Kako otkriti kako je neko provalio u sajt

[ivanhoe]

meni vala ide

proverio sam sad iz drugog browsera i stvarno prebacuje na http://, ali ja u firefoxu koristim https:// link i sve radi normalno, tako da eto, koristite https sta da vam kazem...

[Cartman]

Nema veze sto koristi ssl jer tada nece moci da se direktno uhvate podaci konekcije,
ali ako se sniff-uje saobracaj moze cookie da pokupi, i posle moze napadac da udje u gmail, hotmail, yahoo, proverio sam ih na sopstvenoj kucnoj mrezi.
Pa posle sve zavisi na sta nailazi, mozda postoji neki mail registracije negde, ista sifra itd.
Valja paziti

hint: creepy

[ivanhoe]

obican grep ti radi posao, samo potrazi ove keyworde sto ti je spomenuo Ivan, takodje trazi cudne url_enkodovane stringove, znaci kobasice sa puno %xxxx

U php skriptama loguj $_REQUEST varijable, pa onda taj log fajl grep-uj da vidis da li ti se negde pojavljuje neka SQL komanda ili neki sumnjivi paramtri, za slucaj da ima neki SQL injection propust..

i ako mozes, upgrejduj apache i mysql na serveru na poslednje verzije...

[Aleksandar.Ilic]

naravno i dalje ne znam sta se desavalo sa ovim sajtom, ali sam u medjuvremenu otkrio druge probleme. PhpMyAdmin (ceo dir sa fajlovima) je imao za vlasnika httpd usera (tako da mi je neko tamo stavio C99 root shell ).
I iskljucio sam url_fopen. I samo cu da iskljucim jos sve system exec funkcije. Ako korisnici ne mogu da paze na svoje skripte, ja nemam izbora

[Ivan]

Nisam ga updejtovao odavno ali moze da pomogne u nekim situacijama: PHP Security Info

[Vace]

Obavezno odradi i http://rootkit.nl/projects/rootkit_hunter.html

Svojevremeno sam ga cesto koristio ... evo ti moj script sa starom verzijom rkhunter-a:

cd /usr/local/src/
wget http://downloads.rootkit.nl/rkhunter-1.2.8.tar.gz
tar zxf rkhunter-1.2.8.tar.gz
cd rkhunter

./installer.sh
/usr/local/bin/rkhunter --checkall --quiet --createlogfile

cat /var/log/rkhunter.log | more

Srećno.

[Vace]

Originalno napisao Aleksandar.Ilic

PhpMyAdmin (ceo dir sa fajlovima) je imao za vlasnika httpd usera (tako da mi je neko tamo stavio C99 root shell ).

Auuu ... to baš i nije tako dobro.

Koje još open source aplikacije imaš na serveru ? Starije verzije Horde Webmail imaju žešći bug.

[cvele]

mogao bi za pocetak da chrootujes korisnike...

[Aleksandar.Ilic]

malo je nezgodno zbog kontrol panela koji koristim. Mada su u novoj verziji ubacili to kao opciju, al je verzija jos beta...

[cvele]

Originalno napisao Aleksandar.Ilic

malo je nezgodno zbog kontrol panela koji koristim. Mada su u novoj verziji ubacili to kao opciju, al je verzija jos beta...

Batke da se mi razumemo radi ti sta oces... al ako drzis PHP kao modul, safe mode off (a po svemu procitanom 101% sam siguran da je tako)... mozes slobodno da se poceses jerbo ce svako iole inteligentan da radi sta i kako hoce sa svim fajlovima drugih korisnika... (hint: svi fajlovi imaju istu grupu i istog vlasnika... isti taj vlasnik/clan grupe ih izvrsava... guess what... isti on moze sa svima da radi sta hoce)

Neko reko Verat i Dizajn Zona ?