Симптомы атаки

Для того чтобы определить факт взлома, нужно просто просмотреть журналы Web-сервера и выяснить, не запускался ли сценарий aglimpse. Поскольку в данном эксплоите используется протокол HTTP, слежение за пакетами в сети, скорее всего, не поможет. Попытка взлома с помощью aglimpse выглядит, как обычный запрос на получение данных с Web-сервера. Таким Iобразом, чтобы засечь такую попытку взлома, нужно проверять журналы.

Расположение и формат записей журнала зависит от типа сервера. Например, для сервера Apache нужно искать строку со словом aglimpse, после которого следует несколько символов, затем "IFS". Эту строку нужно искать в журнале access_log. Команда, выполняющая такой поиск выглядит так:

# egrep -i 'aglimpse.*(\| |IFS)' {ServerRoot}/logs/access_log

Расположение файла и метод ведения журнала напрямую зависят от типа ОС и версии Web-сервера. Если действия пользователя, от имени которого запущен Web-сервер, заносятся в журнал, любые отклонения от нормального поведения Web-сервера будут отражены в журнале.

Методы защиты

Для того чтобы защититься от взлома с помощью этого эксплоита, нужно выполнить несколько действий.

Во-первых, Web-сервер ни в коем случае не должен запускаться от имени пользователя root. Прочитайте документацию по своему серверу, чтобы узнать, как ограничить его права до необходимого минимума. Пользователь, от имени которого запускается сервер, должен иметь только те права доступа, которые необходимы для его полноценной работы. Кроме того, он не должен иметь доступа к файлам настройки Web-сервера. Это не позволит взломщику изменить настройку Web-сервера, с тем чтобы он запускался с полномочиями пользователя root. Кроме того, этому пользователю нельзя предоставлять прав записи в те файлы, которые обслуживаются Web-сервером. Тогда взломщик не сможет подменить содержимое Web-страниц вашего узла.

Кроме того, обновите используемую версию Webglimpse, что приведет к замене сценария aglimpse на Webglimpse. Новую версию можно скачать по адресу: http: //Webglimpse.net. В этой версии указанные ошибки исправлены. Если вы используете HTTPGlimpse, перейдите на Webglimpse.

Дополнительная информация

Чтобы получить дополнительную информацию по данному вопросу, посетите такие узлы:

• http://www-7.ее.Columbia.edu/httpd/cgi/pi/aglimpse.txt

• http://www.cert.org/tech_tips/cgi_metacharacters.html

• ftp://ftp.auscert.org.au/pub/auscert/advisory/AA- 97.28.GlimpseHTTP.WebGlimpse.vuls

• http://www.cert.org/advisories/CA-97.25.CGI_metachar.html

• http://www.codetalker.com/advisories/cert/vb-97__13.html

• http://glimpse.cs.arizona.edu/security.html

Campas

Этот эксплоит использует Web и позволяет выполнять на сервере любые команды.

Описание эксплоита

• Название: Campas.

• Идентификатор CVE: CVE-1999-0146.

• Варианты: отсутствуют.

• Операционная система: UNIX.

• Протоколы/службы: HTTP, порт 80.

Программа campas — это выполняемый файл, который находится на Web-сервере и подвержен атаке, позволяющей выполнять произвольные команды на сервере. Данный эксплоит непосредственно не влияет на работу сервера или операционной системы, однако может быть использован для выполнения других атак.

Программа campas поставляется с httpd-сервером NCSA версии 1.2.

Принцип работы

Проблема при работе с этим сценарием заключается в том, что он принимает аргументы, содержимое которых не проверяется. Таким образом, сценарию можно передать команды, которые приведут к взлому системы. Возможность передачи этих команд не была предусмотрена разработчиками сценария.

Как мы уже видели на примере aglimpse, многие сценарии сталкиваются с этой проблемой. Довольно часто автор сценария считает, что содержимое передаваемых сценарию аргументов определено содержимым разработанной формы или ссылки, которая указывает на данный сценарий. Таким образом, многие авторы сценариев полагаются на ограничения, накладываемые HTML-станицей. Поскольку обычно сценарий проверяется в работе с HTML-страницей, эта ошибка остается незамеченной. Если сценарий получит непрогнозируемые значения, он может передать их командной оболочке.