Взлом web серверов: лицом к лицу с опасностью

[realmyst]

Вешайте phpmyadmin на отличный от 80 порт, и будет вам счастье :) Ну и заодно вовремя ставим заплатки, обновляемся, выставляем правильные права, etc… Да, ох уж эта безопасность… :)

[BaBL]

Это не поможет, любое упоминание какого-нить посетителя в гугле нужного адреса приведет к его индексированию, а дальше боты форсеры все сделают как обычно и открытые порты просканят и на отдачу web с 8080 порта обратят внимание и переберут все что можно.

[VElmogA]

в моём случае — поможет, т.к. сервер за NAT'ом

[Imenem]

Запрет на доступ из world чем плох? Оставить доступ с нескольких доверенных IP и все. Сомневаюсь, что кто-то будет настраивать сервер из интернет клуба или что веб-паук будет работать через мобильный интернет, которым пользуется хозяин сервера.

[VElmogA]

очевидность приходит с опытом, в этом то и беда. в своём посте я просил начинающих — искать чужие грабли, а опытных — просто заглянуть в www и заглядывать в логи =)

[realmyst]

Ну так существуют (или пишутся ручками) анализаторы логов, которые просто обязаны в этом деле помочь, и отсевать «бесполезные» и «безопасные» логи, оставив только то, что требует вашего внимания.

Или я вас неправильно понял, и на самом деле вы не отказываетесь от периодических просмотров лог-файлов? :)

P.S. Автор напомнил мне мою маму, которая всегда звонит и напоминает, чтобы я не забыл покушать, а то опять приеду к ней весь такой исхудавший :) Дескать, не забывай очевидного, %username% :)

[realmyst]

Это я прекрасно понимаю, как и понимаю то, что нет в нашем мире ничего идеального. Поэтому, я считаю, что немного параноидальности никогда не помешает :)

[temujin]

А если еще вернее, то надо следить за bugptrack-ами и как только в каком-то известном PHP движке находят дыру (а вполне может статься что и до того), жди гостей. Тупо берется названия характерных имен файлов и ищется в Гугле. Кто использует, к тому стучатся.

[Luge]

Выкладывал как-то аналогичный списочек, только малость полнее.

[dohlik]

>> я пол горячий кофе
Понимаю, что глупо, но поржал ))

[VElmogA]

fixed

[elve]

А где опасность? приключения? сцены боя? взрывающийся вертолет?

1. Если сервер домашний, то phpmyadmin и прочие вкусности можно вполне держать в отдельном виртуалхосте, который будет доступен только с внутренней домашней сети и все будет хорошо =).
2. Вот если бы ваш сервер взламывали терморектальным методом, вот тогда бы правда было… лицом к лицу с опасностью =)

[realmyst]

Если метод терморектальный, то все таки не лицом… :)

[neoweb]

Вот парочка способов защиты ssh, более интересных чем простая замена 22 порта:
www.linuxjournal.com/article/9621

[neoweb]

www.opennet.ru/tips/info/2265.shtml — Port Knocking и Single Packet Authorization

[demonstr]

Можно ещё пользоваться MySQL gui tools, которые замечательно заменяют Phpmyadmin. Правда для их использования нужен не только браузер.

[jeje]

С продакшен сервера просто убирать phpMyAdmin и пользоваться GUI приложениями, или «реальные пацаны» — mysql консолью.

[Devgru]

Да, тоже находил такие строки в логах. До сих пор не знаю как объяснить этим ботам что у меня там не php и mysql а java и postgres :)

[pirrat]

Постоянно наблюдаю в логах подобные вещи, и не только скан на phpmyadmin ну подобные:
/netcat/admin/
/bitrix/admin/
/login.php
/cms/kernel/admin.php

и тп.

не вижу в этом не каких поводов для паники, единственное что интересно откуда боты узнали о моем серваке, если в инете не должно быть ссылок на него…

[Jamon]

мб просто по диапазону ip-адресов?)

[VElmogA]

я и не говорю что паникую) я обратил внимание начинающих админов на эти логи, дальше они сами должны догадаться спрятать админки и прочее

[Somewan]

может, конечно, и не проще, но!
не проще ли для «быстро отдать друзьям файлы по http» использовать сторонние сервисы наподобие Яндекс.Диск? И не знать проблем с безопасностью?

[medvoodoo]

Конечно все приходит с опытом.
1) Переопределяем порты ssh и ftp
2) Запрещаем регистр глобалс
3) Помним, что в сети есть кривые скрипты, которые эмитируют регистр глобалс — соответственно делаем: allow_url_include = Off можно за компанию и allow_url_fopen = Off, если ничего удаленно не получаем
4) директорию phpmyadmin закрываем паролем апача
5) ставим детекторы на перебор и определенные запросы с занесением хостов в черный список iptables
6) ставим еще кучу утилит, отслеживающих изменение файлов
7) отдыхаем постоянно следим за логами, обновляем по, бекапимся, запускаем проверки… ибо мы не хомячки а параноикитру админы :)

[VElmogA]

первый комментарий, который я добавил в избранное, спасибо

[maslyak]

кто подскажет как ограничить лимит http-запросов с одного IP? Можно ли это апачем сделать или надо в iptables колдовать?