Messages posted by: CuteFTP

Hic, nhìn vô cái pic bé tẹo chả biết sao.

Mà nếu bạn có link shell đó thì có thể download cái file shell đó về mà, xin làm chi nữa nhỉ. Vả lại shell nào về cơ bản cũng gần giống giống nhau. Cứ dùng tốt 1 loại chắc là ổn cả.

quanta wrote:

À mà tiêu đề thì bạn nói là tìm file khởi động cùng Windows nhưng nội dung bạn lại nói là cứ khi remote desktop vào là gặp, tóm lại là cái nào vậy?

Vâng thì khi em RDP vào Server thì nó chạy file đó. (chạy giống kiểu file .bat). Vấn đề em đặt tiêu đề là tìm cho đc file đó smilie

. Vì khi login vào sv thì nó tự động chạy file đó.

@ Anh alex96: EM cũng nghĩ thế, vì thế em chưa scan virus nó mà để tìm file kia và ... mổ xẻ nó ra đã smilie

.
@ Anh WinDak: Em muốn tìm hiểu xem làm sao cái file đó "nhảy" ra từ đâu đã smilie

Mong moị người cho ý kiến.

Vâng, cả 2 nhánh anh à. Nhánh kia chỉ có cái IDM đc /onboot thôi. Ko hiểu nó ở đâu chui ra nữa smilie

(.

Không có gì trong đó anh à. Chỉ 1 dòng defaul value notset thôi.

Có cách nào kiểm tra nữa ko nhỉ smilie

(

Em có quản trị 1 con 2k3 server. Khi remote desktop vào thì khi nào cũng nhảy lên bảng Command Line này.
Em tìm toàn máy không thấy có file 2.exe đâu cả.

Nó nhảy lên nhanh lắm. Em quay video rồi xem lại chụp vài hình. Bình thường nó mà nhảy lên thì bấm phím ko kịp smilie

Mọi người cho ý kiến và cách khắc phục nhé. Em cảm ơn.

Trước tiên cảm ơn anh đã đọc và reply.

1. Tấn công local em hỏi trường hợp này là tấn công qua webshell (ví dụ r57, c99) thôi ạ. Việc tích hợp nhiều phần mềm trên một máy chủ sẻ gây tốn tài nguyên. Vì vậy em muốn ModSecurity chống lại cách này luôn. Các tools hổ trợ mạnh và nghiệp vụ khác thì em sẻ tìm hiểu sau. Trước mắt em muốn MS chặn như nào và có mấy kiểu mà thôi smilie

.

2. Mô hình của em gồm
+ 1 máy chủ CentOS làm Server Web (SV)(192.168.1.10).
+ 1 máy cũng CentOS làm firewall (dựa vào iptables sẵn có).

Firewall này là đơn dịch vụ và nó có 1 card tiếp xúc với mạng Internet (eth0: tiếp xúc với External, eth1 tiếp xúc với Internal)

Mọi truy vấn đến firewall đều bị DROP. Nếu truy vấn ko qua Firewall mà trực tiếp đến SV cũng bị DROP hết.
Firewall chỉ có chức năng là chuyển tiếp và NAT gói tin từ mạng ngoài đi vào và ngược lại mà thôi.

Vấn đề ở đây em ko hiểu cho dù client ping với length là 32 byte vào SV lại được. Trong khi đó đặt length là từ 60 đến 65535 byte? (thử ping 31 byte lại ko đc :"> smilie

.

Chờ ý kiến của anh và mọi người.

Chào các anh chị.

1. Em đang nghiên cứu về một số chống tấn công bằng ModSecurity. Không biết đối với kiểu tấn công local attack thì chống kiểu gì? Cơ chế ra sao? Mong mọi người chỉ rỏ.

2. Vấn đề về iptables. Em đã gỏ luật sau
Code:

iptables -A FORWARD -d 192.168.1.10 -i eth0 -p icmp -m icmp --icmp-type echo-request -m length --length 60:65535 -j ACCEPT
iptables -A FORWARD -s 192.168.1.10 -i eth1 -p icmp -m icmp --icmp-type echo-reply -m length --length 60:65535 -j ACCEPT

nhưng gặp vấn đề là khi client ping với tham số -l 32 lại ping bình thường trong khi đó length cho phép là từ 60 đến 65535 byte?

Em cảm ơn ạ.

Thread này hay và bổ ích đó anh smilie

. Cho em hỏi vài câu:

1. Về whois
Giả sử whois lên thì ta đc kết quả site hva.net là
ns1.dns.net
ns2.dns.net
trong khi đó nslookup ta đc chỉ 1 cái là ns1.dns.net?

2. Giả sử có nhiều domain trỏ về thì thêm bản ghi chổ nào? smilie

Đọc mà hoa cả mắt. Với 5k dòng lệnh thì có lẻ chịu chắc. Build lại cho khoẻ smilie

.

