Toon posts:

[Fedora 16] Rootkit?

Pagina: 1
Acties:

vrijdag 6 januari 2012 16:30

Acties:
  • 0 Henk 'm!
  • rogierslag
  • Registratie: Maart 2005
  • Laatst online: 14-10-2024

rogierslag

Topicstarter
Beste medetweakers,

Het lijkt erop dat er een Rootkit op mijn server staat. Helaas houdt dat direct in dat er geen zekere manier is om deze te verwijderen en is herpartitioneren, formatteren en herinstallaren noodzakelijk.

Maar voordat ik overga tot deze relatief desastreuze maatregelen wil ik hier eerst nog wat advies vragen.

Volgens rkhunter krijg ik het volgende (relevante onderdelen; rkhunter was al geinstalleerd)
code:
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71
72
73
74
75
76
77
78
79
80
81
82
83
84
85
86
87
88
89
90
91
92
93
94
95
96
97
98
99
100
101
102
103
104
105
106
107
108
109
110
111
112
113
114
115
116
117
118
119
120
121
122
123
124
125
126

[15:36:40]   /sbin/ifconfig                                  [ Warning ]
[15:36:40] Warning: File '/sbin/ifconfig' has the immutable-bit set.
[15:36:52]   /usr/sbin/lsof                                  [ Warning ]
[15:36:52] Warning: File '/usr/sbin/lsof' has the immutable-bit set.
........
[15:37:14] Checking for cb Rootkit...
[15:37:14]   Checking for file '/dev/srd0'                   [ Not found ]
[15:37:14]   Checking for file '/lib/libproc.so.2.0.6'       [ Found ]
[15:37:14]   Checking for file '/dev/mounnt'                 [ Not found ]
[15:37:14]   Checking for file '/etc/rc.d/init.d/init'       [ Not found ]
[15:37:14]   Checking for file '/usr/bin/.zeen/.. /cl'       [ Not found ]
[15:37:14]   Checking for file '/usr/bin/.zeen/.. /.x.tgz'   [ Not found ]
[15:37:14]   Checking for file '/usr/bin/.zeen/.. /statdx'   [ Not found ]
[15:37:15]   Checking for file '/usr/bin/.zeen/.. /wted'     [ Not found ]
[15:37:15]   Checking for file '/usr/bin/.zeen/.. /write'    [ Not found ]
[15:37:15]   Checking for file '/usr/bin/.zeen/.. /scan'     [ Not found ]
[15:37:15]   Checking for file '/usr/bin/.zeen/.. /sc'       [ Not found ]
[15:37:15]   Checking for file '/usr/bin/.zeen/.. /sl2'      [ Not found ]
[15:37:15]   Checking for file '/usr/bin/.zeen/.. /wroot'    [ Not found ]
[15:37:15]   Checking for file '/usr/bin/.zeen/.. /wscan'    [ Not found ]
[15:37:15]   Checking for file '/usr/bin/.zeen/.. /wu'       [ Not found ]
[15:37:15]   Checking for file '/usr/bin/.zeen/.. /v'        [ Not found ]
[15:37:15]   Checking for file '/usr/bin/.zeen/.. /read'     [ Not found ]
[15:37:15]   Checking for file '/usr/lib/sshrc'              [ Not found ]
[15:37:15]   Checking for file '/usr/lib/ssh_host_key'       [ Not found ]
[15:37:16]   Checking for file '/usr/lib/ssh_host_key.pub'   [ Not found ]
[15:37:16]   Checking for file '/usr/lib/ssh_random_seed'    [ Not found ]
[15:37:16]   Checking for file '/usr/lib/sshd_config'        [ Not found ]
[15:37:16]   Checking for file '/usr/lib/shosts.equiv'       [ Not found ]
[15:37:16]   Checking for file '/usr/lib/ssh_known_hosts'    [ Not found ]
[15:37:16]   Checking for file '/u/zappa/.ssh/pid'           [ Not found ]
[15:37:16]   Checking for file '/usr/bin/.system/.. /tcp.log' [ Not found ]
