2 votes

Peter Stimpel avatar

Trouvé un utilisateur spécial dans le weblog apache appelé @^Y@.@{phqsp~{2'/2|pq{jvk@-1('@lvo)&1--1.(/1)'@./*

Demandé el 21 de Janvier, 2013
Quand la question a-t-elle été
312 affichage
Nombre de visites la question a
1 Réponses
Nombre de réponses aux questions
Résolu
Situation réelle de la question

En vérifiant les fichiers journaux de certains de mes clients, j'ai trouvé ceci comme nom d'utilisateur pour les utilisateurs authentifiés. Nous avons un .htusers utilisé pour l'authentification web de base, tous les autres utilisateurs dans le journal du serveur que j'ai trouvé dans le fichier .htusers mais pas le @^Y@.@{phqsp~{2'/2|pq{jvk@-1('@lvo)&1--1.(/1)'@./* utilisateur.

La version du serveur est 2.2.22 sur 64b Opensuse 12

Première question : cet utilisateur a-t-il pu recevoir le contenu protégé par le système de protection des données ? .htusers fichier ?

Le prochain : Quelqu'un a t-il plus d'informations sur cette tentative de rodage ? Je n'ai rien trouvé sur Google, à part des tas de journaux d'accès provenant du monde entier.

Edit : Juste pour ajouter les logentries :

x.y.z.x - @^Y@.@{phqsp~{2'/2|pq{jvk@-1('@lvo)&1--1.(/1)'@./* [06/Jan/2013:16:53:16 +0000] "GET xxxxxxxxxxxxxxx HTTP/1.1" 200 676 "xxxxxxxxxxxxxxx" "Mozilla/5.0 (Windows NT 6.1; WOW64) AppleWebKit/537.11 (KHTML, like Gecko) Chrome/23.0.1271.97 Safari/537.11"

x.y.z.x - @^Y@.@{phqsp~{2'/2|pq{jvk@-1('@lvo)&1--1.(/1)'@./* [06/Jan/2013:16:53:16 +0000] "GET xxxxxxxxxxxxxxx HTTP/1.1" 200 523 "xxxxxxxxxxxxxxx" "Mozilla/5.0 (Windows NT 6.1; WOW64) AppleWebKit/537.11 (KHTML, like Gecko) Chrome/23.0.1271.97 Safari/537.11"

x.y.z.x - @^Y@&@{phqsp~{2'/2|pq{jvk@-1('@lvo)&1--1.(/1)'@./* [06/Jan/2013:16:57:47 +0000] "GET xxxxxxxxxxxxxxx HTTP/1.1" 200 11 "xxxxxxxxxxxxxxx" "Mozilla/5.0 (Windows NT 6.1; WOW64) AppleWebKit/537.11 (KHTML, like Gecko) Chrome/23.0.1271.97 Safari/537.11"

Demandé el 21 de Janvier, 2013 par Peter Stimpel

Réponse

Trop de publicités?

0voto

64_Bit_Revolution avatar
64_Bit_Revolution Points 31

Je pense qu'il y a de mauvaises nouvelles si les ressources xxxxxx'ées sont situées dans la zone protégée. Le code de statut http 200 dans vos journaux indique que votre serveur a joyeusement envoyé la ressource au client x.y.z.x. Si le basic-auth avait échoué d'une manière ou d'une autre, un 401 (forbidden) aurait été renvoyé à la place.

Le numéro à côté du 200 vous indique combien d'octets ont été envoyés dans la réponse. Vérifiez si les ressources derrière les xxxxxx ont une taille réelle de 676, 523 et 11 octets pour avoir un autre indice sur la réussite de l'accès aux données.

Mise à jour / Solution :

Comme il s'est avéré dans les commentaires, les accès mentionnés étaient des accès à des ressources dans des zones non protégées, ce qui a donné lieu au code de statut http 200 (OK). Le fait déroutant qu'un nom d'utilisateur inconnu soit affiché dans les journaux est dû à la possibilité de définir l'en-tête "Authorization" dans une requête http, indépendamment du fait que l'autorisation ait été demandée par le serveur ou que le nom d'utilisateur soit connu sur le serveur. Il semble donc que ce soit l'œuvre d'un robot ou d'un webcrawler qui a activé l'en-tête d'autorisation par défaut. Peut-être innocent, peut-être pas, mais manifestement pas aussi nuisible qu'il n'y paraît à première vue dans le fichier journal.

Répondu el 23 de Janvier, 2013 par 64_Bit_Revolution (31 Points )

0 votes

Avatar de Peter Stimpel

Ce qui est amusant, c'est que les ressources derrière le xxx ne sont pas protégées par l'authentification de base, bien plus qu'elles ne sont accessibles au public. Il n'y a pas eu de demande unique sur des ressources protégées à ce moment-là.

Commenté el 24 de Janvier, 2013 par Peter Stimpel

0 votes

Avatar de 64_Bit_Revolution

Vous auriez pu nous faire gagner du temps si vous l'aviez mentionné dès le départ. Voir ce lien . Si le Autorisation -est défini dans la requête http, les informations d'identification fournies sont affichées dans le fichier journal, même si aucune autorisation n'a été demandée.

Commenté el 24 de Janvier, 2013 par 64_Bit_Revolution

0 votes

Avatar de Peter Stimpel

Désolé, vous avez raison - je me suis rendu compte que c'était important lorsque j'ai ajouté les entrées du fichier journal à la question ! Cela signifie-t-il que je ne dois pas m'inquiéter, puisqu'il n'y a probablement pas eu de tentative d'effraction ?

Commenté el 25 de Janvier, 2013 par Peter Stimpel
Afficher 2 autres commentaires

Questions en vedette

Top Tags

Dans notre réseau

SistemesEz.com

SystemesEZ est une communauté de sysadmins où vous pouvez résoudre vos problèmes et vos doutes. Vous pouvez consulter les questions des autres sysadmins, poser vos propres questions ou résoudre celles des autres.

Powered by:

Yandex
X