Zabezpieczenia serwerów internetowych. Jakub Tomaszewski Zespół Bezpieczeństwa Poznańskie Centrum Superkomputerowo Sieciowe

HTML
DOWNLOAD

Wielkość: px

Rozpocząć pokaz od strony:

Download "Zabezpieczenia serwerów internetowych. Jakub Tomaszewski Zespół Bezpieczeństwa Poznańskie Centrum Superkomputerowo Sieciowe"

Kinga Kozak
10 lat temu
Przeglądów:

1 Zabezpieczeniaserwerów internetowych JakubTomaszewski ZespółBezpieczeństwa PoznańskieCentrumSuperkomputerowo Sieciowe

2 PCSS PoznańskieCentrum Superkomputerowo Sieciowe: 15lat OperatorsieciPIONIER(siećdla edukacjiinauki)orazpozman Uczestnikprojektównaukowo badawczych Główneobszaryzainteresowań Gridy,siecinowejgeneracji, portale Bezpieczeństwosiecii systemów

Uczestnikprojektównaukowo badawczych Główneobszaryzainteresowań

3 ZespółBezpieczeństwaPCSS Dedykowany zespół istnieje od 1996r. Podstawowy zakres prac Zespołu Zabezpieczanie infrastruktury PCSS Zadania bezpieczeństwa w projektach naukowo badawczych Szkolenia i transfer wiedzy Badania własne Audyty i doradztwo w zakresie bezpieczeństwa IT Niektóre badania z ostatnich lat Raport o bezpieczeństwie bankowości elektronicznej (2006) Bezpieczeństwo serwerów WWW Apache i MS IIS (2007) Bezpieczeństwo sklepów internetowych (2008)

Szkolenia i transfer wiedzy Badania własne Audyty i doradztwo w zakresie bezpieczeństwa IT Niektóre badania z ostatnich

4 Planprezentacji Modelserwera, Kimjestagresor? System, Serwerwww, Interpreter, Podsumowanie

5 ModelSerweraLAMP Linux Apache MySQL PHP

6 Budowasystemu Aplikacja Apache PHP SO MySQL

7 Agresor analizamożliwości Osoba,którawykupujehostingnanaszymserwerze, Ma pełną dowolnośćumieszczaniakodunaswojejstronie, Jegocele:inneserwisylubsamserwer, Agresornieświadomy(?),

8 System LinuxSecurityforBeginners LinuxAdministrator'sSecurityGuide LinuxSecurityHOWTO RedHatLinuxEnterprise4SecurityGuide SecuringDebianManual debian howto SlackwareLinuxEssentials Security SuSELinuxEnterpriseServer security guide.pdf UbuntuSecurity

debian.org/doc/manuals/securing debian howto SlackwareLinuxEssentials Security http://www.slackbook.org/html/security.html SuSELinuxEnterpriseServer http://ltp.

9 Apache wyciekinformacji

10 Apache szukamyi... Apache2.2.8mod_sslVulnerability, Apache2.2.8mod_proxy_ftpglobbingXSS Apache2.2.8mod_proxy_balancerCSRF Apache2.2.8mod_proxy_httpDoS

2.8mod_proxy_balancerCSRF Apache2.2.8mod_proxy_httpDoS

11 Apache obrona Zmianawplikukonfiguracyjnymapache ErrorDocument404.errors/my_error_page404.htm Aktualizacjawersjioprogramowania(!)

12 PHP phpinfo()

13 PHP teżmożemyposzukać... PHP4.4.8MultipleBufferOverflowVulnerabilities PHP4.4.7/5.2.3MySQL/MySQLiSafeModeBypassVulnerability

14 PHP phpinfo() obrona disable_functions=phpinfo

15 PHP c99.txt,r57.txt

16 PHP obrona disable_functions=exec,fopen,popen,passthru,readfile,file,system Ograniczenieprawdostępuużytkownika, Amożemaszynavirtualna?

17 PHP informacjeobłędach

18 PHP obrona Zmianawplikuphp.ini: display_errors=off log_errors=on error_log=/var/log/php/error.log

19 PHP listowaniekatalogów

20 PHP obrona Zmianawplikuhttpd.conf: Options Indexes Definiowanieplikugłównego: DirectoryIndexindex.php

21 PHP niedozwoloneścieżki Acojeślimogęwywołaćtotak: katalog_innego_usera/plik_konfiguracyjny_innego_usera

22 PHP niedozwoloneścieżki Albotak: v=list&p=../../../../../../../../../../etc/passwd

23 Obronatrochędokładniej(1) PHPSafeMode(php.ini): safe_modeon Kataloggłównyaplikacji(php.ini) open_basedir=/home/www/htdocs/any_dir Kataloggłównyaplikacji(httpd.conf) <Directory"./htdocs/any_dir"> php_admin_valueopen_basedir"./htdocs/any_dir" </Directory>

24 Obronatrochędokładniej(2) Wyłączenieniebezpiecznychfunkcji(php.ini): disable_functions=phpinfo Wyświetlaniebłędów(php.ini) display_errors=off Wyciekinformacji(php.ini) expose_php=off

25 Obronatrochędokładniej(3) Ograniczaniedostępu(httpd.conf): <Directory"./Apache/Apache2/htdocs"> OrderAllow,Deny Allowfrom /24 Denyfromall </Directory> Sygnaturaserwera(httpd.conf) ServerSignatureOff

26 Obronatrochędokładniej(4) Wyłączenieniebezpiecznychskryptów(httpd.conf): CGI(CommonGatewayInterface) SSI(ServerSideIncludes) Ukrywanie.htaccess(httpd.conf) <Files.htaccess> orderallow,deny denyfromall </Files>

27 Jaksiębronić? Atakowaćswojąstronęmożliwieczęsto=D Skanery:nikto,wikto,AppScan,... Firewallewartstwy7i8, Czytać,słuchać,AKTUALIZOWAĆ, CzytaćLOGI, Wykonywaćaudyty,

28 Informacjekontaktowe Autorprezentacji PCSS ZespółBezpieczeństwaPCSS

29 Pytaniaidyskusja,propozycje??! Dziękujęzauwagę!

Podobne dokumenty

Zabezpieczanie platformy Windows Server 2003

Zabezpieczanie platformy Windows Server 2003 Marcin Jerzak marcin.jerzak@man. @man.poznan.pl 1 Kim jesteśmy i co robimy? 2 PCSS Poznańskie Centrum Superkomputerowo- Sieciowe Operator sieci PIONIER oraz