[15:37:17]   Checking for file '/usr/bin/.zeen/.. /curatare/attrib' [ Not found ]
[15:37:17]   Checking for file '/usr/bin/.zeen/.. /curatare/chattr' [ Not found ]
[15:37:17]   Checking for file '/usr/bin/.zeen/.. /curatare/ps' [ Not found ]
[15:37:17]   Checking for file '/usr/bin/.zeen/.. /curatare/pstree' [ Not found ]
[15:37:17]   Checking for file '/usr/bin/.system/.. /.x/xC.o' [ Not found ]
[15:37:17]   Checking for directory '/usr/bin/.zeen'         [ Not found ]
[15:37:17]   Checking for directory '/usr/bin/.zeen/.. /curatare' [ Not found ]
[15:37:18]   Checking for directory '/usr/bin/.zeen/.. /scan' [ Not found ]
[15:37:18]   Checking for directory '/usr/bin/.system/.. '   [ Not found ]
[15:37:18] Warning: cb Rootkit                               [ Warning ]
[15:37:18]          File '/lib/libproc.so.2.0.6' found
.............
[15:38:00] Checking for SHV4 Rootkit...
[15:38:00]   Checking for file '/etc/ld.so.hash'             [ Not found ]
[15:38:00]   Checking for file '/lib/libext-2.so.7'          [ Not found ]
[15:38:00]   Checking for file '/lib/lidps1.so'              [ Found ]
[15:38:01]   Checking for file '/lib/libproc.a'              [ Found ]
[15:38:01]   Checking for file '/lib/libproc.so.2.0.6'       [ Found ]
[15:38:01]   Checking for file '/lib/ldd.so/tks'             [ Not found ]
[15:38:01]   Checking for file '/lib/ldd.so/tkp'             [ Not found ]
[15:38:01]   Checking for file '/lib/ldd.so/tksb'            [ Not found ]
[15:38:01]   Checking for file '/lib/security/.config/sshd'  [ Not found ]
[15:38:01]   Checking for file '/lib/security/.config/ssh/ssh_host_key' [ Not found ]
[15:38:01]   Checking for file '/lib/security/.config/ssh/ssh_host_key.pub' [ Not found ]
[15:38:02]   Checking for file '/lib/security/.config/ssh/ssh_random_seed' [ Not found ]
[15:38:02]   Checking for file '/usr/include/file.h'         [ Found ]
[15:38:02]   Checking for file '/usr/include/hosts.h'        [ Found ]
[15:38:02]   Checking for file '/usr/include/lidps1.so'      [ Not found ]
[15:38:02]   Checking for file '/usr/include/log.h'          [ Found ]
[15:38:02]   Checking for file '/usr/include/proc.h'         [ Found ]
[15:38:02]   Checking for file '/usr/sbin/xntps'             [ Not found ]
[15:38:03]   Checking for file '/dev/srd0'                   [ Not found ]
[15:38:03]   Checking for directory '/lib/ldd.so'            [ Not found ]
[15:38:03]   Checking for directory '/lib/security/.config'  [ Not found ]
[15:38:03]   Checking for directory '/lib/security/.config/ssh' [ Not found ]
[15:38:03] Warning: SHV4 Rootkit                             [ Warning ]
[15:38:03]          File '/lib/lidps1.so' found
[15:38:03]          File '/lib/libproc.a' found
[15:38:03]          File '/lib/libproc.so.2.0.6' found
[15:38:03]          File '/usr/include/file.h' found
[15:38:03]          File '/usr/include/hosts.h' found
[15:38:03]          File '/usr/include/log.h' found
[15:38:03]          File '/usr/include/proc.h' found
[15:38:04]
[15:38:04] Checking for SHV5 Rootkit...
[15:38:04]   Checking for file '/etc/sh.conf'                [ Found ]
[15:38:04]   Checking for file '/lib/libproc.a'              [ Found ]
