Plop à tous …
Comme vous l’aurez surement remarqué, la quasi-totalité de mes derniers articles sont tirés d’expériences (plutôt foireuses) me poussant souvent à remettre en questions certaines notions que je pensais acquises … cet article n’y couperas pas :s.
Après avoir vénéré les serveurs apache pendant 7 ans, j’ai eu récemment à m’asseoir sur mes convictions et à installer nginx pour avoir des performances convenable …
» En lire plus:Améliorer les performances d’apache avec nginx
salut à tous …
Aujourd’hui on va parler configuration de processus apache … J’ai eu l’occasion en 3-4 jours de connaitre des problèmes sur plusieurs serveurs différents liée à une surconsommation de mémoire due à apache et à sa gestion des processus faisant littéralement planter mon blog (ça swap mal un RPS! donc 2 crash de la machine en 24 heures … avec les nouveaux prix des serveurs dédiés de chez online.net … je risque probablement de migrer prochainement 
).
Bijour,
Encore un truc inutile mais assez intéressant ^^. Tout le monde connait le protocole HTTP pour télécharger des pages web, voir des fichiers, mais on peut aussi écrire des fichiers sur le protocole HTTP via webDAV (supporté de base par windows … si c’est pas la classe ^^).
Bon bien sûr, il existe d’autre protocoles pour partager des fichiers (ftp, p2p, smb), mais webDAV a ses avantages :
Niveau configuration, y’a pas grand chose à faire, il suffit de mettre les lignes suivantes dans un fichier de conf d’apache :
Il faut juste créer le htpasswd :
On peut ensuite tester l’accès :
Sous linux :
Sous windows, il suffit d’ouvrir l’url comme dossier web (Alt+O) en donnant l’url.
Bien sûr, si vous avez le modsecurity, vos logs vont se remplir de pas mal de chose, il faut donc désactiver certaines vérifications faites par le modsecurity, ce qui donne la configuration suivante :
Si vous avez un certificat ssl, vous saurez facilement comment le mettre en place pour chiffrer la connexion. Et hop, une connexion chiffrée sur http :
Bijour …
Alors voilà, maintenant que la présentation de notre projet pour ma licence pro CDED est terminée, je peux montrer l’architecture de notre réseau sans avoir peur d’être plagié par des concurrents ^^.
Donc le but de notre réseau est d’avoir :
Le contexte de notre projet :
Une petite entreprise veut revoir son réseau et ses logiciels/sites web pour plus de productivité, avec pas mal d’intéractions avec l’extérieur (Obligation d’utiliser une base de données extérieur au réseau, plusieurs site web publié avec utilisation de certificats pour le chiffrement (pour l’authentification ça aurait été un peu trop :p), …).
Ce qui a donné le réseau suivant pour notre groupe :
L’architecture est plus ou moins classique, on sépare les serveurs des utilisateurs, côté chiffrement :
Coté architecture matérielle :
Coté architecture logicielle :
, ….)Et hop … on obtient un réseau pas mal sécurisé et gratuit (faut juste payer l’informaticien ).
Par contre, en discutant avec les profs après déploiement de l’architecture sur 8 machines virtuelles (vmware … le proprio saymal mais bon), on s’est rendu compte de quelques problèmes (et ouai … je suis encore un élève ) :
Donc voilà … un petit retour sur l’utilisation de l’open-source pour la sécurité et le déploiement d’un réseau entièrement gratuit, qui se rapproche plus d’une multi-national (bien qu’encore très très très loin) que du réseau familial … qui malheureusement est encore présent dans beaucoups d’entreprises en france (et même des grosses boites … pour qui la sécurité consiste à placer des filtres extrèmement lourd sur leurs proxy et mettre à jour des AV …).
Bijour à vous en ce dimanche ensoleillé (en Alsace ^^).
Petite note : Vous seul êtes responsable de vos actes (de toutes façon, la plupart de ces commandes exécutées par une seule machine ne peuvent plus venir à bout d’un serveur (ou d’une machine quoique …) … donc n’imaginez pas pouvoir planter le serveur de votre petite copine avec les commandes fournit dans l’article … mieux vaut la corriger autrement …)
Voilà mon premier article un peu orienté attaque de l’année (après plein de truc inutile sur comment fortifier son serveur sauce juvamine), ça fait suite à l’attaque qu’a subit korben, et je suis tombé (par hasard!! ça arrive si si je vous jure) sur un vieux numéro de MISC (le numéro 19 de mai-juin 2005 qui était très intéressant … leurs articles sont toujours très intéressant d’ailleurs), qui analysait diverses méthodes de dénis de services.
