Hallo,
hab heute auf nen Server entdeckt, dass sich ein normaler User (Confixx ohne SSH) einen Psybnc + Shoutcast compiliert und gestartet hat.
Meine Frage? Hää? Wie geht denn das?
Weiß das wer? Wie kann ich mich dagegen schützen? Gibts eine Art Alarm, der mir anzeigt, wenn ein neuer Port aufgeht?
Hä? Wie geht denn das?
Re: Hä? Wie geht denn das?
Vielleicht mit system() oder exec() per PHP?
-
captaincrunch
- Userprojekt
- Posts: 7066
- Joined: 2002-10-09 14:30
- Location: Dorsten
- Contact:
Re: Hä? Wie geht denn das?
Und? Sofern der User sowohl auf die Verzeichnisse, in denen die Binaries später liegen, als auch auf den Port (also alle >1024) freien Zugriff hat, kannst du da herzlich wenig gegen machen.
Wobei wir allerdings wieder bei dem Punkt wären, dass ein Compiler auf einem Webserver nichts zu suchen hat ...
Wobei wir allerdings wieder bei dem Punkt wären, dass ein Compiler auf einem Webserver nichts zu suchen hat ...
DebianHowTo
echo "[q]sa[ln0=aln256%Pln256/snlbx]sb729901041524823122snlbxq"|dc
echo "[q]sa[ln0=aln256%Pln256/snlbx]sb729901041524823122snlbxq"|dc
Re: Hä? Wie geht denn das?
boozed! wrote:Vielleicht mit system() oder exec() per PHP?
Nein, safe_mode ist auf on, also da kommt er nicht durch. Aber vielleicht mit CGI/Perl?
Aber normalerweise kann man ja ohne root-Rechte keinen Port aufmachen, oder?
-
captaincrunch
- Userprojekt
- Posts: 7066
- Joined: 2002-10-09 14:30
- Location: Dorsten
- Contact:
Re: Hä? Wie geht denn das?
Hast du meinen Beitrag überhaupt gelesen? Jeder User kann Ports >1024 öffnen.
DebianHowTo
echo "[q]sa[ln0=aln256%Pln256/snlbx]sb729901041524823122snlbxq"|dc
echo "[q]sa[ln0=aln256%Pln256/snlbx]sb729901041524823122snlbxq"|dc
-
daniel bradler
- Posts: 94
- Joined: 2002-09-12 12:35
Re: Hä? Wie geht denn das?
Das bringt kaum ein Plus an Sicherheit. Einerseits ist es in der Regel kein Problem, selbst eine Compiler-Umgebung zu installieren (ausreichend Speicherplatz vorausgesetzt). Andererseits kann man seine Anwendungen problemlos auf einem anderen System kompilieren und die binaries auf den Server übertragen.CaptainCrunch wrote:Wobei wir allerdings wieder bei dem Punkt wären, dass ein Compiler auf einem Webserver nichts zu suchen hat ...
Oder übersehe ich da etwas?
Viele Grüße,
Daniel Bradler
Re: Hä? Wie geht denn das?
grsec ist ebenfalls empfehlenswert wenn andere leute zugriff auf dein system haben (egal welcher art).
-
captaincrunch
- Userprojekt
- Posts: 7066
- Joined: 2002-10-09 14:30
- Location: Dorsten
- Contact:
Re: Hä? Wie geht denn das?
Ja. ;)Oder übersehe ich da etwas?
Wie bereits in einem anderen Thread gesagt, ist schon ein bisschen mehr nötig, "mal eben" einen Compiler zu installieren.
Zsätzlich darf ich dann auch hier an http://www.counterpane.com/alert-i20020915-001.html erinnern.
DebianHowTo
echo "[q]sa[ln0=aln256%Pln256/snlbx]sb729901041524823122snlbxq"|dc
echo "[q]sa[ln0=aln256%Pln256/snlbx]sb729901041524823122snlbxq"|dc
Re: Hä? Wie geht denn das?
Bis auf mögliche Konflikte mit der libc und dass die Binarys statisch gelinkt sein sollten, nichts nennenwertes ;)Daniel Bradler wrote:Oder übersehe ich da etwas?
PayPal.Me/JoeUser ● FreeBSD Remote Installation
Wings for Life ● Wings for Life World Run
„If there’s more than one possible outcome of a job or task, and one
of those outcomes will result in disaster or an undesirable consequence,
then somebody will do it that way.“ -- Edward Aloysius Murphy Jr.
