Kuinka Apache hakkeroidaan?

[Marko Lavikainen]

Olen tässä lukenut viime päivinä noista Virossa ja Suomessa olleista palvelunestohyökkäyksistä ja siitä, että www-palvelimia on kaapattu ja sivujen sisältöjä muuteltu. Se on alkanut pikkuhuhiljaa ihmetyttämään.

Kysymys on, että miten hemmetissä se oikein onnistuu? Mikä on se mekanismi, jolla tuollaisen pystyy tekemään. Onko kyseessä huonot salasanat, palvelinten puskuriylivuoto-ongelmat vai mitkä? Siis, kun lukee uutisia, niin tuntuu olevan jotenkin älyttömän helppoa vaan mennä muuttelemaan toisen palvelimen tietoja, eikä sitä mitenkään pysty estämään.

Onko kenelläkään enempää tietoa asiasta?

[Myrtti]

Kaikkein yleisintä lie mennä sisään jostain muualta kuin apachen aukoista (sinänsä). Tästä esimerkkinä parin vuoden takainen YLEn sivujen itsenäisyyspäivän hakkerointi, jossa huolimaton koodari oli käyttänyt includea väärin ja php:n get-ominaisuuden kautta, jossa osoitekentässä näkyi hakemisto ja tiedosto jota käsiteltiin, päästiin järjestelmän salasanoihin saakka käsiksi.

Ja kokemattoman ohjelmoijan jäljiltä tällaisen aukon löytäminen on helppoa. Itsekin omille kotisivuilleni pari vuotta sitten onnistuin sellaisen tekemään... 

[Asmo Koskinen]

Onko kenelläkään enempää tietoa asiasta?

"But now that you've got your new LAMP server on the internet, how can you tell that your new web server is secure? You test it, of course!"

http://www.howtoforge.org/apache_security_testing_with_nikto

Joten se palvelin pitää testata ennen kuin se laitetaan krakkeroitavaksi.

Ystävällisin terveisin Asmo Koskinen.

[Marko Lavikainen]

Onko kenelläkään enempää tietoa asiasta?

"But now that you've got your new LAMP server on the internet, how can you tell that your new web server is secure? You test it, of course!"

http://www.howtoforge.org/apache_security_testing_with_nikto

Joten se palvelin pitää testata ennen kuin se laitetaan krakkeroitavaksi.

Ystävällisin terveisin Asmo Koskinen.

Kiitos linkistä. Tuo Niktokin löytyi myös suoraan repoista

[Asmo Koskinen]

Kysymys on, että miten hemmetissä se oikein onnistuu?

Rumasti sanottuna - "Mä oon vain töissä täällä..."
Kauniisti sanottuna - "Meidän resurssimme ovat rajalliset..."

"However, no tool is a path to a secure system, but only a guide. It is highly recommended that you keep educating yourself and subscribe to security alerts from a respected authority on the subject. Only then will you hope to stay ahead of the baddies, and keep you and your server from being compromised."

http://www.howtoforge.org/apache_security_testing_with_nikto

Ystävällisin terveisin Asmo Koskinen.