Wget e tumblr

Su tumblr ci sono delle spettacolari gallerie di immagini ed alcune volte viene voglia di clonare un sito.

Villeneuve

per farlo in modo automatico e' utile usare wget (sostituire la parte in giallo con il sito preferito)

wget -H -N -k -p -r -Dmedia.tumblr.com,fuckyeah-formula1.tumblr.com -U "Mozilla/5.0 (Windows NT 6.1; WOW64; rv:6.0a2) Gecko/20110613 Firefox/6.0a2" http://fuckyeah-formula1.tumblr.com/

Proteggere awstats con .htaccess su Centos 7

Per proteggere con password mediante il file .htaccess le statistiche di awstats si inizia configurando Apache e settando la directory che si intende proteggere nel file /etc/httpd/conf.d/awstats
---------------------------------------------------
<Directory /usr/local/awstats/wwwroot>

DirectoryIndex awstats.pl 

Options ExecCGI 

AllowOverride AuthConfig 

Require all granted

Allow from all 

</Directory>

---------------------------------------------------

si riavvia il servizio

systemctl restart httpd.service 

poi si imposta un file con la password

con il comando seguente si setta la password per l'utente luca nel file /var/ww/secure/pass_apache

htpasswd -c /home/secure/pass_apache luca
con Selinux attivato e' importante che il file contenente i file delle password si trovi nella sottodirectory /var/www/ (pena il fatto che Apache risponda con un errore 500)
per questo motivo ho creato una directory /var/www/secure ed ho inserito qui il file delle password

per essere sicuri sui permessi
chown apache:apache /var/www/secure/pass_apache
chmod 0660 /home/secure/apasswords

infine si crea il file .htaccess in /usr/local/awstats/wwwroot/cgi-bin

---------------------------------------------------

AuthType Basic 

AuthName "Restricted Access" 

AuthUserFile /var/www/secure/pass_apache 

Require user luca

---------------------------------------------------

Monitorix su Debian e CentOS

Sempre per il motivo che sto diventando pigro, avevo bisogno di un sistema semplice per monitorare lo stato di un server da Web.Senza scomodare Nagios, una soluzione che ho trovato carina e' quella di installare Monitorix

Debian
Per l'installazione su Debian la cosa piu' comoda non e' fare affidamento al repository non ufficiale quanto usare l'installazione da .deb

prima di scarichino i pacchetti delle dipendenze con
apt-get install rrdtool perl libwww-perl libmailtools-perl libmime-lite-perl librrds-perl libdbi-perl libxml-simple-perl libhttp-server-simple-perl libconfig-general-perl libio-socket-ssl-perl

ed in seguito si scarica il .deb installando con 

dpkg -i monitorix_3.6.0-izzy1_all.deb

adesso si puo' avviare il service con 

service monitorix start

e puntare il browser su 

http://localhost:8080/monitorix

CentOS 7

Anche su CentOS si deve procedere con l'installazione manuale mediante

yum install rrdtool rrdtool-perl perl-libwww-perl perl-MailTools perl-MIME-Lite perl-CGI perl-DBI perl-XML-Simple perl-Config-General perl-HTTP-Server-Simple perl-IO-Socket-SSL

poi si scarica l'rpm http://www.monitorix.org/monitorix-3.6.0-1.src.rpm e si installa come 

rpm -ivh http://www.monitorix.org/monitorix-n.n.n-1.noarch.rpm

come nel caso precedente si avvia il servizio

il problema con CentOS 7 e' che la porta 8080 e filtrata di default per cui si deve aggiungere la regola

firewall-cmd --zone=public --add-port=8080/tcp

deve essere inoltre modificato il file di configurazione perche' il nome dell'interfaccia di rete di default su CentOS non e' eth0 ma enp3s0

Security update automatico su Debian e CentOS

Dato che sono diventato pigro ed i server sono aumentati ho deciso di mettere l'aggiornamento automatico sulle macchine CentOS e Debian. Cio' che volevo evitare usando un sistema automatico era quello di avere aggiornamenti non di sicurezza che possono compromettere le applicazioni in uso
Con l'ultima versione di CentOS7 e qualche modifica su Debian adesso e' decisamente fattibile

CentOS
per attivare l'aggiornamento automatico su CentOS si deve installare il pacchetto yum-cron
yum install yum-cron

la configurazione si effettua mediante /etc/yum/yum-cron.conf
l'aspetto nuovo di CentOs 7 e' la possibilita' di selezionare l'aggiornamento dei soli pacchetti di sicurezza modificando update_cmd
Per l'installazione automatico si porta su yes apply_updates

Comoda e' la possibilita' di impostare una mail a cui inviare i messaggi
Per attivare yum-cron si digita

systemctl start yum-cron.service
per verifica lo stato del servizio
systemctl status yum-cron.service