Wings for Life ● Wings for Life World Run
„If there’s more than one possible outcome of a job or task, and one
of those outcomes will result in disaster or an undesirable consequence,
then somebody will do it that way.“ -- Edward Aloysius Murphy Jr.
-
daniel bradler
- Posts: 94
- Joined: 2002-09-12 12:35
Re: Hä? Wie geht denn das?
Ggf. verwende ich eine eigene libc. Ich sehe hier hier noch immer keine wirklichen Probleme (also Probleme, die mit etwas Aufwand umgangen werden könnten). Man muss es einem Angreifer nicht leichter machen, als unbedingt nötig. Daher ist es durchaus sinnvoll, wenn der Compiler nicht zugänglich ist. Man sollte sich aber klar sein, daß es keine echte Sicherheit bringt. Ein fehlender Compiler hätte hier vermutlich nicht verhindert, daß ein Serverdienst gestartet wird.Joe User wrote:Bis auf mögliche Konflikte mit der libc und dass die Binarys statisch gelinkt sein sollten, nichts nennenwertes ;)
Viele Grüße,
Daniel Bradler
Re: Hä? Wie geht denn das?
Sofern das Binary die libc zur Laufzeit nicht benötigt ;)Daniel Bradler wrote:Ggf. verwende ich eine eigene libc.
ACK. Man kann auch schon im Vorfeld etwas tun: ftp://twocents.mooo.com/pub/hcc/propolice.txtDaniel Bradler wrote:Man muss es einem Angreifer nicht leichter machen, als unbedingt nötig.
ACK.Daniel Bradler wrote:Daher ist es durchaus sinnvoll, wenn der Compiler nicht zugänglich ist.
PayPal.Me/JoeUser ● FreeBSD Remote Installation
Wings for Life ● Wings for Life World Run
„If there’s more than one possible outcome of a job or task, and one
of those outcomes will result in disaster or an undesirable consequence,
then somebody will do it that way.“ -- Edward Aloysius Murphy Jr.
Wings for Life ● Wings for Life World Run
„If there’s more than one possible outcome of a job or task, and one
of those outcomes will result in disaster or an undesirable consequence,
then somebody will do it that way.“ -- Edward Aloysius Murphy Jr.
Re: Hä? Wie geht denn das?
Ok, danke habe ich nun verstanden. Kann man es nicht vom System aus sperren, dass man keine Ports aufmachen kann?
Gibts für CGI auch eine Art safe_mode oder open_basedir?
Was mich noch interessieren würde: Gibt es eine Möglichkeit sich ein Skript zu schreiben, sollte ein Port aufgemacht werden, dass man irgendwie (per Mail,...) benachrichtigt wird?
Gibts für CGI auch eine Art safe_mode oder open_basedir?
Was mich noch interessieren würde: Gibt es eine Möglichkeit sich ein Skript zu schreiben, sollte ein Port aufgemacht werden, dass man irgendwie (per Mail,...) benachrichtigt wird?
Re: Hä? Wie geht denn das?
Code: Select all
netstat -pletu | grep webRe: Hä? Wie geht denn das?
Kann ich es auch die komplette Ausgabe (es sind mehrere User am Server) der Liste auch an eine Mailadresse senden lassen?
Re: Hä? Wie geht denn das?
Genau das passiert. Sobald ein User einen Port aufmacht erzeugt der Befehl eine Ausgabe die cron wiederum per eMail versendet.
Re: Hä? Wie geht denn das?
suexec für CGI?
Re: Hä? Wie geht denn das?
@øxygen: Ja, aber an wen? Ich würde gerne an eine externe Mail Adresse senden.
@olfi: Ja, das ist natürlich drinnen. Ich weiß ja, welcher User welches Skript laufen lässt, aber ich möchte, für alle User die oberen Ports sperren. Es muss keiner den Port aufmachen bzw. es soll keiner dürfen.
@olfi: Ja, das ist natürlich drinnen. Ich weiß ja, welcher User welches Skript laufen lässt, aber ich möchte, für alle User die oberen Ports sperren. Es muss keiner den Port aufmachen bzw. es soll keiner dürfen.
Re: Hä? Wie geht denn das?
Ich würde gerne an eine externe Mail Adresse senden.
Code: Select all
user$ echo "IhrUsername,name@wohin.de" > ~/.forwardGruss Fritz