[svn]

Beste weer liefhebbers,

n.a.v. een topic hier op HWA (Tjabine/Ron) en mijn confrontatie met mijn eigen logfiles wil ik graag een draadje beginnen over security van webpagina's. Ik heb vandaag niet veel tijd want het is papa dag, en ik moet er dus voornamelijk voor de kleine zijn

Veel van jullie vinden het leuk om de gegevens van het weerstation te publiceren op internet. Ik vermoed ook dat de meesten daarom een servertje thuis hebben staan met daarop de webpagina. De webpagina starten is tegenwoordig zo moeilijk niet meer, alleen standaard instellingen laten vaak te veel toe waardoor er te veel onveilige websites zijn.

Naast het feit dat deze pagina wordt bezocht door allemaal webcrawlers (robot's die proberen jouw webpagina de indexeren zodat ze gevonden kunnen worden op bijvoorbeeld google) en gewone bezoekers zitten er ook vele miljoenen scriptkiddies op het internet die gewoon voor de lol jouw pagina plat proberen te leggen of bezoekers te pijnigen door trojan horses te verstoppen... HIEP HOI!

In dit topic wil ik gaan bespreken hoe we deze klootzakjes buiten de deur gaan houden door allereerst te beginnen met een vraag en een oefening... de vraag: Ik wil van jullie weten of jullie wel eens je connectie en error logs bekijken van jullie webserver... de oefening: zoek de beide logs eens op en kijk eens of je daar iets ziet zoals

Morfeus fucking scanner, w00tw00t... Dfind, of een bot die bijvoorbeeld opzoek is naar jouw phpMyAdmin pagina.

uitleg: in jouw connectie log zie je alle connecties die zijn gemaakt door jouw webserver, in de error log alle connecties die zijn fout gelopen. Hier kan je zien of jouw server wordt "gepolst" op scripts die geëxploit kunnen worden door onze klootzakjes. De bovenste 3 vond ik voornamelijk in mijn logs terug... maar wat doen ze?

Morfeus fucking scanner: zoekt naar php scripts die lekken vertonen en zo openingen naar het systeem kunnen bieden.

Dfind: ook een exploit scanner, deze checkt het systeem op aanwezige (bekende) security lekken

Bots die zoeken naar bepaalde pagina's: Ik vond ook een bot die was opzoek naar admin pagina's en mijn phpMyAdmin pagina. Doel is duidelijk: vind een inlog scherm om te kijken of je d.m.v. "brute force" kan inbreken op de pagina of als iemand de mogelijkheid heeft om jouw lijn af te luisteren een "man in the middle attack" kan uitvoeren...

Voor nu even genoeg tekst. Ik hoop op leerzame reacties en posts uit jullie logs zodat we er een blik op kunnen werpen en de klootzakjes de pas af te snijden... ik ga een poepluier verschonen!


Groetjes!

[tjabine]

Een goed Initiatief zeg ik zelf.
Alleen hoe zit het dan met die gene die geen eigen server gebruikt en er toch last van heeft?
Of zie ik nu iets over het hoofd?

Gr Ron.

[svn]

Het hangt er vanaf wat jij afneemt bij de hosting partij. Indien jouw website draait op serverspace (dus met meerdere websites op 1 machine) dan behoort de security geregeld te worden door dat bedrijf. Zij kunnen in hun ISS/Apache logs zien wat er gaande is. Meestal hebben dergelijke bedrijven z.g.n. "intrusion detection" systemen. Wanneer iemand ongeautoriseerd wijzigingen maakt in configuratie bestanden of er buiten de webroot wordt gebrowsed gaan de alarmbellen rinkelen van zo'n systeem.

Sommige mensen maken gebruik van een cloud server of als je echt veel geld hebt een dedicated server. Een dedicated server spreekt voor zich, je hebt dan 1 hele server voor jezelf alleen staat deze bij het hosting bedrijf. Een cloud server is een virtuele server, er kunnen meerdere virtuele servers op 1 fysieke server en jij hebt dus de beschikking over 1 virtuele server. In deze gevallen is de security van het besturingssysteem vaak aan jou, maar je kan support vragen aan het hosting bedrijf.

