Prosty monitoring plików serwera- zabezpieczenie przed atakami za pomocą skryptu

[semenedar]

Ponieważ borykałem się ostatnio z atakami na moją witrynę, postanowiłem poszukać w sieci rozwiązań, które umożliwiłyby działanie prewencyjne. Pliki wyleczone, baza danych też. Wszystko zabezpieczone. Zaktualizowana lista banów w pliku .htaccess Ale to przecież nie eliminuje hakerów, którzy w dalszym ciągu, mogą poszukiwać furtki do włamania. Jak wiemy, najczęstszą formą ataku, jest zmodyfikowanie plików na serwerze lub dodanie nowych plików. W pierwszym przypadku, wystarczy nadpisanie całej paczki, wszystkiego. Gorzej jednak jest wtedy, gdy zostaną dodane nowe pliki, co jeszcze bardziej utrudnia nam sprawę, bo wówczas trzeba wszystko usunąć i robić cały upload od nowa. To jest rozwiązanie, ale ciężkie, czasochłonne i wymaga okresowego zamknięcia witryny na czas "remontu". Znalazłem w sieci skrypt, który umożliwia monitoring plików i informuje nas o wszystkich przypadkach gdy:

- Na naszym serwerze, plik został zmodyfikowany

- Na naszym serwerze, plik został dodany

- Na naszym serwerze, plik został usunięty

Skrypt, należy umieścić w głównym katalogu naszego serwera, np w public_html. Dla niepoznaki, można zmienić jego nazwę na dowolną, pozostawiając oczywiście rozszerzenie. Dzięki temu wiemy o wszystkich zmianach i możemy bardzo szybko wykryć intruza podczas okresowego skanu. Jeżeli to nie Ty modyfikowałeś, nie dodawałeś nowego pliku do swoich paczek, szybko znajdziesz źródło problemu, bowiem skrypt, wskaże Ci dokładną ścieżkę umiejscowienia nowego, zmodyfikowanego, lub usuniętego pliku. Podczas pierwszego uruchomienia, skrypt podlicza wszystkie pliki i tworzy swoją małą bazę danych. Podczas drugiego i wszystkich kolejnych uruchomień, informuje nas już o zmianach. Przetestowałem skrypt, samemu modyfikując, dodając i usuwając pliki, wykonując po każdej z tych czynności skan.

Wywołanie procedury, odbywa się w sposób banalny, poprzez wystukanie w pasku adresu przeglądarki ścieżki do naszego pliku. Poniższy screen, przedstawia próbę z "dodaniem pliku". Dorzuciłem plik pool.docx Po uruchomieniu skryptu, otrzymałem wynik:

Skrypt, doskonale radzi sobie z katalogami, sub-katalogami. Jeżeli chcemy być informowani via email (np po dodaniu skryptu jako zadanie Cron) należy też edytować skrypt i podmienić pole [email protected] na własny email, rzecz jasna.

Pobierz, rozpakuj i umieść w głównym katalogu swojej strony, lub jeżeli posiadasz więcej domen w każdym public_html odpowiadającym domenie:

tripwire.zip

[DawPi]

Wszystko niby gra, tylko w pliku na jego początku zaplątało Ci się <pre> - polecam usunąć, bo inaczej skrypt nie zadziała.

Tak patrzę i nie mogę się zorientować na szybko na jakiej podstawie ten skrypt działa - kiedy plik jest nowy, a kiedy nie ruszany. Już wiem.

[semenedar]

Dawidzie <pre> na początku jest w tym pliku oryginalnie i działa. Po usunięciu <pre> zmienia się formatowanie loga z komunikatem, na niewłaściwe. Teraz to sprawdziłem. Plik jest poprawny. Nie wiem na jakiej podstawie działa, ale generuje swoją bazę w md5. U mnie na obydwóch domenach, funkcjonuje doskonale, oczywiście pod zmienionymi nazwami.

[semenedar]

Myślę że porównuje z bazą, którą sobie utworzył (md5) i jeśli są zmiany, informuje. Nie opublikowałbym tego, gdybym najpierw nie sprawdził.

[DawPi]

Racja. <pre> w tym przypadku będzie hulać, tylko ja bym tego nie dawał przed <?php - takie zboczenie stylistyczne.

Myślę że porównuje z bazą, którą sobie utworzył (md5) i jeśli są zmiany, informuje. Nie opublikowałbym tego, gdybym najpierw nie sprawdził.

Dokładnie.

[semenedar]

Jedyne co mogę dodać, to żeby każdy kto zechce tego narzędzia używać, usuwał je wraz z bazą tego pliku z serwera na czas wprowadzanych własnych planowanych zmian. Np przy instalacji większego dodatku. A później wgrać od nowa, pierwszym uruchomieniem utworzyć nową bazę i niech sobie siedzi i czuwa w "stand by". Gdybym wcześniej miał to narzędzie, pozbyłbym się intruza (o którym zapewne czytałeś w moim dialogu z Jakubem w zgłoszeniach) w ciągu sekundy. To jest wręcz konieczne narzędzie, gdy się nie ma dostępu do takich logów z pozycji apache.

[semenedar]

Informacje są rzetelne. Nawet teraz przed chwilą, dostałem informację że zmienił mi się plik sitemapy, wygenerowany ponownie przez IP SEO. Plik, można samemu dokonfigurować, można wprowadzić przeróżne "wykluczenia".

[jarekwil]

U mnie ten skrtyp nic nie wykrywa, ani jak cos dodam ani jak usune

[semenedar]

To ciekawe, bo z tego co wiem to u wszystkich którzy tego narzędzia używają wykrywa zmiany, tak samo jak i u mnie. Pewnie źle zainstalowałeś albo jakiś inny błąd masz.

[adrian218]

U mnie wszystko poprawnie działa.

[Gość Brzytwiarz]

Jak często ustawiliście skan plików, raz na 8 godzin wystarczy ?

[Gość Visox]

Tak.

[honorarium]

Muszę sprawdzić to u siebie. Dziękuję za narzędzie.

[Cukiernik]

 

semenedar możesz udostępnić ten plik ponownie ?

[insp]

Skrypt znajdziesz tutaj: https://github.com/lucanos/Tripwire