Donc voici le petit résumé des commandes sympa du mag en question : (Oui dites-le, je ne suis qu’un copieur … et alors ?! J’ai aussi rajouté quelques trucs trouvés sur le net histoire de me faire pardonner ou pas)
On remarque que les paquets ont tous la même tronche (même adresse source et destination) sympa pour se faire choper ^^
On remarque que les ips sources changent … comme c’est direct écrit dans le paquet tcp, y’a de grande chance de ne pas se faire choper … à part si le FAI le détecte ^^. )
On remarque le flag syn/ack, et toujours l’ip source spoofé (l’ip de destination est mon serveur … et je m’autorise à me flooder ^^)
On remarque les flags FIN/SYN/RST/ACK/URG qui sont set … j’ai oublié de prendre le numéro de séquence en screen, mais bon …
A noter qu’encore une fois … le paquet est entièrement forgé, donc si vous ne mettez pas votre ip dedans … ben elle y sera pas ^^, donc on remarque les différents champs du paquet ICMP source/destination et adresse du nouveau gateway, …
)Je rajouterai encore des trucs prochainement … ou pas (si j’arrive à déchiffrer le PDF plus bas :p), si ça vous a intéressé, lisez donc le numéro 19 de MISC (vous serez surement surpris de voir le nombre de truc que j’ai pas encore copié de l’article en question j’ai quand même pris des screenshots :p c’est du boulot, bon je m’enfonce j’arrête là … bon apétit).
Quelques liens :
Bonsoir …
Bé voilà, si vous avez installé la dernière version de ModSecurity (>2.5) avec les generic_attack en filtre, vous avez sûrement remarqué que phpMyAdmin ne fonctionne plus (hé oui, ça fait du SQL Injection :p), mais les blogs peuvent aussi ne plus fonctionner (XSS, voir Command/File Injection si vous tentez de poster du code sur votre blog), ce n’est que dernièrement, que j’ai remarqué ces erreurs, sans trop y faire gaffe (à part que là, ben ça remplissait les logs avec une IP que je connaissait très bien … la mienne, le méchant pirate, je vais porter plainte sur 127.0.0.1 ^^, je suis sûr que la procédure judiciaire passerait ).
Donc pour remédier à ce problème, les gars qui ont dév la bête sont intelligent, ils avaient prévu le coup avec :
SecRuleRemoveById et SecRuleRemoveByMsg
Ce qui donnent donc pour PhpMyAdmin :
et pour WordPress (partie administration)
Pour la partie commentaires … à voir suivant la confiance que vous avez en vos visiteurs ^^ (tentez pas de poster des commentaires sur mon blog avec des commandes systèmes … vous seriez surpris sur mon niveau de confiance … y’a quand même des gars qu’ont tenter de brute-forcer mon phpmyadmin, bande de naab!!!).
A mettre dans l’un de vos fichiers de conf d’apache, et vous ne tomberez plus sur les erreurs 501 (protocole non implémenté) que cela générait.
Voilà … Bonne nuit
Bonjour à tous …
[la traduction du terme analyse dans le texte est GREP ^^ faut pas s'attendre à une analyse mathématique !!]
Bé voilà, comme j’adore raconter ma vie, voici un petit truc sympa :
Aujourd’hui on a eu droit à un cours … le premier depuis des mois!!! L’ennui se faisant sentir (un cours sur les tests … déjà vu en DUT), je me connecte à mon serveur et après un petit tour du proprio … comme d’hab koi ^^ Je lis les logs de mon serveur … (c’est grave docteur ??) et là horreur plein de ligne du ModSecurity m’indiquant pleins de tentatives diverses et variées (XSS, SQL Injection, …).
Un petit aperçu d’une ligne du log :
Le genre du truc qu’en terminal on aime pas trop lire (surtout sur l’écran du téléphone portable) … et pis y’en avais une bonne cinquantaine … et là mes venu la superbe idée (j’imagine que plein d’admins l’on déjà fait, mais bon ^^ au cas où si ça vous intéresse), j’ai crée un petit script qui analyse le log d’erreur d’apache (par grep quoi ^^) et envoi un mail avec les lignes incriminées, ce qui donne donc (il vous faudra bien sûr le mod_security d’installé … cf. mon blog )
et voila passionnante ma vie ^^, en ASM ça se résumerait ainsi : (MOV al,1 XOR ebx,ebx, int 0×80), reste plus qu’à exécuter le script avant le rotatelog histoire d’avoir le résumé des attaques de la journée/semaine …
Je vais peut être en profiter pour faire des graphiques suivant les types d’attaque, leurs nombres, leurs provenances, … ou pas
Petit ajout du 17 mai … pour rajouter un script du genre celui donné plus haut, il faut aller voir dans le fichier /etc/logrotate.d/apache2 et ajouter les lignes suivantes :
après la ligne sharedscripts et hop, on envoi les mails avant la rotation des logs, comme ça on passe pas pour le nolife-ki-li-ses-logs-apache-pendant-les-cours devant ses camarades de classe.
