web-dev-qa-db-ja.com

niktoプローブ警告メッセージ

私はUbuntu8.1、Apache 2.2、PHP 5などを実行しているかなり標準的なVPSを持っています。-標準のランプスタック。私はsuhosinを使用しており、明らかなものをプラグインするために最善を尽くしています。 m唯一のユーザー-非標準ポートのpubkey経由以外にSSHアクセスはありません、SSHによるルートアクセスはありません、FTPサーバーは実行されていません、iptablesは基本的にポート80または私のSSHポート以外のものを破棄するように設定されています（メールサーバーまたはその他）。

しかし、おそらくSQLインジェクションによって、私はまだ妥協しています（私が知る限りではそれほど悪くはありません）。 SQLユーザーをロックダウンしました（rootの外部に1つしかなく、privが制限されている、ファイルがないなど）

そこで、niktoを実行して、自分が間違っていることを確認しました。これまでに見たことのないもののリストがあり、「find」やその他の認識している方法では見つけることができません。下記参照：

+ /autologon.html?10514: Remotely Anywhere 5.10.415 is vulnerable to XSS attacks that can lead to cookie theft or privilege escalation. This is typically found on port 2000.
+ /servlet/webacc?User.html=noexist: Netware web access may reveal full path of the web server. Apply vendor patch or upgrade.
+ OSVDB-35878: /modules.php?name=Members_List&letter='%20OR%20pass%20LIKE%20'a%25'/*: PHP Nuke module allows user names and passwords to be viewed.
+ OSVDB-3092: /sitemap.xml: This gives a Nice listing of the site content.
+ OSVDB-12184: /index.php?=PHPB8B5F2A0-3C92-11d3-A3A9-4C7B08C10000: PHP reveals potentially sensitive information via certain HTTP requests which contain specific QUERY strings.
+ OSVDB-12184: /some.php?=PHPE9568F36-D428-11d2-A769-00AA001ACF42: PHP reveals potentially sensitive information via certain HTTP requests which contain specific QUERY strings.
+ OSVDB-12184: /some.php?=PHPE9568F34-D428-11d2-A769-00AA001ACF42: PHP reveals potentially sensitive information via certain HTTP requests which contain specific QUERY strings.
+ OSVDB-12184: /some.php?=PHPE9568F35-D428-11d2-A769-00AA001ACF42: PHP reveals potentially sensitive information via certain HTTP requests which contain specific QUERY strings.
+ OSVDB-3092: /administrator/: This might be interesting...
+ OSVDB-3092: /Agent/: This might be interesting...
+ OSVDB-3092: /includes/: This might be interesting...
+ OSVDB-3092: /logs/: This might be interesting...
+ OSVDB-3092: /tmp/: This might be interesting...
+ ERROR: /servlet/Counter returned an error: error reading HTTP response
+ OSVDB-3268: /icons/: Directory indexing is enabled: /icons
+ OSVDB-3268: /images/: Directory indexing is enabled: /images
+ OSVDB-3299: /forumscalendar.php?calbirthdays=1&action=getday&day=2001-8-15&comma=%22;echo%20'';%20echo%20%60id%20%60;die();echo%22: Vbulletin allows remote command execution. See link
+ OSVDB-3299: /forumzcalendar.php?calbirthdays=1&action=getday&day=2001-8-15&comma=%22;echo%20'';%20echo%20%60id%20%60;die();echo%22: Vbulletin allows remote command execution. See link
+ OSVDB-3299: /htforumcalendar.php?calbirthdays=1&action=getday&day=2001-8-15&comma=%22;echo%20'';%20echo%20%60id%20%60;die();echo%22: Vbulletin allows remote command execution. See link
+ OSVDB-3299: /vbcalendar.php?calbirthdays=1&action=getday&day=2001-8-15&comma=%22;echo%20'';%20echo%20%60id%20%60;die();echo%22: Vbulletin allows remote command execution. See link
+ OSVDB-3299: /vbulletincalendar.php?calbirthdays=1&action=getday&day=2001-8-15&comma=%22;echo%20'';%20echo%20%60id%20%60;die();echo%22: Vbulletin allows remote command execution. See link
+ OSVDB-6659: /kCKAowoWuZkKCUPH7Mr675ILd9hFg1lnyc1tWUuEbkYkFCpCdEnCKkkd9L0bY34tIf9l6t2owkUp9nI5PIDmQzMokDbp71QFTZGxdnZhTUIzxVrQhVgwmPYsMK7g34DURzeiy3nyd4ezX5NtUozTGqMkxDrLheQmx4dDYlRx0vKaX41JX40GEMf21TKWxHAZSUxjgXUnIlKav58GZQ5LNAwSAn13l0w<font%20size=50>DEFACED<!--//--: MyWebServer 1.0.2 is vulnerable to HTML injection. Upgrade to a later version.

トレースとインデックスについては理解していますが、vbulletinとautologinについてはどうですか？検索しましたが、サーバー上にそのようなファイルが見つかりません。 「MyWebServer」のもの、PHP Nuke、またはNetware/servletのもの）についてはわかりません。サーバーには、かなり標準的なJoomlaサイト（最新バージョンに更新）以外は何もありません。 ）。

これらのメッセージや私が間違っていることについての助けは非常にありがたいです。

ubuntusecuritylamp
3
julio

日東は多くの誤検知を生み出します。投稿した結果のほとんどは問題である場合とそうでない場合があり、手動で検査する必要があります。

このようなNiktoの警告は、ディレクトリリストが有効になっているためです。

OSVDB-3092: /logs/: This might be interesting...

これは、マイナーな情報開示の脆弱性と見なされます。この脆弱性にパッチを適用するには、Apache構成を変更できます。

Options -Indexes

別のパッチは、これらのフォルダーに空白のindex.htmlページを配置することです。

Niktoはまた、おそらくPHP-NukeとVbulletinを実行していると言っています。これらのアプリケーションで脆弱性が発見されており、多分脆弱です。これらのアプリケーションを実行している場合は、完全に更新されていることを確認してください。

他にすべきことは次のとおりです。

1）インストールすることを強くお勧めします mod_security 、デフォルトのルールセットは悪用を防ぐのに非常に優れています。

2）PHP Webアプリケーションに独自の制限付きMySQLユーザーアカウントがあることを確認してください。file_privはこのアカウントで取り消されました。 MySQLファイルの権限は、Webアプリケーションに与えることができる最悪のものの1つです。また、動作する必要のあるデータベースにのみアクセスできることを確認する必要があります。たとえば、ユーザーアカウントにmysql.userへのアクセス権を与えるのは間違いです。

3） PHPSecInfo を実行し、それに応じてphp.iniファイルを変更します。 REDエラーは発生しないはずです。

4）実行 OpenVAS これはnessusのより無料のバージョンです。 OpenVASは、他の多くのテストとともにNiktoを実行します。

3
Rook