Injection de fichier dans le dossier image

Version stable courante
téléchargement osCSS 1.2.2 RC

Re: Injection de fichier dans le dossier image

Messagepar Ayatus » Jeu 02 Déc 2010, 17:01

Le truc c'est que je peux toujours aller dans ton dossier backups ou afficher la page backup.php.
Le but de changer le nom du dossier admin est de compliquer la tâche aux hackers.
Pour exemple, mon poste qui est en dynhost, dans les log d'apache j'ai régulièrement des tentative d'accès à phpMyAdmin sous divers déclinaisons, mais ils peuvent toujours courir, le nom du dossier n'a aucun rapport avec l'outil.
Avatar de l’utilisateur
Ayatus
Site Admin
 
Messages: 280
Inscription: Sam 19 Avr 2008, 17:23

Re: Injection de fichier dans le dossier image

Messagepar oscim » Jeu 02 Déc 2010, 17:02

Non, pas mailling list, a ce propos cherche contributeur pour la maintenir :D

Si tu as un peu de temps , on peut mettre ca en place, je veut bien te soutenir / aider dans cette demarche

Nous y avons deja reflechi, mais pas aller plus loin

Pour les alerte actuellemnt le forum et le tracker , et pas mieux :shock:
Pour un web au normes du W3C, pour un web plus propre !

- Download osCSS Toutes versions
- stable osCSS 2.1.0 (help|info|new dev) Official help|wiki|Tuto for osCSS 2 | doc doxygen
- Utiliser le tracker pour suivre les évolutions et développements
- Inscrivez vos sites sur oscss pour présenter vos réalisations
Avatar de l’utilisateur
oscim
Site Admin
 
Messages: 1643
Inscription: Mar 25 Sep 2007, 11:33

Re: Injection de fichier dans le dossier image

Messagepar homer81737D46 » Jeu 02 Déc 2010, 17:19

on peut mettre en place un ml chez google groups

mais moi j ai ni le temps/argents ni les compétences pour supporter les gens

on peut pas aller dans la page backup.php, j ai regarder, je vais sécurisé le répertoire backups, mais même si on voit le contenu ça permet pas de rentrer.

PhpMyAdmin est la plus grosse passoire que je connaisse aussi ...
Inscrivez vous sur la mailing liste OsCSS :
https://lists.sourceforge.net/lists/listinfo/oscss-secu
homer81737D46
Site Admin
 
Messages: 31
Inscription: Lun 21 Déc 2009, 15:28

Re: Injection de fichier dans le dossier image

Messagepar Ayatus » Jeu 02 Déc 2010, 17:23

homer81737D46 a écrit:on peut pas aller dans la page backup.php, j ai regarder, je vais sécurisé le répertoire backups, mais même si on voit le contenu ça permet pas de rentrer.

Ah bon ? Jette un œil à ceci http://www.securityhome.eu/exploits/exploit.php?eid=10866428224c068e50550975.03861995
Avatar de l’utilisateur
Ayatus
Site Admin
 
Messages: 280
Inscription: Sam 19 Avr 2008, 17:23

Re: Injection de fichier dans le dossier image

Messagepar oscim » Jeu 02 Déc 2010, 17:27

homer81737D46 a écrit:on peut mettre en place un ml chez google groups


Plutot chez sourceforge , compte tenu que tous et la bas

homer81737D46 a écrit:mais moi j ai ni le temps/argents ni les compétences pour supporter les gens

Le fait de mainenir la liste ne necesiste pas de competences, mais du suivi.

Je m'xplique , dans ce cas, je creer la liste chez sourceforge, mais pour poster des message à la liste, il faut être un utilisateur autorisé, donc, dont un modo a activer le compte apres inscription

C'est ca la maintenir. apres sur le contenu / alerte, le forum, ou un autre modo / dev pourra faire passer/ suivre les info :D :D

homer81737D46 a écrit:on peut pas aller dans la page backup.php, j ai regarder, je vais sécurisé le répertoire backups, mais même si on voit le contenu ça permet pas de rentrer.


En fait , si ont a acces au repertoire, on peut reussir a recup ton fichier de backup , et dans ce cas les acces ...

homer81737D46 a écrit:PhpMyAdmin est la plus grosse passoire que je connaisse aussi ...


c'est vrai aussi , mais ca vient aussi de son succes ;)
Pour un web au normes du W3C, pour un web plus propre !

