Attaque de serveur Apache - Page 1

Yop à tous !

J'ai un serveur Apache 2/PHP 5/MySQL 5 installé sur mon PC (windows xp sp2, oui je sais, un serveur apache windows.... pas bien, bref...) derriere un routeur

je regarde régulièrement les logs d'access et d'erreur d'apache pour vérifier si je n'ai pas trop d'attaques, et j'ai trouvé 2 fois de suite cette erreur 404 :

"level/16/exec/-///pwd"

je ne l'avais jamais rencontrée avant... quelqu'un connait cela ? car google, pas trop...

pour info, voici ce que j'ai sauvé comme infos :

[REDIRECT_REQUEST_METHOD] => GET
[REDIRECT_STATUS] => 404
[REMOTE_ADDR] => 90.2.100.42
[REMOTE_PORT] => 2462
[REDIRECT_URL] => /level/16/exec/-///pwd
[SERVER_PROTOCOL] => HTTP/1.0
[REQUEST_METHOD] => GET
[QUERY_STRING] =>
[REQUEST_TIME] => 05/03/2007 16:45:05

merci par avance

sous windows, ca marchera pas du tout cette commande. Il essaye de faire executer une commande systeme.
Pour prevenir ce genre de trucs, tu peux installer ModSecurity (genre de web app firewall).

./1> euh y a plutôt pas mal de résultats google :
http://www.google.fr/search?q=level+16+exec-pwd
(par contre c'est bizarre, si on met des guillemets autour il en trouve quasiment aucun )

aoups, ca venait surement de ca (ma recherche google)


par contre, du coup, j'ai recherché un peu plus dans mes logs, et j'ai trouvé tout ca :

72.9.251.42 - - [03/Mar/2007:15:19:20 +0100] "GET /a1b2c3d4e5f6g7h8i9/nonexistentfile.php HTTP/1.0" 404 1025
72.9.251.42 - - [03/Mar/2007:15:19:20 +0100] "GET /adxmlrpc.php HTTP/1.0" 404 999
72.9.251.42 - - [03/Mar/2007:15:19:21 +0100] "GET /adserver/adxmlrpc.php HTTP/1.0" 404 1008
72.9.251.42 - - [03/Mar/2007:15:19:21 +0100] "GET /phpAdsNew/adxmlrpc.php HTTP/1.0" 404 1009
72.9.251.42 - - [03/Mar/2007:15:19:21 +0100] "GET /phpadsnew/adxmlrpc.php HTTP/1.0" 404 1009
72.9.251.42 - - [03/Mar/2007:15:19:21 +0100] "GET /phpads/adxmlrpc.php HTTP/1.0" 404 1006
72.9.251.42 - - [03/Mar/2007:15:19:22 +0100] "GET /Ads/adxmlrpc.php HTTP/1.0" 404 1003
72.9.251.42 - - [03/Mar/2007:15:19:22 +0100] "GET /ads/adxmlrpc.php HTTP/1.0" 404 1003
72.9.251.42 - - [03/Mar/2007:15:19:22 +0100] "GET /xmlrpc.php HTTP/1.0" 404 997
72.9.251.42 - - [03/Mar/2007:15:19:23 +0100] "GET /xmlrpc/xmlrpc.php HTTP/1.0" 404 1004
72.9.251.42 - - [03/Mar/2007:15:19:23 +0100] "GET /xmlsrv/xmlrpc.php HTTP/1.0" 404 1004
72.9.251.42 - - [03/Mar/2007:15:19:23 +0100] "GET /blog/xmlrpc.php HTTP/1.0" 404 1002
72.9.251.42 - - [03/Mar/2007:15:19:24 +0100] "GET /drupal/xmlrpc.php HTTP/1.0" 404 1004
72.9.251.42 - - [03/Mar/2007:15:19:24 +0100] "GET /community/xmlrpc.php HTTP/1.0" 404 1007
72.9.251.42 - - [03/Mar/2007:15:19:24 +0100] "GET /blogs/xmlrpc.php HTTP/1.0" 404 1003
90.2.100.42 - - [05/Mar/2007:16:18:10 +0100] "GET /level/16/exec/-///pwd HTTP/1.0" 404 1008
90.2.100.42 - - [05/Mar/2007:17:53:19 +0100] "GET /level/16/exec/-///pwd HTTP/1.0" 404 1008
90.2.100.42 - - [05/Mar/2007:18:42:18 +0100] "GET /level/16/exec/-///pwd HTTP/1.0" 404 1008

j'aime pas beaucoup ca moi....

probablement un bot "pirate" qui tente de prendre la main sur ta machine pour (par exemple) la convertir en proxy pirate...

et tu penses qu'il pourrait y arriver ?

non

C'est un/des bots qui crawlent le web a la recherche de site avec faille, c'est assez "normal" d'avoir ce genre de trucs, et tant que tu installe pas un faille et/ou que ton apache est a jour, pas de soucis a ce faire.

ben "normal" ou pas, c'est la premiere fois (il me semble) en 3 ans que j'ai ce genres de logs... pas cool !