Voilà … bon we
Bonsoir …
Comme j’ai pas grand chose à écrire (et que ça ne sert à rien de réinventer la roue ^^), quelques liens sympa pour ce soir :
Un très bon article sur une façon de contrer les synflooding (dont korben a fait les frais aujourdhui ^^)
Un bon moyen d’améliorer les performances de son serveur apache (utilisant PHP bien sûr) :
J’ai testé le truc, mais je suis pas sûr que ça mettent en cache quelque chose … le chargement de la page principal du blog dure encore 10 secs (faut aussi avouer que le premier accès disque d’un RPS est lent, est que la base de données prend aussi une claque avec le nombre de données affiché, mais bon), j’en ai profité pour améliorer les performances de mon serveur DNS et « sécuriser » la bête au passage.
Sinon, je twitte (faites pas gaffe au nom … c’est mon côté féminin ) quelque liens, et commandes sympa, enfin côté contenu, je compte écrire un ou plusieurs articles sur l’IPSec (que je vais devoir déployer sur un réseaux), ainsi que deux trois autres astuces genre comment planter un serveur Web en 2 2 (… ça plaira à korben après le DoS ;p ).
Voilà … bonne soirée.
Bijour
Bé voilà vé parler du modsecurity2 … pourquoi ?? Ben on trouve pas mal de tut’s sur le net, mais c’est que pour le mod_security (sans le 2 ^^), et la syntaxe à malheureusement changée depuis.
Donc voilà …
Il faut tout d’abord rajouter un dépôt (le mien ^^) au fichier /etc/apt/sources.list :
et rajouter la clé associée au dépôt :
Ensuite faire un apt-get install modsecurity2 && a2enmode mod-security2.
Pourquoi préférer cette version à celle de inittab (proposé par la doc de modsecurity) ?? … parce que c’est la dernière version stable (2.5.7, qui permet des trucs sympa … cf. la fin de l’article )
Par défaut, tous les fichiers de configuration liés au modsecurity2 sont bazardés dans le dossier /usr/share/apache/mod_security2_rules (je suis pas assez doué pour faire du post-install dans mes paquets …), vous pouvez soit les déplacer dans le dossier /etc/apache2/conf.d/, mais il faudra un peu les retoucher (surtout le modsecurity_crs_10_config.conf en modifiant les fichiers de logs, sinon des erreurs apparaitront lors du démarrage du serveur).
Pour utiliser les fichiers de configuration fournit par le paquet :
et modifier toutes les lignes en rapport avec les logs, pour cela, remplacez :
SecAuditLog logs/modsec_audit.log par SecAuditLog /var/log/apaches2/modsec_audit.log
SecDebugLog logs/modsec_debug.log par SecDebugLog /var/log/apache2/modsec_debug.log
Ou bien, vous pouvez faire votre propre fichier de configuration, grâce à la superbe doc.
Pour cela, allez dans le dossier /etc/apache2/conf.d/ et modifiez le fichier security.conf, ou bien en créer un nommé … du nom que vous voulez.
Dans lequel il faudra mettre (au minimum, histoire de faire propre) :
Plein de choses diverses et variées (on peut aussi rajouter quelque lignes des fichiers d’exemple dans /usr/share/apache2/mod_security2_rules, qui peuvent être très intéressante pour bloquer les injections, …).
Pour induire en erreurs/bloquer certains scanners :
Changement de la signature du serveur (un peu grossié ^^ mais ça peut induire en erreur les n00b … ça fait toujours ça de moins) :
Bloquer les requêtes zarb :
Bloquer les accès direct à l’ip du serveur : (cas courant de scan)
Protection contre des fuites lors d’erreurs mysql : (qui pourrait permettre à des petits malin de connaître les tables utilisées, …)
Protection contre des fuites concernant des erreurs php ou un affichage de code php (source code disclosure comme on dit :p) :
Protection contre les XSS :
Et les petits trucs que nous permettent de faire la version 2.5.7 :
(protection contre les bruteforces, il faudra bien sûr changer ARGS:login en fonction de vos champs d’authentification).
Une fois que vous avez terminé votre fichier de configuration, n’oubliez pas le /etc/init.d/apache2 restart
Sinon, comme dit, ce ne sont que des exemples, … la doc est très complète : http://www.modsecurity.org/documentation/
Bonsoir …
<pour les l33ts>
Histoire de se passer de l’article et de passer à l’essentiel :
echo "alias apctl='/etc/init.d/apache2'">> ~/.bashrc
echo 'function ap_gen_virt { cat /etc/apache2/sites-enabled/000-default | sudo sed "/^[#t].*/ d" | sed "s/<VirtualHost [a-z.*]*/<VirtualHost $1/"|sed "1a\tServerName $1ntDocumentRoot /var/www/$1" > /etc/apache2/sites-enabled/$1.conf; }"' >> ~/.bashrc
sudo ap_gen_virt monsite.fr && apctl restart
</pour les l33ts>
Pour les autres :
Les virtualhosts d’apache, à quoi ça peut servir ??? à héberger plusieurs sites sur le même ordinateur de façon « transparente ». On peut même y rajouter des options genre des Handlers différent, des règles de sécurité à part (via le mod_security, …)
Simple exemple : sur le même ordinateur on pourrait héberger le site 192.168.0.10 et monsite.fr … sans avoir à installer plusieurs serveurs … (manquerait plus que ça :p).