Dit topic is dus vooral voor mensen die zelf de server kunnen/moeten beheren.

[baroman]

Whow computertaal aleluloeja.

Geeft dit ook problemen als mijn data naar de sever van xs4all gaat of ben ik nu banaan?
Ik heb al een goed beveilig systeem op mijn computer zitten namelijk norton.
Maar wat kan ik nog meer doen?

Groeten Ronnie..

[svn]

Ron,

er is niets aan de hand wanneer jouw site gehost wordt door xs4all. xs4all verzorgt dan de beveiliging, en ik weet dat ze dat goed doen . Dit topic is voornamelijk bedoeld voor de mensen met een server(tje) thuis.

Groetjes!


ja... dit topic heeft een hoog nerd gehalte... is er nou niemand met een servertje thuis?

[baroman]

Oke nou je hoord het zoveel verstand heb ik ervan!! Bedankt sven

Groeten Ronnie..

[Luc]

svn schrijft:

ja... dit topic heeft een hoog nerd gehalte... is er nou niemand met een servertje thuis?

Jawel hoor:

Thuis: ontwikkelserver op basis van Linux, Apache en natuurlijk PHP en MySQL. Echter niet toegankelijk vanaf het internet. Geblokkeerd door de router. Alleen via VPN en SSH. Dus security geen issue.

HWA server: Dedicated server managed met SLA contract. Updates, patches en security worden verzorgd door hosting partij. Server zit goed dichtgetimmerd.

Gr,
Luc

[WSWijk]

svn schrijft:
ja... dit topic heeft een hoog nerd gehalte... is er nou niemand met een servertje thuis?

Ja hoor, ik heb hier een (3-tal) servertjes thuis. Een W2K3 domain server, een W2K3-IIS server en een W2K3-FTP server. De IIS en FTP zijn servers die onder virtual server 2003 draaien op de Domain Server.

Ik heb in de logjes zitten kijken en inderdaad, ook ik kom w00tw00t....Dfind tegen en Morpheus.
Voor w00tw00t heb ik effe op internet zitten snuffelen en daar hebben ze het er over dat je je voor die geen zorgen hoeft te maken. w00tw00t kan alleen kwaad als je een webservertje hebt draaien die al een jaar of 5 geen updates heeft gehad.

Voor Morpheus kan je een stukje text in je .htaccess opnemen

RewriteEngine On
RewriteCond %{HTTP_USER_AGENT} ^Morfeus
RewriteRule ^.*$ - [F]

Hiermee blokkeer je de toegang voor de Morpheus Fucking Scanner User Agent.
Dat gaan we dus nog even uitproberen.

Zit nog wel met een ander probleem. Heb de logfiles bekeken, maar met het nieuwe window7 kan je niet echt makkelijk meer in bestanden naar teksten zoeken.
Een idee hoe dat wel kan?

Groetjes

Theo
Weerstation-Wijk.nl

[WSWijk]

WSWijk schrijft:

Voor Morpheus kan je een stukje text in je .htaccess opnemen

RewriteEngine On
RewriteCond %{HTTP_USER_AGENT} ^Morfeus
RewriteRule ^.*$ - [F]

Hiermee blokkeer je de toegang voor de Morpheus Fucking Scanner User Agent.

Even voor de duidelijkheid. Bij mij kan het niet omdat ik W2K3 draai. De .htaccess is alleen voor apache machines... Windows accepteert geen bestandsnamen die met een . beginnen...

Groeten

Theo

[gust]

svn schrijft:

ja... dit topic heeft een hoog nerd gehalte... is er nou niemand met een servertje thuis?

Ik heb een eigen Linux, Apache webserver, via een firewall vanaf internet toegankelijk.
Ik scan de paginas regelmatig op ongewenste code. Heb nu htacces aangepast nav de tip hier.

Een goed initiatief, om beveiliging onder de aandacht te brengen.
groet,
Gust.