some one atempt to hack to my server

[user8412]

a'kum

Pada hari isnin jam 730 ada org cuba hack to myserver using port 80 on apache.

dan ini adalah contoh access log pada hari tersebut :
81.218.168.139 - - [29/Mar/2004:19:44:26 +0800] "HEAD / HTTP/1.1" 200 -
81.218.168.139 - - [29/Mar/2004:19:44:29 +0800] "GET /galaxy_1280.1626 HTTP/1.1" 404 294
81.218.168.139 - - [29/Mar/2004:19:44:31 +0800] "HEAD /scripts/*.pl HTTP/1.1" 404 -
81.218.168.139 - - [29/Mar/2004:19:44:31 +0800] "HEAD /secure/.htaccess HTTP/1.1" 404 -

cuma masalah aku ialah....apa kah maksud access log tersebut dan apakah cara yang sesuai utk aku memastikan server aku terselamat.

harap ada yang dapat bagi pandangan dan nasihat sebab bila aku cek IP tu dari israel....

[winterwish]

err..sory, aku nih sangap sket bab2 networking. camane ko tau die attemp nak hack server ko?

[WaJa^TiMuR]

senang jer... pastikan ko patch server ko.. dan alert kepada lobang² baru..

[user8412]

Terima kasih..diatas nasihat anda..
aku telah pun patch apa2 yang patut pada server tersebut..

aku dapat msg dari admin aku suruh check server aku kot2 ada bende2 yang tertukar ker hilang ker...

alhamdulillah tiada apa2 pun yang berlaku
cuma aku nak paham jer dia guna script ker apa yek nak hack server tu

siut jerrr

[suffwind]

"HEAD / HTTP/1.1" 200 tuh normal header request, 200 tuh maksud dier success, ok. takde paper

galaxy tuh mende ntah

"HEAD /secure/.htaccess HTTP/1.1" 404 tuh cam dier tgh try www-msql nyer exploit, return 404 tak dpt ler tuh,

*.pl tuh ntah la.. carik cgi flaw kot, aku tak penah nampak la plak, klau wwwboard.pl ker dumpenv.pl slalu la

care nak memastikan seber ko slamat? ikut la aper yg diorang cakap kat atas tuh..

[user8412]

ok thank's suffwind... i take you advice...

[za^^r1]

"HEAD /secure/.htaccess HTTP/1.1" 404 tuh cam dier tgh try www-msql nyer exploit, return 404 tak dpt ler tuh,

camane tau mysql nyer exploit ?



*.pl tuh ntah la.. carik cgi flaw kot, aku tak penah nampak la plak, klau wwwboard.pl ker dumpenv.pl slalu la


Nih macam carik perl script jek untuk diexploitasikan....

[ustaz99]

.htaccess kan tak silap apache nyer, bukan mysql.
*.pl tu nak guna wildcard utk capai apa2 file .pl kat situ.

budak ni guna kaedah cuba jaya. ^_^

[suffwind]

oOo.. camtuh ker.. bleh ker try get sumthin pakai wildcard, camne server nak response eh,

sbb klau aku try request pakai *.asp ker *.htm ker, sume kuar 400 error jek, bad request

[ustaz99]

rasanya semestinya tak boleh O:O
takkan la programmer httpd tu nak kasi boleh guna wildcard.
atau sajer jer ada sesetengah httpd tu programmer taruk vuln tu kat situ.

[suffwind]

so dlm hal nih, bile attacker tuh (assume jek la attacker) request
HEAD /scripts/*.pl HTTP/1.1 tuh, mayb sbb dier tatau or dier sesaje nak test la, tapi kan, tak rase pelik ker, apsal dier request HEAD /scripts/*.pl HTTP/1.1 bukan patutnyer dier request GET /scripts/*.pl HTTP/1.1
sbb dlm log tuh awal2 dah tunjuk yg command head dier dpt response 200, success
81.218.168.139 - - [29/Mar/2004:19:44:26 +0800] "HEAD / HTTP/1.1" 200 -
nape nak request HEAD byk2 plak..

[apt-get]

rasa aku la 'attacker' tu try nak hack sambil tgh tengok manual tu.. sebab tu la ada typos error.. alaa.. apa orang panggil org camtu.. err.. scriptKiddie ke.. kuikukui..

[ustaz99]

camnie ler, kat luar sana banyak lagi server2 yg kena serang oleh someone called hackers.
so, apa yg perlu buat ialah, sentiasa updatekan web application content, dan service yg berjalan itu sendiri. dan kena selalu peka pd laman2 white hat, black hat, spt packetstormsecurity, securityfocus, x-focus, etc..
kalau pengguna baru tu... saya cadangkan, utk awak pengguna windows, gunalah lan guard security scanner, atau pengguna linux, nessus. apa2hal cuba yg nie dulu. later and on byk lagi yg perlu diambil titik beratkan. okay.

[user8412]

time kasih ustaz99 dan rakan2 yg lain..

saya akan ikut nasihat yang telah diberikan untuk memastikan server tu tak dapat di hack oleh org luar
..

thanks guyzz

[netsonix]

komplicated la.. aku pn xphm.. mintak firewall block terus la source ip tuh. buat sementara ko x dpt solve

[Pengalir]

bebila pi laa tgk error log untuk apache maksud 200 tuh apa 500 tuh ape 404 tuh ape... then baru tau apa dier nak buat :)

[obelicks]

scan tu..

1++
2++
4++
;) kadang dapat gak 2++ padahal ianya 4++
:)