🚀 go-pugleaf

Christophe Vandeplas <christophe@vandeplas.com> wrote:
> [-- text/plain, encoding quoted-printable, 53 lines --]

> Gisteren ben ik in mij mail oof even vergeten te melden dat mod_security
> bestaat (voor apache natuurlijk)

> Quote:
> "ModSecurity is an Apache module that adds intrusion detection and
> prevention features to the Web server. In principle it is similar to an
> IDS you would use to analyse your network traffic, except that it works
> on the HTTP level and understands it really well. Because of this it
> allows you to do things that are normal from the HTTP point of view but
> are difficult to do from an classical IDS."

Het probleem is dat dat perfect kan op bv. een dedicated server, waar
enkel je eigen applicaties draaien. Je weet dan exact welke parameters
toegelaten zijn, welke niet, welke een maximum lengte mogen hebben welke
niet enz.

In een hosting omgeving is dit (mijns inziens) niet echt bruikbaar: je
moet al je klanten vragen welke applicaties ze draaien, wat de
toegelaten parameters zijn enz.

> Om mogelijke (nog niet bekende) attacks te blokeren dmv mod_security
> kan je vb deze extra regels bijvoegen:
> SecFilterSelective THE_REQUEST "wget "
> SecFilterSelective THE_REQUEST "perl "
> SecFilterSelective THE_REQUEST "lynx "
> SecFilterSelective THE_REQUEST "ftp "
> SecFilterSelective THE_REQUEST "scp "
> SecFilterSelective THE_REQUEST "rcp "
> SecFilterSelective THE_REQUEST "cvs "
> SecFilterSelective THE_REQUEST "telnet "
> SecFilterSelective THE_REQUEST "ssh "
> SecFilterSelective THE_REQUEST "echo "
> SecFilterSelective THE_REQUEST "nc "
> SecFilterSelective THE_REQUEST "mkdir "
> SecFilterSelective THE_REQUEST "cd /tmp"
> SecFilterSelective THE_REQUEST "cd /var/tmp"

De eerste variant van de worm zou niet door bovenstaande rules gevat
worden. De instructies werden gemaskeerd opgebouwd door een
chr(nummertje)... De tweede zou je waarschijnlijk wel gevat hebben, maar
ik ken ook applicaties die parameters "echo" en zo wel legitiem
gebruiken ...

Vriendelijke groeten,
Frank Louwers

-- 
Openminds bvba                www.openminds.be
Tweebruggenstraat 16  -  9000 Gent  -  Belgium