- Download osCSS Toutes versions
- stable osCSS 2.1.0 (help|info|new dev) Official help|wiki|Tuto for osCSS 2 | doc doxygen
- Utiliser le tracker pour suivre les évolutions et développements
- Inscrivez vos sites sur oscss pour présenter vos réalisations
Avatar de l’utilisateur
oscim
Site Admin
 
Messages: 1643
Inscription: Mar 25 Sep 2007, 11:33

Re: Injection de fichier dans le dossier image

Messagepar homer81737D46 » Jeu 02 Déc 2010, 17:33

Merci pour vos lumières !
j ai tellement de soucis que je suis pas très concentré.

mais les inscriptions se font pas toutes seules sur les ml ?
les modos font les ban c est tout, non ?
Inscrivez vous sur la mailing liste OsCSS :
https://lists.sourceforge.net/lists/listinfo/oscss-secu
homer81737D46
Site Admin
 
Messages: 31
Inscription: Lun 21 Déc 2009, 15:28

Re: Injection de fichier dans le dossier image

Messagepar oscim » Jeu 02 Déc 2010, 17:40

mais les inscriptions se font pas toutes seules sur les ml ?
les modos font les ban c est tout, non ?


tous depend de la config de la ml. Mais modo aussi sur les ban !

Tu serait pret a suivre ca ?

Je viens d'activer la fonctionnalité sur SF
Pour un web au normes du W3C, pour un web plus propre !

- Download osCSS Toutes versions
- stable osCSS 2.1.0 (help|info|new dev) Official help|wiki|Tuto for osCSS 2 | doc doxygen
- Utiliser le tracker pour suivre les évolutions et développements
- Inscrivez vos sites sur oscss pour présenter vos réalisations
Avatar de l’utilisateur
oscim
Site Admin
 
Messages: 1643
Inscription: Mar 25 Sep 2007, 11:33

Re: Injection de fichier dans le dossier image

Messagepar homer81737D46 » Jeu 02 Déc 2010, 17:43

je vais faire une période d essai !

je suis déjà dans pas mal de ML ! ovh et shorewall m'occupent pas mal déjà
Inscrivez vous sur la mailing liste OsCSS :
https://lists.sourceforge.net/lists/listinfo/oscss-secu
homer81737D46
Site Admin
 
Messages: 31
Inscription: Lun 21 Déc 2009, 15:28

Re: Injection de fichier dans le dossier image

Messagepar oscim » Jeu 02 Déc 2010, 17:47

homer81737D46 a écrit:je vais faire une période d essai !


Ok, je finalise mise en oeuvre des outils, et prepare ca.

Il te faut t'inscrire sur SF ! et me transmettre pat mp ton login


homer81737D46 a écrit:je suis déjà dans pas mal de ML ! ovh et shorewall m'occupent pas mal déjà


?? cad , tu est actif chez ovh et shorewall ?
Pour un web au normes du W3C, pour un web plus propre !

- Download osCSS Toutes versions
- stable osCSS 2.1.0 (help|info|new dev) Official help|wiki|Tuto for osCSS 2 | doc doxygen
- Utiliser le tracker pour suivre les évolutions et développements
- Inscrivez vos sites sur oscss pour présenter vos réalisations
Avatar de l’utilisateur
oscim
Site Admin
 
Messages: 1643
Inscription: Mar 25 Sep 2007, 11:33

Re: Injection de fichier dans le dossier image

Messagepar homer81737D46 » Jeu 02 Déc 2010, 17:57

je suis assez actif pour aider les autres sur les aspects de sécurité machine.
Je maitrise un peu les firewall et les systemes linux, assez pour aider bon nombre de personnes
Inscrivez vous sur la mailing liste OsCSS :
https://lists.sourceforge.net/lists/listinfo/oscss-secu
homer81737D46
Site Admin
 
Messages: 31
Inscription: Lun 21 Déc 2009, 15:28

Re: Injection de fichier dans le dossier image

Messagepar oscim » Jeu 02 Déc 2010, 18:04

Okok;

J'ai activer la mailling list, delai activation 24h :x

des que ok , je te fais signe par mp ..
Pour un web au normes du W3C, pour un web plus propre !

- Download osCSS Toutes versions
- stable osCSS 2.1.0 (help|info|new dev) Official help|wiki|Tuto for osCSS 2 | doc doxygen
- Utiliser le tracker pour suivre les évolutions et développements
- Inscrivez vos sites sur oscss pour présenter vos réalisations
Avatar de l’utilisateur
oscim
Site Admin
 
Messages: 1643
Inscription: Mar 25 Sep 2007, 11:33

Re: Injection de fichier dans le dossier image

Messagepar homer81737D46 » Jeu 02 Déc 2010, 18:43

ma vie électronique est beaucoup plus grosse que ma real life
Inscrivez vous sur la mailing liste OsCSS :
https://lists.sourceforge.net/lists/listinfo/oscss-secu
homer81737D46
Site Admin
 
