Scanning website for vulnerablities

3

Eu descobri que o site da escola local instalou um Calendário Perl - isso foi anos atrás, não é usado há muito tempo, mas o Google o indexou (que é como eu o encontrei) e cheio de links do Viagra e como ... o programa foi feito por Matt Kruse, aqui estão os detalhes da exploração: link

Eu tenho a escola para remover isso, mas eu acho que eles também têm o MySQL instalado e estou ciente de que houve algumas explorações de Admin Tools / Login em versões antigas. Por tudo o que sei, eles também têm PHPBB e similares instalados ...

A escola está usando apenas hospedagem barata e compartilhada; o cabeçalho de resposta HTTP que recebo é:

Apache / 1.3.29 (Unix) (Red Hat / Linux) Chili! Soft-ASP / 3.6.2 mod_ssl / 2.8.14 OpenSSL / 0,9.6b PHP / 4.4.9 FrontPage / 5.0.2.2510

Eu estou procurando alguns meios de verificar se eles têm outro lixo instalado (muito possivelmente no caminho de volta, e agora não utilizado) que pode colocar o site em risco. Estou mais interessado em algo que pode procurar por coisas como o MySQL Admin exploit ao invés de abrir portas, etc. Meu palpite é que eles têm pouco controle sobre o espaço de hospedagem que eles têm - mas eu sou um Windows DEV, então isso * coisas nix é tudo grego para mim.

Eu encontrei o link que parece que pode fazer o que eu quero (dentro da avaliação deles :)), mas eu tenho uma preocupação sobre como para descobrir se eles são bem conhecidos / honestos - caso contrário, vou dar-lhes uma piscadela com um Nome de Domínio que possa estar em risco!

Muito obrigado.

    
por Kristen 19.03.2010 / 16:01

5 respostas

7

Qual é exatamente o seu relacionamento com a escola? Parece que você está pedindo a outras pessoas maneiras de encontrar vulnerabilidades em seu sistema e depois levá-las a elas, mas se você não trabalha para elas ou não faz parte do sistema delas, eu questionaria se é o lugar certo para você tome este caminho para fazê-lo. Muitas organizações desaprovam hackers de chapéu branco que quebram seus sistemas como um projeto paralelo.

Se você quiser trabalhar com eles, talvez queira entrar em contato com o departamento de TI deles e discuti-los com eles, ou falar com os representantes da diretoria da escola e ver se eles podem organizar alguma coisa (ou o superintendente). Explique suas preocupações e veja se você pode trabalhar com elas, abordando os problemas em uma carta.

Existem muitos scanners de vulnerabilidades no Google, mas tenho certeza de que, se o distrito deles é típico de outros distritos escolares (é uma escola pública nos EUA?), eles têm pouco pessoal e orçamento curto. Eles não ficarão felizes com pessoas intencionalmente passando o dedo em seus sistemas e, em seguida, acenando um sinal para eles dizendo: "Ei, veja o que eu fiz ao seu sistema!"

Entre em contato com eles. Entre em contato com o pessoal de TI (eles devem ter endereços disponíveis). Trabalhe com eles. Se eles não estão interessados em ter uma avaliação de sua segurança e a diretoria da escola não está interessada nisso, então eu diria, deixe-a ir, porque há coisas melhores para você investir seu tempo e eles aprenderão uma lição quando um auditor de estado passa por suas configurações ou algo de ruim acontece. E você não quer ser implicado em nada disso. Muito ruim ficar envolvido nisso se isso acontecer.

    
por 19.03.2010 / 16:12
2

Uma coisa que acho útil é despejar o banco de dados inteiro em um arquivo de texto e executar pesquisas de palavras-chave nele para procurar por travessuras. Se você usa um editor de texto decente (por exemplo, Notepad ++ ), pode fazer muita coisa dessa maneira.

No final, porém, é quase sempre uma idéia melhor para limpar e começar de novo. Se você não está fazendo isso profissionalmente, no dia-a-dia, é extremamente difícil acompanhar os crackers que fazem isso para ganhar a vida.

    
por 19.03.2010 / 16:35
0

Não é especialista em escaneamento de vulnerabilidades, então não vou responder ao lado das porcas e parafusos. Mas eu aconselho que você seja cuidadoso ao fazer a varredura no servidor de uma empresa de hospedagem sem a permissão por escrito. Eles estarão justificadamente irritados se a varredura afetar seus outros clientes.

Se você não tem confiança na capacidade dos provedores de manter um sistema seguro (os daemons do servidor e softwares relacionados, como o phpmyadmin, que os hosts compartilhados fornecem), então você deve mover os hosts.

(Darn! Bart me bateu para a primeira resposta.)

    
por 19.03.2010 / 16:14
0

Bart está no local. Todos os provedores de varredura de sites exigem permissão de o proprietário do site ou administrador antes de fazer uma varredura (ou deveriam!).

Mas se você tem um filho nessa escola, você tem o direito de insistir que eles teste e resolva vulnerabilidades sérias do site.

Eu trabalho para o Beyond Security e posso confirmar que o mecanismo de teste usado para o nosso scanner da web é o mesmo mecanismo usado em nossa solução VA / VM corporativa e que mantemos o mesmo nível de privacidade e segurança para nossos clientes da web para nossos clientes corporativos e governamentais. Antes que a varredura real seja feita, o proprietário do site precisa comprovar a propriedade no servidor (alterando algo na página ou colocando um arquivo especial para marcar que eles têm acesso real).

    
por 18.03.2011 / 22:10
0

Seguindo as respostas de Bart e Aviram: a varredura / teste de um ambiente por pontos fracos de segurança exige permissão do proprietário.

Se você tem um filho nessa escola ou paga impostos que apóiam essa escola, você pode ter o direito de insistir para que eles testem e resolvam vulnerabilidades sérias. Primeiro, aborde a TI, depois o gerenciamento da escola: mostre a eles o histórico de falhas, a saída da versão do Apache, etc., e peça-lhes para verificar a segurança. Se eles não estão dispostos, você sempre pode escrever uma carta para o regulador (distrito escolar ou no entanto é configurado em seu ambiente).

    
por 28.07.2011 / 11:05