Security Lab



Поиск  Пользователи  Правила 
Закрыть
Логин:
Пароль:
Забыли свой пароль?
Войти  
Форум » Взлом и защита » Web приложения
Страницы: 1
RSS
Защита доступа к сайту, логи как пазл :)
 
#1
Это нравится:0Да/0Нет
02.12.2013 12:37:47
Привет всем! ковыряюсь в логах хостинга и в логе ошибок нашел такую фразу(точнее очень много фраз)

[Mon Nov  XX14:40:53 20XX] [error] [client XXX.XXX.XXX.XXX] File does not exist: /usr/local/www/htdocs/webadmin/scripts/setup.php

за крестиками реальные цифры  :)  . ip не мой  :)  .(ip много всяких)

путь встречается разный, но как правило "/usr/local/www/htdocs/" присутствует постоянно.

Вопрос1: как такой запрос можно сформировать в принципе?
Вопрос2: (больше философский) Уж не пытается ли кто-то сделать что-то не очень хорошее?

сервер-apache,
выдержки из error log, (который выше сайта, в папке сайта свой error log)
структура каталогов хостинга даже рядом не лежала со странным запросом

Спасибо за ответы!!!

PS: сразу не смекнул, каталог "/usr/local/www/htdocs/" действительно существует  :)  (спасибо  Ayanami за наводку). (привык от "home" плясать),
но вопрос 1 остается. Это что предположение что при настройке сервера разрешено удаленно непонятно кому лазить по корню компа?
Изменено: Oleg Pustoperov - 02.12.2013 13:12:03
 
 
 
#2
Это нравится:0Да/0Нет
02.12.2013 12:44:08
Простите, но с чего вы взяли что структура каталогов не та? Возможно используются просто смволические ссылки которые вы видите в фтп-клиенте или еще где, а апач в логи пишет настоящие пути к файлам. Я не думаю что такой запрос реально сформировать без какой-то огромной уязвимости в апаче, вероятность чего стремится к нулю.
P.S. По поводу второго пункта - конечно пытается, но скорее всего просто боты. Я бы не стал обращать особого внимания, если конечно из-за этого не страдает отзывчивость сайта.
 
 
 
#3
Это нравится:0Да/0Нет
02.12.2013 13:20:25
Цитата
Это что предположение что при настройке сервера разрешено удаленно непонятно кому лазить по корню компа?
Нет. Просто в каком-то php файле идет подключние этого файла. Но путь к нему неправильный, о чем апач вам любезно и сообщает в логах. Возможно в каких-то конфигах прописаны неправильные пути.
 
 
 
#4
Это нравится:0Да/0Нет
02.12.2013 14:18:59
Цитата
Ayanami пишет:
Просто в каком-то php файле идет подключние этого файла.
нет такого файла  :)  

и php-файлов обращающихся к
File does not exist:/usr/local/www/htdocs/phpmyadmin/
File does not exist: /usr/local/www/htdocs/phpMyAdmin/
File does not exist: /usr/local/www/htdocs/PMA/
File does not exist: /usr/local/www/htdocs/pma/
File does not exist: /usr/local/www/htdocs/admin/
File does not exist: /usr/local/www/htdocs/dbadmin/
File does not exist: /usr/local/www/htdocs/sql/
File does not exist: /usr/local/www/htdocs/mysql/
File does not exist: /usr/local/www/htdocs/myadmin/
File does not exist: /usr/local/www/htdocs/phpmyadmin2/
File does not exist: /usr/local/www/htdocs/phpMyAdmin2/
File does not exist: /usr/local/www/htdocs/phpMyAdmin-2/
File does not exist:/usr/local/www/htdocs/mysql-admin/
File does not exist: /usr/local/www/htdocs/scripts/setup.php
File does not exist: /usr/local/www/htdocs/admin/scripts/setup.php

тоже нет.

ЗЫ. Забавные пути для размышления.
 
 
 
#5
Это нравится:0Да/0Нет
02.12.2013 14:30:15
Это очень похоже на запросы к файлам на сервере, боты ищут файлы обращаясь по адресам http://site/phpmyadmin/ а в настройках апача что-то типа такого:

Код
LogFormat "...%f..."  
Из-за чего собственно в лги и попадает полный путь к файлу.
Я бы не стал особо беспокоиться, это просто боты, которые ищут достаточно очевидные дырки.
Изменено: Ayanami - 02.12.2013 14:31:13
 
 
 
#6
Это нравится:0Да/0Нет
02.12.2013 15:00:42
Цитата
Ayanami пишет:
http://site/phpmyadmin/
такое обращение приведет в директорию home/username/site/phpmayadmin, которая(home/username/site/) и прописана как корневая для сайта в конфигах апача. И это все останется в логах доступа  к сайту.(home/site/logs/access log - с пометкой 404,  местонахождение лога может быть, конечно, почти любым)
По этим путям есть толпа запросов типа http://site/somecpanel, но это решается на уровне .htaccess... deny from all и спишь спокойно. Ну или "более заковыристые фильтры". (можно посмотреть top10 "где народ админки держит"  :)  )
А как сформировать запрос в usr/local, и при этом получить информацию о существовании такого пути(файла), а не грубый ответ насчет длинного носа, я пока не пойму. :(

Я предполагаю, что запрос идет с использованием ip-сервера, а не имени сайта.
 
 
 
#7
Это нравится:0Да/0Нет
02.12.2013 20:00:10
Цитата
Oleg Pustoperov пишет:

А как сформировать запрос в usr/local, и при этом получить информацию о существовании такого пути(файла), а не грубый ответ насчет длинного носа, я пока не пойму.
А если подумать, а не писать вот эту чушь?


Цитата
Oleg Pustoperov пишет:
такое обращение приведет в директорию home/username/site/phpmayadmin, которая(home/username/site/) и прописана как корневая для сайта в конфигах апача.
 
 
 
#8
Это нравится:0Да/0Нет
02.12.2013 20:04:53
Ага - прочитал Ваше исправление. :) Понял причину и ладно. Все зависит от того, что для КОНКРЕТНОГО сайта задано в директиве VirtualHost в секции DocumentRoot. В логах Апача, естественно, пишется абсолютный путь.
 
 
 
#9
Это нравится:0Да/0Нет
03.12.2013 02:55:29
спасибо всем за участие!
особенно за шарм дзенствующего мистицизма последних пары постов ( to SOLDIER:  :)  )
и за расширение горизонтов (to Ayanami  :)  ), ведь и за /home есть жизнь!

решение действительно в DocumentRoot.
на "вопрос 1" ответ прост (как и любой ответ когда его уже знаешь  :)  ).
при помощи браузера это делается "ip/superphpadmin" (не путать "sitename/superphpadmin"  :)  и тогда обращение пойдет в "первый"
DocumentRoot /usr/local/www/htdocs, и сервер не будет ковырять разные там заинклуденные  "virtual configs ", которые DocumentRoot определяют под себя сами (типа "home/username/site1" )  :)
 
 
 
#10
Это нравится:0Да/0Нет
03.12.2013 08:37:17
Ответ на вопрос 2, думаю, Вы тоже получили? :) Обычное (для любого Веб-сайта) сканирование, не более того. Если у Вас этот софт есть (phpMyadmin и прочие вебморды-админки) и расположены в местах, на которые попадают сканирования - во избежание неприятностностей лучше перекрыть их директивами allow,deny в секции Directory. И пусть хоть обсканируются. Ну вот где-то так.
 
 
 
Страницы: 1
Читают тему