Configuration pour le site à l’ip 192.168.0.10 (inutile, mais juste pour l’exemple)
Pour mon premier exemple donc on choisit de « rediriger » (pas le bon mot, puisque c’est directement le DocumentRoot, donc la personne n’accedra à rien d’autre.) les requêtes faites sur l’ip vers le dossier /var/www/pirate … pourquoi pirate ?? en générale, lorsque quelqu’un accède à un serveur via une ip … soit c’est l’admin qui fait son kikoo, soit c’est un pirate qui vient de trouver votre serveur par un scan.
Donc on créer le dossier pirate dans /var/www et on y met un petit fichier html citant pas exemple les différent articles contre des intrusions ou la tentative d’intrusions sur des systèmes de traitements de données automatisées (genre Article 323-1 à 7 du code pénal … ça m’étonnerait que ça calme le pirate, mais ça fait toujours bien de citer les peines encouru ).
On va créer un fichier nommé 192.168.0.10.conf dans le dossier /etc/apache2/sites-enabled
<VirtualHost 192.168.0.10:80>
ServerName 192.168.0.10
DocumentRoot /var/www/pirate
</VirtualHost>
Pour la génération de la configuration, on peut utiliser cette commande si on aime bien faire son l33t (à exécuter dans le dossier /etc/apache2/sites-enabled/ en root) :
cat 000-default | sed "/^[#t].*/ d" | sed "s/<VirtualHost [a-z.*]*/<VirtualHost 192.168.0.10/"|sed "1a\tServerName 192.168.0.10ntDocumentRoot /var/www/pirate">192_168._0_10.conf
Configuration pour l’accès monsite.fr
Ensuite, on crée la conf pour l’accès à monsite.fr (à peu près pareil), sauf que le dossier de contenu ce trouve maintenant dans /var/www/mon_site ce qui donne la config suivante à mettre dans le fichier /etc/apache2/sites-enabled/mon_site.fr :
<VirtualHost monsite.fr:80>
ServerName 192.168.0.10
DocumentRoot /var/www/mon_site
</VirtualHost>
et pis là si on a une dizaine de sites à configurer (et que l’on ne veut pas utiliser le superbe module vhostalias qui permettrait de ce passer de ce genre de configuration) … créer les fichiers un par un c’est bof même avec la commande filé plus haut d’autant plus qu’il faut la modifier à chaque fois …
La superbe fonction bash du kikoo qui veut pas se taper les configs à la main
donc une solution existe … faire une fonction bash … ça donne :
function ap_gen_virt { cat /etc/apache2/sites-enabled/000-default | sudo sed "/^[#t].*/ d" | sed "s/<VirtualHost [a-z.*]*/<VirtualHost $1/"|sed "1a\tServerName $1ntDocumentRoot /var/www/$1" > /etc/apache2/sites-enabled/$1.conf; }
(à exécuter directement dans un terminal, le mieux étant de la rajouter au .bashrc, pour y avoir accès après chaque démarrage), il suffit alors de faire :
sudo ap_gen_virt 192.168.0.10
(pour générer le virtualhost de 192.168.0.10 dans /etc/apache2/sites-enabled/192.168.0.10.conf)
sudo ap_gen_virt monsite.fr
(pour générer le virtualhost de monsite.fr dans /etc/apache2/sites-enabled/monsite.fr.conf)
et voilà … il suffit maintenant de redémarrer le serveur apache pour profiter de ces nouvelles configs :
sudo /etc/init.d/apache2 restart
à noter que là aussi faire un sudo /etc/init.d/apache2 restart c’est pas très sexy, donc on peut exécuter la commande :
alias apctl=’/etc/init.d/apache2′
et là on peut donc redémarrer le serveur apache en tapant :
apctl restart
Voilà … terminé
A noter que la convention voudrait que l’on fassent ça de façon plus propre en passant par un ServerName et/ou un ServerAlias genre :
<VirtualHost 192.168.0.10:80>
ServerName monsite.fr
ServerAlias www.monsite.fr
DocumentRoot /var/www/monsite.fr
</VirtualHost>
© 2012 Le Blog du grand loup Zeur · Fièrement propulsé par WordPress & Green Park 2 par Cordobo.
XHTML 1.0 Transitional valide | CSS 3 valide
