Onderwerp: Pas op!!: Hackertool voor platleggen Apache webserver

recent match in iptables zal dan ook werken.

Oorspronkelijk geplaatst door XBL

Zijn er al oplossingen gevonden die deze attack voorkomen ipv oplossen (de scriptjes die hier gepost zijn, zijn slechts een oplossing)?

Ja hoor, bijvoorbeeld met ASL middels mod_security en mod_evasive. Wij bieden dit standaard aan bij onze server management klanten.

Er is volgens mij trouwens niet zo veel reden tot paniek; het is niet zo dat er sinds donderdagmiddag op massale schaal aanvallen plaatsvinden.

Oorspronkelijk geplaatst door prupert

Ja hoor, bijvoorbeeld met ASL middels mod_security en mod_evasive. Wij bieden dit standaard aan bij onze server management klanten.

Er is volgens mij trouwens niet zo veel reden tot paniek; het is niet zo dat er sinds donderdagmiddag op massale schaal aanvallen plaatsvinden.

Over mod_evasive schrijft de auteur van het script:

Oorspronkelijk geplaatst door RSnake (op zijn blog)

# RSnake Says:
June 17th, 2009 at 3:22 pm

@phoenix

mod_bandwidth only works with Apache 1.3.

mod_evasive does nothing to stop this unless it tells something else to firewall the user off. I didn’t try every configuration but it doesn’t appear to do much against Slowloris unless it communicates it’s problems to something that has a chance of dealing with it on Apache’s behalf.

Over mod_security zegt hij:

Oorspronkelijk geplaatst door RSnake (op zijn blog)

# RSnake Says:
June 19th, 2009 at 11:32 am

Incidentally we have a new working theory. Our theory is that no Apache module as it stands right now can fix this. We tried mod_security’s “drop” on a single IP address, which should send a FIN immediately upon seeing that IP address. Unfortunately it too was unable to stop this. I think possibly the Apache modules are just called too late. We tried the same thing with .htaccess denys but that only denies once the connection is complete, and mod_security runs after .htaccess. I can’t confirm this theory but maybe someone who is more familiar with Apache internals can.
# RSnake Says:
June 19th, 2009 at 11:36 am

Ivan Ristic confirmed that mod_security runs too late, although it still might be possible to write a module that can defend against this. He also confirmed that there are no good workarounds built into any existing modules that he is aware of - or even to simpler DoS scenarios as well. It’s been something he’s wanted to write, but it doesn’t currently exist.

Het komt er dus op neer dat volgens hem de modules te laat worden aangeroepen, waardoor de huidig beschikbare modules niet effectief zouden zijn tegen een aanval.

Tenzij ik het verkeerd heb begrepen uiteraard!

Ik heb Scott van ASL gevraagd of ASL dit probleem oplost en hun antwoord was:

ASL already protects against this. We have also added in signatures to alert you if this type of attack is occuring.

Dus wat @prupert zegt

Verschillende contacten van me zijn er op CentOS ook mee geholpen, dus dat zou inderdaad gewoon moeten werken

Voor BSD users:
http://charles.lescampeurs.org/2009/...dule-accf_http

Wat is ASL?

http://www.progllc.com/products/asl.html

Op security.nl is er een vervolg te lezen: http://www.security.nl/artikel/29858..._DoS-tool.html

Het verschijnen van een programma waarmee het kinderlijk eenvoudig is om webservers plat te leggen, heeft voor de nodige beroering gezorgd, de meeste bedrijven zouden zich echter geen zorgen hoeven te maken. De publicatie zorgde voor boze reacties, die volgens sommigen niet terecht zijn. Ten eerste heeft Apache de publicatie goedgekeurd en lopen bedrijven met load balancers geen risico. Toch is niet iedereen het daarmee eens. "Als je weet hoeveel servers er Apache draaien, dan maakt dit deze tool zeer gevaarlijk, aangezien het geen enkele kennis van de aanvaller vereist. Het enige wat hij of zij moet doen is het draaien van de tool en de site gaat plat", zegt Bojan Zdrnja van het Internet Storm Center.

Hij adviseert bedrijven met een reverse proxy of load balancer om te controleren of ze daadwerkelijk kwetsbaar zijn of niet. Squid loopt namelijk ook risico. Voor webhosters en andere partijen die een "standalone" Apache webserver draaien zijn er andere oplossingen. De belangrijkste is in dit geval de "TimeOut Directive". Het bepaalt hoelang Apache wacht om een GET request te ontvangen, of hoe lang er op de pakketten tussen de POST requests wordt gewacht.

Een andere optie is het gebruik van een module zoals mod_limitipconn, die het aantal verbindingen van een IP-adres beperkt. Ook deze module heeft zo zijn nadelen, aangezien het ervoor kan zorgen dat legitieme bezoekers vanachter een proxy worden geweerd. "Dit is wat we min of meer op het moment hebben", besluit Zdrnja.

Wat is ASL?

Atomic Secure Linux zie: http://atomicrocketturtle.com/ (ART) de eigenaren zijn twee broers Scott en Mike Shinn. Deze broers hebben een boek geschreven over Linux Security: http://www.computerboek.nl/boek/9780..._michael_shinn

ASL is een plug-in voor Plesk, maar ze zijn bezig met een standalone versie. Wij zijn reseller van ASL

Oorspronkelijk geplaatst door Ber|Art

Atomic Secure Linux zie: http://atomicrocketturtle.com/ (ART) de eigenaren zijn twee broers Scott en Mike Shinn. Deze broers hebben een boek geschreven over Linux Security: http://www.computerboek.nl/boek/9780..._michael_shinn

ASL is een plug-in voor Plesk, maar ze zijn bezig met een standalone versie. Wij zijn reseller van ASL

als reseller, weet jij of er ook plannen zijn om een .deb (debiab/ubuntu etc) versie te produceren van ASL?

Ja, dat weet ik en die plannen zijn er wel, maar je kunt op het Forum van ASL stemmen welke plannen ze per 2 maanden uitvoeren en daar zat volgens mij Debian en Umbuntu nog niet bij.

Maar laten we ontopic blijven als je meer wilt weten over ASL kan je me een PM sturen

Ik draai op alle servers OSSEC HIDS, mod_security en mod_evasive. Krijg je keurig een mail als er weer een ip op de blacklist geplaatst is door DDos of te vaak verkeerde login gegevens.
Wel prettig om te weten wat er op je server gebeurd . Erg makkelijk in gebruik, en er is ook een web interface beschikbaar, al heb ik die nog niet gebruikt.

Misschien dat iemand hier ook iets mee kan.

Oorspronkelijk geplaatst door Jorem

Ik draai op alle servers OSSEC HIDS, mod_security en mod_evasive. Krijg je keurig een mail als er weer een ip op de blacklist geplaatst is door DDos of te vaak verkeerde login gegevens.
Wel prettig om te weten wat er op je server gebeurd . Erg makkelijk in gebruik, en er is ook een web interface beschikbaar, al heb ik die nog niet gebruikt.

Misschien dat iemand hier ook iets mee kan.

Getest met deze hack?

Ga de hack tool niet testen op mijn eigen draaiende servers, maar de hack is toch een dos tool. Daar beveiligt mod_evasive tegen en zet het ip in de firewall. In de logs krijg je dan de volgende regel te zien:
mod_evasive[28822]: Blacklisting address xx.xxx.xxx.xxx: possible DoS attack.

Dat zou toch genoeg moeten zijn om iemand tegen te houden, of heb ik het mis?