Onderwerp: Manieren om shellcode om te zetten?

Ik heb de laatste tijd meerdere kiddies gehad die mun apache liggen dood te scannen en proberen via deze naar binnen te komen. Wat me erg opviel is dat een nog ongebruikt domein elke dag 2 visits heeft ongeveer en toch 200 visits totaal.. uit de statistieken is gebleken dat er op 1 dag 160 visits waren. Dit kan natuurlijk niet.

Verder in de statistieken stonden shellcode aanvragen, en ook als User Agent en andere manieren wordt steeds shellcode gebruikt om zo proberen binnen te komen. Abusen lijkt me de enigste oplossing.

Zijn er echter manieren om deze shellcode om te vormen naar normale mensentaal, of iig iets dat leesbaar is, zodat ik kan zien wat ze van plan zijn?

Tim

Misschien als je de betreffende string post dat ik of iemand anders wat meer kan vertellen

Origineel geplaatst door WH-Tim
Dit kan natuurlijk niet.

Verder in de statistieken stonden shellcode aanvragen, en ook als User Agent en andere manieren wordt steeds shellcode gebruikt om zo proberen binnen te komen. Abusen lijkt me de enigste oplossing.


Zijn er echter manieren om deze shellcode om te vormen naar normale mensentaal, of iig iets dat leesbaar is, zodat ik kan zien wat ze van plan zijn?

Tim

Er is een zeer kleine kans dat ze het daadwerkelijk op jou hebben gemunt, waarschijnlijk gebruiken ze een automated scanner die exploits test.

Zoals deze knappe jongens 2500 defacements in 24 uur

Als je je software geupdate houdt heb je niks te vrezen, eventueel kan je iets als mod_security gebruiken

Je zou een abuse melding kunnen mailen, ikzelf vind het dweilen met de kraan open.

je kan naar een paar strings zoeken met google welke exploit ze hebben getracht te misbruiken.

Zoals reeds hierboven vermeld betreft het hoogstwaarschijnlijk een of andere kiddietool. IDS software zoals SNORT detecteert op shellcode en met een handige ruleset erbij kan je de ip's van welke de shellcode afkomstig is blocken. Ook is het installen van mod_security wel een must zijn. De ip's waarvan de "attacks" afkomstig zijn gaan aangeven bij abuse haalt toch niets uit imo. Het gaat hier om 99.95% om geroote boxen ... Hou je Apache up2date & modules zoals mod_php. Verander de owner van wget naar root en laat die enkel exec rights erop hebben hetzelfde voor ncftpget, lynx , links , hiermee disable je al heel erg veel mogenlijkheden, ook enkel de ports die je nodig hebt doorlaten door je firewall en al de rest laten droppen dit voorkomt dat ze shells kunne spawne op andere ports.

IDS+Firewall is handige tool inderdaad, helemaal met een automatische abusemelding Zo hoef je geen zorgen te maken meer over de tijd die het kost en wellicht heeft iemand er wat aan.

Hehe idd , meestal rooted boxen die lekker volgeduwt zijn met kernel modules en andere backdoors maar mischien zou jouw mail wel is de mail kunnen zijn die de admins aanzet om dan toch maar is die box te gaan reinstallen en MISCHIEN een keertje een howto secure my box for dummie's te gaan lezen ;-). We kunnen alleen maar hopen :-)

Dit zijn nog eens reacties . Bedankt, ik ga ermee aan de slag.

Verder staat de firewall inderdaad al aan en enkel de dingen open en forwarded wat essentieel is om te draaien. Ook is alles up-to-date.