Messages: 31
Inscription: Lun 21 Déc 2009, 15:28

Re: Injection de fichier dans le dossier image

Messagepar Marks » Ven 03 Déc 2010, 12:34

Bonjour,
Donc j'aimerai vous remercier de la rapidité j'ai fait quelques sécurité .
J'ai donc limité par .htaccess sur le dossiers images avec

Code: Tout sélectionner
<Files ~ "^.*\.(cgi|pl|php[3-5]{0,1}|shtm?l?|aspx?|cfml?|jsp?)$">
order allow,deny
deny from all
</Files>

visible ici :
http://forum.ovh.com/showthread.php?t=16701

ensuite j'ai aussi suivit les conseils du forum en faisant un htaccess

Code: Tout sélectionner
Options +FollowSymLinks
RewriteEngine On
RewriteCond %{QUERY_STRING} (\<|%3C).*script.*(\>|%3E) [NC,OR]
RewriteCond %{QUERY_STRING} GLOBALS(=|\[|\%[0-9A-Z]{0,2}) [OR]
RewriteCond %{QUERY_STRING} _REQUEST(=|\[|\%[0-9A-Z]{0,2})
RewriteRule ^(.*)$ index.php [F,L]

visible ici : http://blog.galerie-cesar.com/proteger- ... -htaccess/

Donc j'espère que ca suffira pour le moment
J'ai aussi upgradé noyau du serveur
normalement on installera un antiroot kit
Marks
Membre inactif
 
Messages: 7
Inscription: Mer 01 Déc 2010, 16:15

Re: Injection de fichier dans le dossier image

Messagepar oscim » Ven 03 Déc 2010, 15:32

Ok,

On a creer une liste pour traiter des pbs et alert de secu , voir ici http://forums.oscss.org/annonces/mailli ... t1865.html
Pour un web au normes du W3C, pour un web plus propre !

- Download osCSS Toutes versions
- stable osCSS 2.1.0 (help|info|new dev) Official help|wiki|Tuto for osCSS 2 | doc doxygen
- Utiliser le tracker pour suivre les évolutions et développements
- Inscrivez vos sites sur oscss pour présenter vos réalisations
Avatar de l’utilisateur
oscim
Site Admin
 
Messages: 1643
Inscription: Mar 25 Sep 2007, 11:33

Re: Injection de fichier dans le dossier image

Messagepar homer81737D46 » Ven 03 Déc 2010, 17:42

Moi je vote pour qu on mette ça de base dans le fichier .htaccess
j ai pas tester mais j en ai compris le but et ça freinerait beaucoup d attaque !
Marks a écrit:
Code: Tout sélectionner
Options +FollowSymLinks
RewriteEngine On
RewriteCond %{QUERY_STRING} (\<|%3C).*script.*(\>|%3E) [NC,OR]
RewriteCond %{QUERY_STRING} GLOBALS(=|\[|\%[0-9A-Z]{0,2}) [OR]
RewriteCond %{QUERY_STRING} _REQUEST(=|\[|\%[0-9A-Z]{0,2})
RewriteRule ^(.*)$ index.php [F,L]

visible ici : http://blog.galerie-cesar.com/proteger- ... -htaccess/


et sinon Marks, je te conseil de jeter un oeil sur un outil que j utilise et qui permet de savoir ce qui a changé sur ton serveur :
Advanced Intrusion Detection Environment (AIDE)
un tuto pour ubuntu : https://help.ubuntu.com/community/FileIntegrityAIDE#AIDE
et la home page un peu moins vendeuse : http://aide.sourceforge.net/
Inscrivez vous sur la mailing liste OsCSS :
https://lists.sourceforge.net/lists/listinfo/oscss-secu
homer81737D46
Site Admin
 
Messages: 31
Inscription: Lun 21 Déc 2009, 15:28

Re: Injection de fichier dans le dossier image

Messagepar oscim » Ven 03 Déc 2010, 17:54

+1 up pour le htaccess (deja ds le tracker pour la 2.1.0 RC http://dev.oscss.org/task/752)
+1 up pour le liens, merci homer81737D46
Pour un web au normes du W3C, pour un web plus propre !

- Download osCSS Toutes versions
- stable osCSS 2.1.0 (help|info|new dev) Official help|wiki|Tuto for osCSS 2 | doc doxygen
- Utiliser le tracker pour suivre les évolutions et développements
- Inscrivez vos sites sur oscss pour présenter vos réalisations
Avatar de l’utilisateur
oscim
Site Admin
 
Messages: 1643
Inscription: Mar 25 Sep 2007, 11:33

Précédente

Retourner vers osCSS 1.2.2 RC

 


  • Articles en relation
    Réponses
    Vus
    Dernier message

Qui est en ligne

Utilisateurs parcourant ce forum: Aucun utilisateur enregistré et 1 invité

cron