مدونة مصطفى البازي

ModSec

مرحبا, في الفترة الماضية كنت اعمل على اعداد قوانين للمود سيكورتي, وبعد الانتهاء منها بدأت بمرحلة الاختبار والتنقيح. وفي اثناء تنفيذ بعض الاختبارات الصعبة لاحظت ان الطلب او ال Request يتأخر او يعتبر من الطلبات الثقيلة على الـ Apache.

وبعد بعض التجارب طلعت بحلول حلوة. بهذه التدوينة راح اشرح بعض الطرق لتحسين قوانين المودسيكورتي. بحيث لما تجي تكتب قوانين بنفسك تعرف ايش الطرق الي تعطيك قوانين نظيفة وسهلة التنفيذ على المعالج. لن ادخل في امثلة صعبة او معقدة.

مثال اول: لنفرض اننا لدينا القوانين التالية

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22

START
 
SecRule REQUEST_URI "\phpshell"
SecRule REQUEST_URI "\commander\.php\?&cmd"
SecRule REQUEST_URI "\r00r\.php\?&cmd=chmod"
SecRule REQUEST_URI "\lolshell\.php\?&cmd=chown"
SecRule REQUEST_URI "\phpshell\.php\?&cmd=ls&d"
SecRule REQUEST_URI "\shell\.php\?&cmd=sql"
SecRule REQUEST_URI "\r00r\.php\?&act=chmod"
SecRule REQUEST_URI "\lolshell\.php\?&act=chown"
SecRule REQUEST_URI "\phpshell\.php\?&act=ls&d"
SecRule REQUEST_URI "\shell\.php\?&act=sql"
SecRule REQUEST_URI "\r00r\.php\?&command=chmod"
SecRule REQUEST_URI "\lolshell\.php\?&command=chown"
SecRule REQUEST_URI "\phpshell\.php\?&command=ls&d"
SecRule REQUEST_URI "\shell\.php\?&command=sql
SecRule REQUEST_URI "\shell11234\.php\?&act"
SecRule REQUEST_URI "\rootshell\.php\?&command"
SecRule ARGS "\shell"
SecRule REQUEST_LINE "/niceshell\.txt"
 
END

من منا لم يسمع بفيروسات المواقع خصوصاً مدراء المواقع, الدعم الفني, مدراء الشبكات والسيرفرات  .. ولكن حسب البحث الذي اجريتة في الثلاث ايام الماضية ان الاغلبية منا لا يعلم ماهية الفيروسات هذه  وخصوصاً لماذا وكيف تصيب الموقع .. وهذا هوا سوف يكون موضوعنا لليوم, سوف اتحدث عن فيروسات المواقع بشكل عام وليس حصر على فيروس معين, طريقة عملها بشكل عام, مدى خطورتها, طرق التخلص منها في حال الوقوع بها, وبعض الطرق البسيطة لتجنب الوقوع به.

خبايا دودة الـConficker الشهيرة, أغلبنا أن لم يكن الجميع قد سمع بهذه الدودة الذي ضربت الكثير من الأجهزة حول العالم والذي تسبب قلق كبير للشركات وخصوصاً الشركات التي تعمل بأنظمة ويندوز وشركات الأمن المعلوماتي .. الغريب في الأمر أن الأغلبية لا يعلم بما تعمل هذه الدودة, ولكن اليوم سوف نتناول هذا الشيء من خلال بحث صغير قمت بة.

الطريف في الأمر أن مبرمجو هذه الدودة يقومون بعمل نسخة/أصدار جديد كل فترة (أحسست أنها كـ برنامج – تطبيق يتم تطويرة كل فترة ليقدم خدمة أفض, ولكن الدودة هذة يتم تطويرها كل فترة لتزيد الضرر أكثر من السابق)

أولاً يجب أن نعلم أن الدودة معروفة بكثير من الأسماء مثل:- Win32/Conficker.D, Win32/Conficker.C, Win32/Conficker.A, Win32/Conficker.B-Both, W32/Confick-G , Trojan.Win32.Pakes.ngs

وهية تعمل على أغلب أصدارت ويندوز مثل:- 95, 98, 2000, ME, NT, Xp, Vista, Windows Server 2003 + 2008 .. لم يتم تجربتها على ويندوز 7 ولكن من المؤكد هية تعمل علية.

لا أعرف مالذي يحدث هذه الأيام أرى الكثير من الأخوة يقومون بعمل ما يسمى بــ أختراع ثغرات وهمية لاوجود لها ولا تسمى ثغرة أصلاً .. بالعامية هناك البعض يبحث عن (زحمة في شارع فاضي) .. أغلب من يقوم بهذا الشيء هم من يطلقون على أنفسهم هاكرز أو خبراء في الأمن المعلوماتي ..!

لاحظت قبل أربع أشهر شخص يدعي بأكتشاف ثغرة خطيرة جداً ..! في cPanel ولكن الثغرة هذي تتطلب وجود حساب على أقل تقدير .. مع صلاحيات root .. والهدف منها استخراج جميع باسوردات السيرفر .. طيب اذا الثغرة تطلب حساب على السيرفر ايش باقي ؟؟ لا والمصيبة تحتاج صلاحيات root  يعني مثل الحرامي يدور يفتح الخزنة بس محتاج المفتاح  و الرقم السري

يلا ما علينا .. تعالو أسمعكم بأخر ثغرة تم أكتشافها ولو مرة بواسطة الهاكر الفنان و العبقري

يقول لك أنة أكتشف ثغرة خطيرة جداً في السي بنل .. تودي أكبر سيرفر بستين داهية .. (ياربي) .. قلنا ماهية الثغرة وكيف يتم أستغلالها

قال : تحتاج حساب على السيرفر ( كمان) ..  وبعدين تروح للملف الفلاني وتعمل تحرير للملف وتغير محتوى الملف وتخلي كود php shell وبعدين تعمل save للملف وتتصفح الملف من خلال الرابط التالي وراح يشتغل معك الشيل 100% ..

بصراحة ليس لدي تعليق على مايحدث .. ولكن ما يزعجني أن هناك الكثير من المطبلين يطبلون و يصفقون للحمقى .. تجد المخترع يكتب موضوع في أحدى المنتديات الكبيرة .. ويدخل على الموضوع بعض الصغار فكرياً .. يطبلون و يصفقون للمخترع والكل يشير لهم بــ خبراء الأمن المعلوماتي العربي ..!

Bad Request

السلام عليكم, اليوم سوف نتحدث قليلاً عن حجب الدوال وهل هية فعلاً تحمي الخادم من السكربتات الخبيثة بشكل جيد أو لا والمزيد

اولاً الصورة التي تشاهدونا في الأعلى هية في الحقيقة لأحد الشيلات التي رفعتها على أحدى السيرفرات المدارة من قبلي , كما ترون رفعت شيل على السيرفر ثم قمت بطلبة وجائني الرفض ثم بعد دقيقة تسلمت رسالة بحجب الأي بي الخاص بي , لاحض الصورة التالية :-