[15:38:04]   Checking for file '/lib/libproc.so.2.0.6'       [ Found ]
[15:38:04]   Checking for file '/lib/lidps1.so'              [ Found ]
[15:38:04]   Checking for file '/lib/libsh.so/bash'          [ Found ]
[15:38:04]   Checking for file '/usr/include/file.h'         [ Found ]
[15:38:04]   Checking for file '/usr/include/hosts.h'        [ Found ]
[15:38:04]   Checking for file '/usr/include/log.h'          [ Found ]
[15:38:04]   Checking for file '/usr/include/proc.h'         [ Found ]
[15:38:04]   Checking for file '/lib/libsh.so/shdcf2'        [ Not found ]
[15:38:04]   Checking for file '/lib/libsh.so/shhk'          [ Found ]
[15:38:04]   Checking for file '/lib/libsh.so/shhk.pub'      [ Found ]
[15:38:04]   Checking for file '/lib/libsh.so/shrs'          [ Found ]
[15:38:05]   Checking for file '/usr/lib/libsh/.bashrc'      [ Found ]
[15:38:05]   Checking for file '/usr/lib/libsh/shsb'         [ Not found ]
[15:38:05]   Checking for file '/usr/lib/libsh/hide'         [ Found ]
[15:38:05]   Checking for file '/usr/lib/libsh/.sniff/shsniff' [ Not found ]
[15:38:05]   Checking for file '/usr/lib/libsh/.sniff/shp'   [ Found ]
[15:38:05]   Checking for file '/dev/srd0'                   [ Not found ]
[15:38:05]   Checking for directory '/lib/libsh.so'          [ Found ]
[15:38:05]   Checking for directory '/usr/lib/libsh'         [ Found ]
[15:38:05]   Checking for directory '/usr/lib/libsh/utilz'   [ Not found ]
[15:38:05]   Checking for directory '/usr/lib/libsh/.backup' [ Found ]
[15:38:05] Warning: SHV5 Rootkit                             [ Warning ]
[15:38:05]          File '/etc/sh.conf' found
[15:38:05]          File '/lib/libproc.a' found
[15:38:05]          File '/lib/libproc.so.2.0.6' found
[15:38:05]          File '/lib/lidps1.so' found
[15:38:05]          File '/lib/libsh.so/bash' found
[15:38:05]          File '/usr/include/file.h' found
[15:38:05]          File '/usr/include/hosts.h' found
[15:38:06]          File '/usr/include/log.h' found
[15:38:06]          File '/usr/include/proc.h' found
[15:38:06]          File '/lib/libsh.so/shhk' found
[15:38:06]          File '/lib/libsh.so/shhk.pub' found
[15:38:06]          File '/lib/libsh.so/shrs' found
[15:38:06]          File '/usr/lib/libsh/.bashrc' found
[15:38:06]          File '/usr/lib/libsh/hide' found
[15:38:06]          File '/usr/lib/libsh/.sniff/shp' found
[15:38:06]          Directory '/lib/libsh.so' found
[15:38:06]          Directory '/usr/lib/libsh' found
[15:38:06]          Directory '/usr/lib/libsh/.backup' found
......
[15:39:02] Warning: Checking for possible rootkit strings    [ Warning ]
[15:39:02]          Found string 'fucknut' in file '/sbin/ttymon'. Possible rootkit: SHV5 Rootkit
[15:39:02]          Found string 'lamersucks' in file '/sbin/ttymon'. Possible rootkit: SHV5 Rootkit
[15:39:02]          Found string 'skillz' in file '/sbin/ttymon'. Possible rootkit: SHV5 Rootkit
[15:39:02]          Found string 'propert of SH' in file '/sbin/ttyload'. Possible rootkit: SHV5 Rootkit
[15:39:03]          Found string 'ttyload' in file '/etc/inittab'. Possible rootkit: SHV5 Rootkit