---------------------------------------------------------------------------

Debian

Per Debian ho usato la guida di questo sito

in pratica si deve creare il file /etc/cron-apt/action.d/5-security ed aggiungere

upgrade -y -o APT::Get::Show-Upgraded=true

creare il file /etc/cron-apt/config.d/5-security  ed aggiungere

OPTIONS="-o quiet=1 --no-list-cleanup -o Dir::Etc::SourceList=/etc/apt/sources.list.d/security.list -o Dir::Etc::SourceParts=\"/dev/null\""

creare il file /etc/apt/sources.list.d/security.list ed aggiungere

deb http://security.debian.org/ wheezy/updates main deb-src 

http://security.debian.org/ wheezy/updates main

a questo punto il cron e' settato per le 4 di notte (si modifica da /etc/cron.d/)
si puo' comunque forzare mediante cron-apt

di seguito il risultato su /var/log/cron-apt/log

-----------------------------------------------------------------
root@debian:/etc/cron.d# tail /var/log/syslog
Sep  3 11:48:28 debian cron-apt: CRON-APT LINE: /usr/bin/apt-get -o quiet=1 --no-list-cleanup -o Dir::Etc::SourceList=/etc/apt/sources.list.d/security.list -o Dir::Etc::SourceParts="/dev/null" upgrade -d -y -o APT::Get::Show-Upgraded=true
Sep  3 11:48:28 debian cron-apt: Reading package lists...
Sep  3 11:48:28 debian cron-apt: Building dependency tree...
Sep  3 11:48:28 debian cron-apt: Reading state information...
Sep  3 11:48:28 debian cron-apt: The following packages will be upgraded:
Sep  3 11:48:28 debian cron-apt:   liblua5.1-0
Sep  3 11:48:28 debian cron-apt: 1 upgraded, 0 newly installed, 0 to remove and 0 not upgraded.
Sep  3 11:48:28 debian cron-apt: Need to get 0 B/185 kB of archives.
Sep  3 11:48:28 debian cron-apt: After this operation, 32.8 kB disk space will be freed.
Sep  3 11:48:28 debian cron-apt: Download complete and in download only mode

SSH domenica mattina

Svegliarsi una domenica mattina e trovare la porta 22 tempestata di 7205 richieste di accesso non ha prezzo

Trojan (cinese?) su server Debian

Su un server Debian ho trovato un file denominato zcrunqppuv all'interno della directory /boot con un corrispettivo script di lancio in /etc/init.d/
Sulla macchina (non aggiornata) erano attivi lighthttpd, ssh, vnc e teamviewer

Il file ha una dimensione di 621980 bytes ed una firma MD5 33e562001c623b69ac433f4951106a51

Visto il nome e visto che non ricordo di aver mai visto una Debian con un nome di questo tipo dentro /boot ho provato ad indagare. Con il comando file si ha che

zcrunqppuv: ELF 32-bit LSB executable, Intel 80386, version 1 (SYSV), statically linked, for GNU/Linux 2.6.9, not stripped

ho provato a decompilarlo con RecStudio ma il programma non terminava mai l'elaborazione. Mediante objdump e strings ho recuperato l'inizio del programma

------------------------------------------ 

 8048110 31ed5e89 e183e4f0 50545268 90490508  1.^.....PTRh.I..

 8048120 68d04905 08515668 d0c90408 e8efc000  h.I..QVh........

 8048130 00f49090 5589e553 83ec04e8 00000000  ....U..S........

 8048140 5b81c320 4f08008b 93fcffff ff85d274  [.. O..........t

 8048150 05e8aa7e fbf7585b c9c39090 90909090  ...~..X[........

 8048160 5589e553 83ec0480 3dc4db0c 08007554  U..S....=.....uT

 8048170 b824d00c 082d1cd0 0c08c1f8 028d58ff  .$...-........X.

 8048180 a1c0db0c 0839c376 1f8db426 00000000  .....9.v...&....

 8048190 83c001a3 c0db0c08 ff14851c d00c08a1  ................

 80481a0 c0db0c08 39c377e8 b870f80a 0885c074  ....9.w..p.....t

 80481b0 0cc70424 7c6b0c08 e8b37606 00c605c4  ...$|k....v.....

 80481c0 db0c0801 83c4045b 5dc38db6 00000000  .......[].......

 80481d0 55b8d0fa 0a0889e5 83ec18e8 00000000  U...............

 80481e0 5a81c280 4e080085 c0742089 54240cc7  Z...N....t .T$..

 80481f0 44240800 000000c7 442404c8 db0c08c7  D$......D$......

 8048200 04247c6b 0c08e8c5 780600a1 28d00c08  .$|k....x...(...

 8048210 85c07412 b8000000 0085c074 09c70424  ..t........t...$

 8048220 28d00c08 ffd0c9c3 5589e583 ec188b45  (.......U......E

 8048230 10894424 088b450c 89442404 8b450889  ..D$..E..D$..E..

