{"id":444,"date":"2009-07-16T14:21:25","date_gmt":"2009-07-16T13:21:25","guid":{"rendered":"http:\/\/blog.guiguiabloc.fr\/?p=444"},"modified":"2009-07-16T14:21:25","modified_gmt":"2009-07-16T13:21:25","slug":"scans-web-engluer-les-requetes-automatisees","status":"publish","type":"post","link":"http:\/\/blog.guiguiabloc.fr\/index.php\/2009\/07\/16\/scans-web-engluer-les-requetes-automatisees\/","title":{"rendered":"Scans web, engluer les requ\u00e8tes automatis\u00e9es"},"content":{"rendered":"

Aujourd’hui un petit billet pour s’amuser un peu avec les scripts kiddies.<\/p>\n

Si vous h\u00e9bergez votre propre serveur web, vous avez s\u00fbrement remarqu\u00e9 l’acc\u00e8s ind\u00e9sirable \u00e0 votre serveur http par des requ\u00eates plus ou moins automatis\u00e9es dans le but de d\u00e9couvrir une faille potentielle.<\/p>\n

Dans le genre :<\/p>\n

\r\n[Sun Jul 12 06:26:57 2009] [error] [client 1.2.3.4] File does not\r\nexist: \/var\/www\/phpmyadmin\r\n[Sun Jul 12 06:26:58 2009] [error] [client 1.2.3.4] File does not\r\nexist: \/var\/www\/phpMyAdmin\r\n<\/pre>\n
Bien entendu, en bon admin que vous \u00eates, vous avez greff\u00e9 ModSecurity<\/a> sur votre Apache pr\u00e9f\u00e9r\u00e9, ce qui limite grandement la casse et renvoi le petit merdeux<\/span> bonhomme dans sa chaumi\u00e8re avec un joli code 400 :<\/p>\n
\r\n[Wed Jul 15 19:30:36 2009] [error] [client 87.229.108.30] ModSecurity: Warning. Operator EQ match: 0. [id \"960009\"] [msg \"Request Missing a User Agent Header\"] [severity \"WARNING\"] [hostname \"1.2.3.4\"] [uri \"\/phpMyAdmin\/main.php\"] [unique_id \"6cDOIV4XBY0AABEgIhMAAAAD\"]\r\n[Wed Jul 15 19:30:36 2009] [error] [client 87.229.108.30] ModSecurity: Access denied with code 400 (phase 2). Pattern match \"^[\\\\\\\\d\\\\\\\\.]+$\" at REQUEST_HEADERS:Host. [id \"960017\"] [msg \"Host header is a numeric IP address\"] [severity \"CRITICAL\"] [hostname \"1.2.3.4\"] [uri \"\/phpMyAdmin\/main.php\"] [unique_id \"6cDOIV4XBY0AABEgIhMAAAAD\"]\r\n<\/pre>\n
Et bien s\u00fbr coupl\u00e9 \u00e9galement \u00e0 un fail2ban<\/a> ou un ossec<\/a> dans les r\u00e8gles :<\/p>\n
\/var\/ossec\/active-response\/ossec-hids-responses.log\r\nWed Jul 15 19:30:36 CET 2009\r\n\/var\/ossec\/active-response\/bin\/firewall-drop.sh add - 87.229.108.30<\/pre>\n
Pan, gant Mapa<\/a>, gravier<\/a> et bonjour chez toi<\/a>…<\/p>\n
C’est bien mais moi, qu’on vienne m’emb\u00eater, je n’aime pas \u00e7a et sadique comme je sais l’\u00eatre, je suis assez fervent de rendre la monnaie de leur pi\u00e8ces a ces \u00ab\u00a0cliqueurs-de-truc-ki-marche-tout-seul-pour-hack\u00a0\u00bb<\/p>\n
Donc j’ai chercher un moyen de m’amuser avec eux et surtout, ce qui est le pire pour un spammeur\/script-kiddies, leur faire perdre du temps.<\/p>\n
Cette technique d’engluage, appel\u00e9e aussi \u00ab\u00a0sticky honeypot\u00a0\u00bb, est d\u00e9j\u00e0 utilis\u00e9e pour ralentir les vers, bots, etc… gr\u00e2ce \u00e0 l’excellent LaBrea<\/a>.<\/p>\n
Ce programme est ce que l’on appele un \u00ab\u00a0tarpit<\/a>\u00ab\u00a0. Un service r\u00e9seau dont le seul but est de ralentir la connexion a ce service aussi longtemps que possible.<\/p>\n
En effet, un spammeur pour qui l’envoi de masse et la rapidit\u00e9 sont primordiaux, si le serveur de mail en face met 10 secondes a lui r\u00e9pondre au lieu de 1 seconde, vous comprendrez qu’il a de quoi enrager…<\/p>\n
Bref, je vous invite \u00e0 lire les diff\u00e9rents articles sur les liens donn\u00e9es ci-dessus si vous voulez jouer avec cette technique (il y a m\u00eame un patch Tarpit pour iptables<\/a> \ud83d\ude09 )<\/p>\n