Zelf vermoed ik dus inderdaad de SHV rootkit, de cd zal wel een false positive door de SHV zijn.

Mijn vragen zijn:
  1. De machine is een FC 15 machine geupgrade naar een FC 16 installatie, kan het geen false positive zijn? (denk van niet, eerder werd dit nml niet gedetecteerd)
  2. Hoe kan zo'n rootkit binnengekomen zijn? (SSH root staat uit, enkel toegang via één gebruiker, altijd sudo, alleen yum-repositories, sterke wachtwoorden (40 tekens), iptables aan*)
  3. Is het nog veilig datadumps te maken van /home en /var en deze bij een nieuwe installatie terug te plaatsen? (incl MySQL ed)
  4. Heeft er iemand van jullie ervaring met het bovenstaande en kan mij daar iets over vertellen?
Vooralsnog is de machine preventief afgesloten van het Internet om spam te voorkomen (oid).

Het volgende is mijn iptables. Hoe heeft malware zich hier doorheen kunnen worstelen?
code:
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48

# Firewall configuration written by system-config-firewall
# Manual customization of this file is not recommended.
*filter
:FORWARD ACCEPT [0:0]
:INPUT ACCEPT [0:0]
:OUTPUT ACCEPT [0:0]
# Bestaand
-A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT

# echo
-A INPUT -p tcp -m tcp -m state --dport 7 --state NEW -j ACCEPT
# SSH
-A INPUT -p tcp -m tcp -m state --dport 22 --sport 1024:65535 --state NEW -j ACCEPT
#-A INPUT -p tcp -m tcp -m state --dport 25 --state NEW -j ACCEPT

# HTTP HTTPS
-A INPUT -p tcp -m tcp -m state --dport 80 --sport 1024:65535 --state NEW -j ACCEPT
-A INPUT -p tcp -m tcp -m state --dport 443 --sport 1024:65535 --state NEW -j ACCEPT
#-A INPUT -p tcp -m tcp -m state --dport 8008 --sport 1024:65535 --state NEW -j ACCEPT

# FTP
-A INPUT -p tcp -m tcp -m state --dport 20:21 --state NEW -j ACCEPT
-A INPUT -p tcp -m tcp -m state --dport 10000:10100 --state NEW -j ACCEPT


# PING
-A INPUT -p icmp -j ACCEPT

# Loopback
-A INPUT -i lo -j ACCEPT

# MySql
-A INPUT -p tcp -m tcp --dport 3306 --tcp-flags SYN,ACK,FIN,RST SYN -j ACCEPT

# ...interne dienst...
#-A INPUT -p tcp -m tcp -m state --dport 8000:8001 --state NEW -j ACCEPT

# LogicalDOC
-A INPUT -p tcp -m tcp -m state --dport 8080 --sport 1024:65535 --state NEW -j ACCEPT

#Output
-A OUTPUT -j ACCEPT

# Reject restant
-A INPUT -j REJECT --reject-with icmp-host-prohibited

# Uitvoeren
COMMIT

zaterdag 7 januari 2012 13:38

Acties:
  • 0 Henk 'm!
  • CAPSLOCK2000
  • Registratie: Februari 2003
  • Laatst online: 02-10 22:42

CAPSLOCK2000

zie teletekst pagina 888

rogierslag schreef op vrijdag 06 januari 2012 @ 16:30:
Beste medetweakers,

Zelf vermoed ik dus inderdaad de SHV rootkit, de cd zal wel een false positive door de SHV zijn.
Ze kunnen er natuurlijk ook allebei op staan. Ik ben het eens met je conclusie dat je inderdaad bent geinfecteerd.
Mijn vragen zijn:
[list=1]• De machine is een FC 15 machine geupgrade naar een FC 16 installatie, kan het geen false positive zijn? (denk van niet, eerder werd dit nml niet gedetecteerd)
Onwaarschijnlijk
• Hoe kan zo'n rootkit binnengekomen zijn? (SSH root staat uit, enkel toegang via één gebruiker, altijd sudo, alleen yum-repositories, sterke wachtwoorden (40 tekens), iptables aan*)
De oorspronkelijke betekenis van 'rootkit' is een stuk software dat een gewone gebruiker tot root maakt. Het kan dus zijn dat de kraker op een of andere manier toegang heeft gekregen tot een gewone user-account, en vanaf een root-kit heeft gebruikt om verder te komen.