 8048240 0424e879 d901008b 45108944 24048b45  .$.y....E..D$..E

 8048250 08890424 e8271100 00b80000 0000c9c3  ...$.'..........

 8048260 5589e583 ec288b45 0c83e801 89442408  U....(.E.....D$.

 8048270 8b450889 442404c7 0424911c 0b08e8cd  .E..D$...$......

------------------------------------------

Tra le stringhe si osservano i seguenti indirizzi IP

1.1.2.1 (Cina)

103.25.9.228 (Cina)

8.8.8.8 (il DNS di Google)

Un altro aspetto interessante e' la seguente sequenza

------------------------------------------

Accept: */*

Accept-Language: zh-cn

User-Agent: Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.2; SV1; TencentTraveler ; .NET CLR 1.1.4322)

Connection: Keep-Alive

http://

POST %s HTTP/1.1

%sHost: %s

Content-Type: application/x-www-form-urlencoded

------------------------------------------

zh-cn indica il codice del cinese semplificato cinese semplificato 

inoltre c'e' la seguente sequenza

------------------------------------------

Genu

Auth

cAMD

enti

ntel

ineI

------------------------------------------

che riordinata indica GenuineIntelAuthenticAMD

inoltre la sequenza

------------------------------------------

/usr

/lib

/gcof

------------------------------------------

e' stata ritrovata a questo link su un programma per l'indentificazione di malware

------------------------------------------

 80b1c00 03000000 01000200 00000000 484f4d45  ............HOME

 80b1c10 3d2f0048 49535446 494c453d 2f646576  =/.HISTFILE=/dev

 80b1c20 2f6e756c 6c004d59 53514c5f 48495354  /null.MYSQL_HIST

 80b1c30 46494c45 3d2f6465 762f6e75 6c6c0000  FILE=/dev/null..

 80b1c40 50415448 3d2f6269 6e3a2f73 62696e3a  PATH=/bin:/sbin:

 80b1c50 2f757372 2f62696e 3a2f7573 722f7362  /usr/bin:/usr/sb

 80b1c60 696e3a2f 7573722f 6c6f6361 6c2f6269  in:/usr/local/bi

 80b1c70 6e3a2f75 73722f6c 6f63616c 2f736269  n:/usr/local/sbi

 80b1c80 6e3a2f75 73722f58 31315236 2f62696e  n:/usr/X11R6/bin

 80b1c90 002f7072 6f632f73 656c662f 65786500  ./proc/self/exe.

 80b1ca0 2f70726f 632f2564 2f657865 0023212f  /proc/%d/exe.#!/

 80b1cb0 62696e2f 73680a25 730a002f 6574632f  bin/sh.%s../etc/

 80b1cc0 696e6974 2e642f25 73007700 2f657463  init.d/%s.w./etc

 80b1cd0 2f726325 642e642f 53393025 73006d20  /rc%d.d/S90%s.m 

 80b1ce0 5d29351c 36002573 2573002f 7362696e  ])5.6.%s%s./sbin

 80b1cf0 2f696e73 6d6f6400 7f454c46 00000000  /insmod..ELF....

------------------------------------------

Le prime linee mandano verso /dev/null in modo da non registrare nulla sulla history di bash (in pratica si nasconde cio' che viene digitato sulla shell

------------------------------------------

HOME=/

HISTFILE=/dev/null

MYSQL_HISTFILE=/dev/null

PATH=/bin:/sbin:/usr/bin:/usr/sbin:/usr/local/bin:/usr/local/sbin:/usr/X11R6/bin

/proc/self/exe

/proc/%d/exe

#!/bin/sh

/etc/init.d/%s

/etc/rc%d.d/S90%s

m ])5

%s%s

/sbin/insmod

/proc/net/dev

/proc/rs_dev

Accept: */*

Accept-Language: zh-cn

User-Agent: Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.2; SV1; TencentTraveler ; .NET CLR 1.1.4322)

Connection: Keep-Alive

http://

POST %s HTTP/1.1

%sHost: %s

Content-Type: application/x-www-form-urlencoded

Content-Length: %d

%s%s

GET %s HTTP/1.1

%sHost: %s

/proc/net/tcp

socket:[

/proc

/proc/%d/exe

/proc/%d/fd

/proc/%s/fd/%s

info=

%u:%s|

%s_%d:%s|

%s/%s

md5=

denyip=

filename=

rmfile=

------------------------------------------

il codice risulta essere stato compilato su 

GCC: (GNU) 4.1.2 20080704 (Red Hat 4.1.2-46)

il che e' strano dato che la macchina e' una Debian

In conclusione non ho trovato niente su Google ma ho qualcosa di piu' di un sospetto che si tratti di un malware di origine cinese

BSBE Vicchio 27-8-2014

Bud Spencer Blues Explosion
Fiera Calda Vicchio 27-8-2014