Onderwerp: ModSecurity

Naar aanleiding van een andere thread http://www.webhostingtalk.nl/showthr...5&pagenumber=2 even een korte reactie in een nieuwe thread.

Programma's zoals CGI-TELNET http://www.rohitab.com/cgiscripts/cgitelnet.html zijn op verschillende manieren tegen te gaan en een zo'n manier is die door gebruik te maken van ModSecurity http://www.modsecurity.org/

Hosters die niets van dit soort scripts (er zijn meerdere, meer geavanceerde, varianten al dan niet underground te vinden) moeten maar even het eerstgenoemde script downloaden en kijken of de eigen servers genoeg afgeschermd zijn voor dit soort scripts (niet schrikken!).

Met ModSecurity breng je een extra layer aan in de beveiliging van je servers.

Let op! De gevorderde hacker zal nog steeds zijn weg kunnen vinden en daarvoor is het altijd verstandig om zoveel mogelijk security layers te implementeren maar voor het grootste gedeelte(script kiddies) maak je het weer een stuk moeilijker.

Succes!


"ModSecurity is an open source intrusion detection and prevention engine for web applications. Operating as an Apache Web server module, the purpose of ModSecurity is to increase web application security, protecting web applications from known and unknown attacks."

En nu ben ik voornamelijk benieuwd naar de filter die er standaard wordt gebruikt. Ik heb bijv even gekeken of ik dat cgi-telnet kon draaien en dat kon gewoon. Ondanks dat ik bijv ook suexec op perl draai.

Bedankt Domenico, dit is weer een hele goede stap in de richting van een veilig server! Denk dat iedereen hier wel blij mee is. Toppie!

Cgitelnet werkt hier ook.. en je zit dus ingelogd met de user die root heeft, erg klote duz. kga meteen dat scrippie maar derover gooien (Y)

gelukkig log je in als de user onder wiens naam apache draait, dat is natuurlijk nooit root

Als men toch wil kijken heb ik er nog een om te testen, http://beta.xanter.org/exploitlab.rar hij is vrij effectief op de wat oudere systemen.

Origineel geplaatst door Ijsbox
gelukkig log je in als de user onder wiens naam apache draait, dat is natuurlijk nooit root

Zijn er ook omstandigheden waarin deze applicatie standaard niet kan draaien? (en dan bedoel ik omstandigheden zonder mod_security).

ben er niet zo'n voorstander van om mod_security te draaien.

al die klanten die je dan direct aan de telefoon krijg omdat bijv. hun forum niet meer werkt

Origineel geplaatst door The MAzTER
ben er niet zo'n voorstander van om mod_security te draaien.

al die klanten die je dan direct aan de telefoon krijg omdat bijv. hun forum niet meer werkt

Hoe voorkom je dan dat bovenstaand script bijv draait? Want daarmee kan je dus gewoon willekeurige bestanden catten :S.

Origineel geplaatst door Deimos

Hoe voorkom je dan dat bovenstaand script bijv draait? Want daarmee kan je dus gewoon willekeurige bestanden catten :S.

Dan spoort er toch bijster iets niet in je security, zo snel mijn apache user maar iets probeert bij een andere user is het acces denied.

Origineel geplaatst door Deimos

Hoe voorkom je dan dat bovenstaand script bijv draait? Want daarmee kan je dus gewoon willekeurige bestanden catten :S.

perl / cgi niet toestaan

Origineel geplaatst door Ijsbox
gelukkig log je in als de user onder wiens naam apache draait, dat is natuurlijk nooit root

klopt wel jah, had ff snel gekeken, admin@ stond er.. maar zal er vast wel altijd staan dan. Bij sommige heb ik wel Access Denied zonder extra script van TS te installeren. Maar /etc e.d. zou ook wel fijn zijn als deze not accessable worden.. Strax dat script van TS maar eens uitchecken...

Origineel geplaatst door The MAzTER


perl / cgi niet toestaan

Is IMO niet echt een oplossing,......

ModSecurity kan in het begin inderdaad wat problemen geven maar als je de logfiles goed in de gaten houd en de filters leert begrijpen is dit zo opgelost.

In ieder geval kan je door goed configureren dit soort scripts(en vele andere dingen) disablen mbv ModSecurit.

Het disablen van bijvoorbeeld Perl is natuurlijk wel erg drastisch. Kun je net zo goed de netwerkkaarten er ook uit halen.

Niet meer reacties?

Waarschijnlijk dat het merendeel hier cgi-telnet kan runnen. Is toch echt een groot probleem hoor maar ik begrijp ook wel dat niet iedereen dat hier wil vermelden.

Ik heb er mee getest, maar vind het een "lijm-middel".

Je beveiliging op OS niveau moet gewoon goed zijn en niet een POST en GET filter, dat lijkt me niet echt een goede oplossing.

Maar dat is mijn mening.