90% van de infecties komt binnen via een gekraakte website. Draai je een webserver?
• Is het nog veilig datadumps te maken van /home en /var en deze bij een nieuwe installatie terug te plaatsen? (incl MySQL ed)
In het algemeen, nee, dat is niet veilig. Het grootste deel van je data is vast nog wel in orde en sowieso niet kwetsbaar voor misbruik, maar een deel kan zeker wel misbruikt worden. Je zal daar zelf een afweging in moeten maken.
# echo
-A INPUT -p tcp -m tcp -m state --dport 7 --state NEW -j ACCEPT
Niet dat dit echt een probleem is, maar waarom????
# HTTP HTTPS
-A INPUT -p tcp -m tcp -m state --dport 80 --sport 1024:65535 --state NEW -j ACCEPT
-A INPUT -p tcp -m tcp -m state --dport 443 --sport 1024:65535 --state NEW -j ACCEPT
Je draait dus inderdaad een webserver. Dit is bijna zeker de ingang. Niks mis met een webserver op zich, maar er zijn veel erg slecht geschreven webapplicaties die makkelijk te kraken zijn.
# FTP
-A INPUT -p tcp -m tcp -m state --dport 20:21 --state NEW -j ACCEPT
-A INPUT -p tcp -m tcp -m state --dport 10000:10100 --state NEW -j ACCEPT
slowoooooop, slowoooop, slowooooop

FTP is een groot risico. FTP-wachtwoorden zijn zeer eenvoudig af te luisteren. FTP is niet meer van deze tijd. In 99% van de gevallen is er een alternatief dat minstens zo geschikt is. Zet FTP uit.
In mijn ervaring staat FTP tegenwoordig vooral aan omdat niet-technische webdesigners denken dat het de enige manier is om files te uploaden. Geef ze een opvoeding. Gebruik SFTP of een andere veilig protocol.
# MySql
-A INPUT -p tcp -m tcp --dport 3306 --tcp-flags SYN,ACK,FIN,RST SYN -j ACCEPT
M'n alarm begint weer te loeien... Wil je dit echt ACCEPT'en? Die tcp-flags constructie gebruik je typische om nieuwe pakketten te DROP'en.

Het is ook geen goed idee om MySQL rechtstreeks aan internet te hangen. Ik hoop dat je SSL gebruikt met goede wachtwoorden.
# ...interne dienst...
#-A INPUT -p tcp -m tcp -m state --dport 8000:8001 --state NEW -j ACCEPT
Als het intern is kun je die regel beter aan een interne netwerkkaart koppelen.
# LogicalDOC
-A INPUT -p tcp -m tcp -m state --dport 8080 --sport 1024:65535 --state NEW -j ACCEPT
Ken ik niet, ik hoop dat het veilig is.

This post is warranted for the full amount you paid me for it.

zaterdag 7 januari 2012 13:49

Acties:
  • 0 Henk 'm!
  • jan99999
  • Registratie: Augustus 2005
  • Laatst online: 01-10 15:01

jan99999

Het lijkt erop dat er een Rootkit op mijn server staat. Helaas houdt dat direct in dat er geen zekere manier is om deze te verwijderen en is herpartitioneren, formatteren en herinstallaren noodzakelijk.
En ook je MBR goed wissen.

zondag 8 januari 2012 12:43

Acties:
  • 0 Henk 'm!
  • rogierslag
  • Registratie: Maart 2005
  • Laatst online: 14-10-2024

rogierslag

Topicstarter
Verwijderen is inmiddels voltooid, server is ook weer online.

