobre 2004 à 19:33. Évalué à 1.
  
  Ce genre d'incidents arrive vraiment très fréquement (à chaque fois uniquement destiné à IIS). Tu serais vite débordé de boulot si t'en fais un fromage à chaque log suspect.
  
  C'est malheureusement vrai, et c'est du coup super chiant quand on veut regarder dans ses logs et que c'est rempli de ce genre d'attaques, qui prennent chacune une centaine de lignes...
  
  Est-ce qu'il y a un moyen de configurer le log d'Apache pour filtrer ce genre de lignes, ou au moins pour limiter la taille des lignes loguées ?
# IDS

Posté par Yann 'Ze' Richard (site web personnel) le 29 octobre 2004 à 09:28. Évalué à 3.

Salut,

Plutot qu'utilisez une alerte, installe déjà un système de vérification d'intégrité des fichiers comme AIDE. Ca t'aidera à voir si il y a eu une corruption d'un fichier (genre introduction de backdoor dans un binaire etc..). Tu peut aussi installer chkrootkit pour voir si un rootkit connu est installé sur ton système. Attention, tout ceci n'empeche en rien une intrusion mais permet de la détecter a postériori. Ce n'est pas non plus infaillible..
# Ok

Posté par liberforce (site web personnel) le 29 octobre 2004 à 09:55. Évalué à 2.

Merci à tous, je dormirai plus tranquille ce soir !
# Solution infaillible ...

Posté par djnet le 29 octobre 2004 à 10:44. Évalué à 1.

Du moins pour etre sur de rebooter sur ton vrai noyau ...
C'est de booter sur un CD non effacable.

Sinon, je pense (sans etre sur de cela) que monter les partitions systemes (/etc /usr /bin /sbin ) en read-only doit bien embeter les pirates.

Cela ne protege pas forcement les contre la modifications des autres fichiers (ex: l'arborescence de ton site), si tu dois les laisser en read-write (si tu dois les modifier frequement).

Des commentaires sur ces solutions (CD / read-only) ?
- [^] # Re: Solution infaillible ...
  
  Posté par schyzomarijks le 29 octobre 2004 à 11:35. Évalué à 2.
  
  c'est une mauvaise idée de mettre /etc en read only. En effet certains fichiers comme mtab sont écrit en dynamique. J'avais essayé sur ma mdk 7 et ca faisait planté la phase finale de démontage des volumes.
  
  my 2 cts
  - [^] # Re: Solution infaillible ...
    
    Posté par Panda Voyageur (site web personnel, Mastodon) le 29 octobre 2004 à 12:28. Évalué à 2.
    
    Il y a quelques astuces à mettre en place pour pouvoir passer ses disques en read only (je retrouve plus les liens mais "Google est ton ami" (tm) ). En gros il faut une petite partition read write dans un coin où on déplace les /dev/tty*, quelques /etc/, et remplacement de /etc/mtab par /proc/mounts (liens symboliques dans les repertoires d'origine of course). Et après plus de problème :)

Suivre le flux des commentaires

Note : les commentaires appartiennent à celles et ceux qui les ont postés. Nous n’en sommes pas responsables.