Onderwerp: Antagonist repareert automatisch beveiligingsgaten in websites

Nog steeds een knappe prestatie om op die schaal malware te detecteren.
Laatst wat geexperimenteerd met maldet van r-fx, maar dat is bij enkele tientallen GBs al snel een performance probleem.
Andere oplossing zou natuurlijk zijn in de richting van een high-level firewall met contentscanning, zoals bv Snort.

Zoiets als http://www.stopthehacker.com/ misschien?

Bedankt voor je uitleg Wouter!

Oorspronkelijk geplaatst door Domenico

Zoiets als http://www.stopthehacker.com/ misschien?

Bedankt voor je reactie Domenico! StopTheHacker is inderdaad een mooie tool. Komt in de buurt, maar wij gaan een stapje verder. StopTheHacker reageert vooral op het moment dat het al te laat is, zodra er rommel op je website verschenen is door de uitbuiting van een beveiligingsgat. Volgens de website kunnen ze wel melding maken van beveiligingsgaten, maar ze niet repareren. Onze software kan dat wel.

Oorspronkelijk geplaatst door t.bloo

Dus je controleert iedere dag even alle scripts tegen die uit de backup en zet die terug als er geen goede FTP log bij een wijziging hoort. Zeg dat dan gewoon

Veel mensen hier kennen inderdaad een dergelijke schaalgrootte *kuch* dat dit zou kunnen, ware het niet dat het te moeilijk voor ze wordt als er niet met de muis in een control-panel geklikt kan worden. Bij de schaalgrootte en aantal servers waarop Antagonist opereert is dit echter niet te doen vrees ik.

Oorspronkelijk geplaatst door wdv

Volgens de website kunnen ze wel melding maken van beveiligingsgaten, maar ze niet repareren. Onze software kan dat wel.

Dat kunnen ze dus wel, bij eerste gebruik geef je ftp login mee en dan scannen ze de files via ftp download en niet de eigenlijke html content via http(s), in het geval van malware/... nemen ze een backup via ftp en uploaden de courantste backup die ze hebben. En maken ze de malware content beschikbaar zodat je kunt zien wat er gebeurt is en je dit kunt fixen etc. Het is dus wel degelijk mogelijk, alleen kost het wel wat meer dan het standaard pakket.

Oorspronkelijk geplaatst door The-BosS

Dat kunnen ze dus wel, bij eerste gebruik geef je ftp login mee en dan scannen ze de files via ftp download en niet de eigenlijke html content via http(s), in het geval van malware/... nemen ze een backup via ftp en uploaden de courantste backup die ze hebben. En maken ze de malware content beschikbaar zodat je kunt zien wat er gebeurt is en je dit kunt fixen etc. Het is dus wel degelijk mogelijk, alleen kost het wel wat meer dan het standaard pakket.

Een oude backup terug zetten lijkt mij nog niet het dichten van een gat of ik moet het verkeerd zien.

Oorspronkelijk geplaatst door Mark17

Een oude backup terug zetten lijkt mij nog niet het dichten van een gat of ik moet het verkeerd zien.

Daar heb je gelijk in Mark. Zoals ik al aangaf, StopTheHacker reageert pas op het moment dat het al te laat is. Dat is een concreet verschil met onze aanpak (naast het feit dat ze inderdaad niet het beveiligingsgat daadwerkelijk dichten).

Oorspronkelijk geplaatst door Mark17

Een oude backup terug zetten lijkt mij nog niet het dichten van een gat of ik moet het verkeerd zien.

Het is nog altijd beter dan niets doen .

Oorspronkelijk geplaatst door wdv

Daar heb je gelijk in Mark. Zoals ik al aangaf, StopTheHacker reageert pas op het moment dat het al te laat is. Dat is een concreet verschil met onze aanpak (naast het feit dat ze inderdaad niet het beveiligingsgat daadwerkelijk dichten).

Kortom je bent dus constant bezig met pen testen van je klanten hun websites, anders zie ik niet in hoe je een gat/hack kunt detecteren voor het zich voor doet. Zelf virusscanners lopen achter de feiten aan.

Het klinkt leuk Wouter, en ik ga je wellicht mailen voor meer informatie, maar om hier nou een 'persbericht' van te maken.. Dat is wat mij betreft iets-te-hoog-van-de-toren-blazerij.

Kijk eens naar dit topic: http://www.webhostingtalk.nl/unix-li...bestanden.html

Ik weet het, dit is bedoeld als achteraf scanner in plaats van proactieve gatendichter, maar zelf gebruik ik onder anderen de veroudere-timthumb-scanner die er in zit. Zodra iemand een template installeert met een lekke timthumb dan krijg ik een melding en heeft de klant gelijk (binnen x uur) een nieuwe timthumb er op staan. Dat is toch ook proactief lekken opsporen/dichten ?

Het zal allemaal vast niet zo mooi werken als jullie innovatieve in-house ontwikkelde proactieve technologie. Maar om nou zo te pronken dat jullie de eersten zijn

Maar als je alle 0-days van alle plug-ins en templates van alle open-source pakketten binnen 24 uur weet op te sporen dan neem ik mijn petje af.

En wat doen jullie met illegale templates/plug-ins met extragratis javascript rommel er in? Ruimen jullie dat ook netjes op of houdt het een keer op?

Je kunt toch moeilijk allemaal lekken gaan dichten nog voor ze überhaupt geexploit zijn? En stel er wordt ergens een variable ongescaped in een mysql query gezet, dan gaat die software in de code de boel escapen? Men escaped html uit de database niet, JS/iframe wordt geinclude vanuit de database, de scanner haalt het uit de database en escaped voortaan de data uit sql? Ik vind het allemaal leuk klinken maar ik vraag me af op welk gebied er nu precies iets gedaan wordt. Worden er alleen bekende lekken uit de populaire CMS pakketten gepatcht of is Skynet een heel stuk dichterbij?

Lijkt dan inderdaad meer op pen testen, immers hoe kun je een lek dichten dat niet bekend is? Het idee is goed, maar of het nu echt verstandig is? Ben wel benieuwd naar het antwoord op de voorbeelden die hierboven al geschets zijn. Daarnaast zou ik het niet fijn vinden als een script / programma automagisch in mijn bestanden zit te rommelen. Maar goed, zoals ik lees is het een optie die je zelf aan / uit kunt zetten.

find /* -name '*.php' -exec grep -H '*base64_decode*' {} \;

Hij moet misschien nog iets getweakt worden, maar het begin is er ;-)

[edit] De eerste tweak is typo's weghalen ;-)

grep '((eval.*(base64_decode|gzinflate))|\$[0O]{4,}|FilesMan|JGF1dGhfc|document\.write\("\\u00|sh (3(ll|11)))' /home -roE --include=*.php*