Gelukkig nog een recente backup, die maar teruggezet (toen nog vrij van rootkits iig).

Webserver staat er inderdaad op, maar slechts wat losse PHP applicaties. Deze schrijven nergens iets weg naar het filesystem. Er heeft ook een test Tomcat op gedraaid met een Java opgeving, ik neem aan dat dat de infectie was. Deze is dan ook verwijderd

FTP is inmiddels vervangen door SFTP en FTPS (ene helft gebruikt het ene, andere helft het andere). SFTP users worden gechroot naar hun home directory, rest was dat al en gebruikt dus SSL.

MySQL dient helaas open te staan naar een aantal ranges. Deze ranges zijn nu expliciet toegestaan (externe ranges) in plaats van naar iedereen. De verouderde software die ervan gebruik maakt ondersteund nog geen SSL (gelukkig wordt deze in maart vervangen). Tot die tijd worden er gewoon heel vaak backups gemaakt, zeer beperkte mysql user en enkel de benodigde ip-adressen

De "interne dienst" is een externe dienst die alleen direct indentificerend is ;) Staat normaal een naam. Dit is een shoutcast service welke slechts incidenteel toegankelijk is. Daarom staat die ook uitgecomment

Tenslotte logicaldoc: dit is de java app die draaide op tomcat en deze is dan ook afgesloten en komt niet meer terug. Was zowiezo al een buggy pakket.

Nog een keer rkhunter draaien geeft ook geen problemen meer

huidige iptables code is
code:
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27

# Firewall configuration written by system-config-firewall
# Manual customization of this file is not recommended.
*filter
:INPUT ACCEPT [0:0]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [0:0]
-A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
-A INPUT -p icmp -j ACCEPT
-A INPUT -i lo -j ACCEPT

# SSH en SFTP
-A INPUT -p tcp --dport 22 -j ACCEPT

# HTTP(s)
-A INPUT -p tcp --dport 80 -j ACCEPT
-A INPUT -p tcp --dport 443 -j ACCEPT

# FTPS (enkel SSL verbindingen, rest wordt geweigerd
-A INPUT -p tcp --dport 21 -j ACCEPT

# MySQL ipadressen
-A INPUT -p tcp --dport 3306 -s ***/** -j ACCEPT
-A INPUT -p tcp --dport 3306 -s ***/** -j ACCEPT

-A INPUT -j REJECT --reject-with icmp-host-prohibited
-A FORWARD -j REJECT --reject-with icmp-host-prohibited
COMMIT

zondag 8 januari 2012 13:43

Acties:
  • 0 Henk 'm!
  • vanaalten
  • Registratie: September 2002
  • Laatst online: 12:07

vanaalten

rogierslag schreef op zondag 08 januari 2012 @ 12:43:
Gelukkig nog een recente backup, die maar teruggezet (toen nog vrij van rootkits iig).
... met mogelijk hetzelfde lekke plekje als voorheen.
Er heeft ook een test Tomcat op gedraaid met een Java opgeving, ik neem aan dat dat de infectie was.
... aanname, niet bewezen.
Nog een keer rkhunter draaien geeft ook geen problemen meer
Eh, nee, die hacker heeft nog geen tijd gehad om nog eens binnen te komen. rkhunter geeft alleen aan dat er geen rootkit gevonden is, niet of alles potdicht zit.

Ik zou de komende tijd zeer regelmatig rkhunter blijven draaien en de logs verder goed in de gaten houden, want je weet niet hoe men is binnengekomen dus ook niet of men weer op die manier binnen kan komen.

zondag 8 januari 2012 13:53

Acties:
  • 0 Henk 'm!
  • rogierslag
  • Registratie: Maart 2005
  • Laatst online: 14-10-2024

rogierslag

Topicstarter
vanaalten schreef op zondag 08 januari 2012 @ 13:43:
[...]