en tout cas, étant donné que tous mes sites sont perso, il n'y a aucun script perso et donc aucune faille qui pourrait être réellement utilisable... De plus, apache est à jour, donc on véra bien... Si d'ici quelques jours on me voit plus sur le net, vous saurez pourquoi !!

mauvais raisonnement, changer raisonnement. C'est pas parce que c'est un site perso que y'a pas de faille dedans Une faille peut être exploitable, point. Après, faut que le bot ait la chance de tomber sur la bonne URL qui va bien, et de tester les bonnes valeurs derrière.

lolo : si c'était une attaque, ton fichier de log aurait pris 100Mo en 48h

comme mes fichiers de log SSH (intéressant aussi...) ils ont pris que 100ko parfois, mais c'est assez impressionnant, déja...

vince > je ne sais pas si c'est cela qui l'a ralenti, mais je gère les erreurs apaches avec mes propres pages d'erreur, mise en base de donnée, et egalement un petit temps d'attente. Je m'étais dis à l'époque que ca dissuaderait les eventuels personnes qui testeraient pleins de noms de fichiers en boucle en attendant à chaque fois la réponse du serveur...

sachant que les bots on quelques centaines de thread qui tournent en meme temps... je suis pas sur que ça les genent bcp ^^

c'est sur... mais j'ai l'impression que les bots en question doivent d'abord faire juste un essai, voient si le serveur répond correctement et dans les temps, et si ils remarquent un truc du style réponse anormalement lente ou msg d'erreur personnalisé, ils ne lancent pas d'attaque bourin


mais en même temps, je peux/doit surement me tromper... j'y connais rien, j'ai jamais fait d'attaques ^^

justement, pour pas avoir besoin d'attentes, ils en font plusieurs en parallèle

c'est bien ce qu'il me semblait.... (que j'y connaissais rien dans ce domaine...)

vince (./10) :
lolo : si c'était une attaque, ton fichier de log aurait pris 100Mo en 48h

Non, c'est une attaque bien specifique la, il recherche a prendre le controle (xmlrpc a chaque fois ou exploit cisco); vu que c'est tres cible, c'est pas pour faire un DoS donc ca prend pas des centaines de mega rapidement...

lolo: Installe mod_security, il te previendra deja de l'exec/16// rt apres, tu peux surement ajouter des regles pour bannir quand ca fait des 404 a repetition.

pour l'exec/16 : vu que je suis sous windows, de toute facon, il peut tjrs essayé...

Tu as qua rajouter un fichier valide a cette addresse qui pese 10 ou 20Go Comme ça tu fait planter le bot

ah vi tiens, ca peut être marrant ^^

Disons que faire plante le bot se base sur une hypothese un peu hasardeuse de comment est farbique ce bot.
Par contre, flooder ta connexion ouais, ca va le faire ca...

Ca c'est sur mais j'osais pas le rajouter

nEUrOO (./21) :
Disons que faire plante le bot se base sur une hypothese un peu hasardeuse de comment est farbique ce bot.
Par contre, flooder ta connexion ouais, ca va le faire ca...

c'est clair, par contre un fichier gzippé de 100 Go de zéros que tu envoies en tant que données compressées (donc qui bouffe juste qqs octets de bande passante) ça peut le faire si le bot a le malheur de faire des requêtes avec une lib de trop haut niveau qui s'amuse à décompresser même si c'est pas nécessaire... (mais bon, je pense que les bots sont plutôt faits de façon minimaliste avec une lib maison, donc c'est pas sûr que ça marche avec bcp de bots)

Godzil (./19) :
Tu as qua rajouter un fichier valide a cette addresse qui pese 10 ou 20Go Comme ça tu fait planter le bot

le mieux serait d'envoyer un fichier adéquat pour provoquer un buffer overflow dans le bot

mais faudrait avoir un sacré bol

Pollux: Les gzip bombs ouais, c sympa ca (10kB -> 100GB)... mais comme tu dis, ca m'etonne qu'ils gerent du gzip; ces bots sotn faits pour balancer un certain nombre d'attaque le plus rapidement possible et changer de server si ca marche pas. Ils sont pas comme des humains qui font du pen-testing, ils essayent juste des attaques predefinies pour certains types d'appli web.

c'est pas parce qu'il fait une attaque prédéfinie qu'il ne fait pas un truc du genre

  if ((cookie = my_http_library.get("victime.com/login?user=root").cookies))
    my_http_library.post("victime.com/exec","rm -rf /",cookie);

nan, mais la tu retombes dans le truc de Godzil, a savoir tu floodes ta connexion

hein ? je parle du côté bot, i.e. rien ne prouve que le bot n'utilise pas une lib qui attend une réponse et fait la décompression elle-même...

mais le point est que ca me parait super etrange qu'un bot implemente une decompression zip si son but est de trouver des failles pour exploiter des serveurs
basiquement, il teste l'existance de fichier pour voir si tel soft est installe, sinon il essaye des exploits basics...

Ce n'est pas dans le code du bot, mais dans le code de la lib que pourrais utiliser le bot