... met mogelijk hetzelfde lekke plekje als voorheen.

[...]

... aanname, niet bewezen.

[...]
Het betreft enkel een backup van de data. (mysqldump en wat user submitted content).

De machine is verder volledig opnieuw geïnstalleerd en geconfigureerd. Verder is alles nog eens goed onder de loep genomen. Eventueel onveilige software ed is er nu dus uitgehaald (hopelijk)

Ik ben in ieder geval wel van plan om de machine goed in de gaten te blijven houden en er dus dagelijks nog even naar te kijken. Momenteel geeft rkhunter geen problemen weer (alles weer netjes geconfigd) dus zodra daar iets geks gebeurd kun je er vanuit gaan dat er meteen actie wordt ondernomen.

maandag 9 januari 2012 21:41

Acties:
  • 0 Henk 'm!
  • 7_feet_up
  • Registratie: November 2003
  • Laatst online: 12-08-2023

7_feet_up

Ik ben in ieder geval wel van plan om de machine goed in de gaten te blijven houden en er dus dagelijks nog even naar te kijken. Momenteel geeft rkhunter geen problemen weer (alles weer netjes geconfigd) dus zodra daar iets geks gebeurd kun je er vanuit gaan dat er meteen actie wordt ondernomen.
Wellicht is het je al bekend, maar als je services draait is het belangrijk om de server proactief te onderzoeken op vulnerabilities. Een check op rootkits is immers per definitie te laat. Advies is om je server ook te controleren met tools als openvas, w3af, wapiti. Dmv bijvoorbeeld selinux kun je services als apache restricties opleggen zodat de schade beperkt blijft als er toch een exploit wordt gebruikt. Uiteraard zijn een goede configuratie en regelmatige security updates noodzakelijk. Daarnaast lijken je iptables automatisch gegeneerd door een grafisch tooltje van Fedora. Dat hoeft misschien geen probleem te zijn, maar het houdt je wel verder van het systeem en gewoonlijk draait een server geen X.

dinsdag 10 januari 2012 09:36

Acties:
  • 0 Henk 'm!
  • rogierslag
  • Registratie: Maart 2005
  • Laatst online: 14-10-2024

rogierslag

Topicstarter
De server draait inderdaad geen X, de bovenste commentaarregeltjes zaten er al standaard bij in deze installatie. Verder heb ik me inmiddels wat verdiept in selinux en dat draait nu ook op de server (stond vroeger uit namelijk)

Hopelijk is alles iig opgelost

dinsdag 17 januari 2012 14:12

Acties:
  • 0 Henk 'm!
  • Thc_Nbl
  • Registratie: Juli 2001
  • Laatst online: 21-05 22:24

Thc_Nbl

ja kan ook het volgende doen om je webserver even goed te beveiligen.
mod-security is een prima tool hiervoor. http://www.modsecurity.org/
hier een wat verouderde handleiding maar dan heb je een richtlijn.
http://www.cyberciti.biz/...d_security-configuration/

via de mod-security logs kan je in iedergeval zien wat er geprobeerd wordt.
Let wel, je kan hem ook te ver dicht zetten, maar daarvoor kan je weer specifieke rules uitzetten.
of een rule op een file uitzetten. b.v.
hier wat voorbeelden.
http://atomicorp.com/wiki/index.php/Mod_security

sinds dat ik mod-security draai heb ik geen hacks meer gehad. De laatste had was 10 jaar geleden ofzo, op red hat.
suc6 met dicht zetten.

ehhh.. noppes

Pagina: 1
Reageer

Apple iPhone 17 LG OLED evo G5 Google Pixel 10 Samsung Galaxy S25 Star Wars: Outlaws Nintendo Switch 2 Apple AirPods Pro (2e generatie) Sony PlayStation 5 Pro

Tweakers is onderdeel van DPG Media B.V.
Alle rechten voorbehouden - Auteursrecht © 1998 - 2025 • Hosting door TrueFullstaq