Cảm ơn mọi người. Đêm nay lại "thâu" rồi smilie

Sáng nay login vào server và xoá nhầm thư mục quan trọng. Trong đó là cốt lõi của site.

Server của em dùng CentOS.

Em đã thực hiện lệnh

Code:

rm -rf diendan

Trong windows thì còn có thùng rác để restore. Vậy cho em hỏi là trong Linux để lấy lại thư mục đó thì làm thế nào? Gấp quá và giờ có việc nên phải đi nên lên đây hỏi.

Mong anh chị giúp đỡ.

Lại xảy ra lỗi và tiếp tục lên mổ xẻ tiếp smilie

.

Em có cái 4rum giờ data là 332MB rồi. Do vấn đề bảo mật nên em quyết định chuyển host sang nhà cung cấp dịch vụ khác. Và em dùng Mysqldumper để backup.

Trong quá trình restore thì xảy ra lỗi
Code:

Got a packet bigger than 'max_allowed_packet'

Em đã tham khảo một số bài và đa số là họ chỉ cho là phải tác động lên máy chủ. Bên em đang dùng share hosting nên không thể tác động lên máy chủ đc.

Để giải quyết vấn đề này các anh chị có cách nào ko chỉ em với?

Cái chữ đó đúng là "Restricted Area" thật. Và cái modxx_ldap đã đc load từ apache rồi anh à.

Vấn đề này em chịu rồi smilie

(

Em đang làm cái demo về tấn công vào CSDL. Các anh chị cho em hỏi là có mấy cách tấn công vào MYSQL Server? Và những cách đó là gì? Và phổ biến là loại nào?

Em chỉ biết mỗi SQL Injection smilie

Chờ học hỏi từ mọi người. smilie

quanta wrote:

CuteFTP wrote:

azteam wrote:

Bạn kiểm tra xem server có chạy file .htaccess không?

Kiểm tra như nào hả bạn?

Code:
echo "CuteFTP" > /var/www/html/admin/.htaccess
service httpd restart
Sau đó access thử xem có thấy "Internal Server Error" không?

CuteFTP wrote:
Mình có xem trong file httpd.conf thì có đoạn này
Code:
AccessFileName .htaccess
Mình nghĩ chỉ đặt 2 file đó vào 1 thư mục rồi thì chắc chắn nó sẻ hiện lên popup bắt nhập. Còn file chứa password đặt ở đâu nó sẻ chưa truy vấn đến.
Còn cần kiểm tra AllowOverride nữa:
Code:
grep -i allowoverride /path/to/httpd.conf

1. Sau khi gỏ đoạn trên thì vẩn thấy bình thường, không xuất hiện lỗi 500 đó.

2. Đây là đoạn output khi gỏ lệnh trên
Code:

[root@vps ~]# grep -i allowoverride /etc/httpd/conf/httpd.conf
AllowOverride None
# AllowOverride controls what directives may be placed in .htaccess files.
AllowOverride None
# AllowOverride FileInfo AuthConfig Limit
# for additional configuration directives. See also the AllowOverride
AllowOverride None
AllowOverride None
AllowOverride None
[root@vps ~]#

Nó có nói lên điều gì ko anh?
Em đã thử thay None bằng All thì khi vào thư mục nào cũng bị bắt nhập.
Muốn nó đi vào từng thư mục mình chỉ định thì làm thế nào ạ?

azteam wrote:

Bạn kiểm tra xem server có chạy file .htaccess không?
Thử vào đây create lại xem sao: http://www.htaccesstools.com/htpasswd-generator/

Kiểm tra như nào hả bạn?

Mình có xem trong file httpd.conf thì có đoạn này
Code:

AccessFileName .htaccess

Mình nghĩ chỉ đặt 2 file đó vào 1 thư mục rồi thì chắc chắn nó sẻ hiện lên popup bắt nhập. Còn file chứa password đặt ở đâu nó sẻ chưa truy vấn đến.

Chờ mọi người cho câu trả lời smilie

Em đã sửa lại file .htaccess thành
Code:

AuthName "Restricted Area"
AuthType Basic
AuthUserFile /var/www/html/admin/.htpasswd
require valid-user

nhưng vẩn không được. Vào thẳng chứ nó ko bắt nhập gì.

Không biết lỗi do đâu smilie

quanta wrote:

http://httpd.apache.org/docs/2.0/mod/mod_auth.html#authuserfile

Theo em đc biết thì mod_auth đc cài khi mình cài apache mà anh.
Code:

LoadModule auth_basic_module modules/mod_auth_basic.so

Em cũng có tham khảo nhưng không hiểu lắm smilie

Code:

Nhu em day ma de lai IP hay phai dung cc cua minh mua hang sao ha ong anh?
Ong anh vao HVA lay 20 nick trong do ra ma co nick cua em thi em hua se ko pha nua va se tra lai cac domain cho ong anh :p

Ý của bạn í là nếu bạn í đưa IP cho bác rồi bác đưa IP đó cho BQT HVA thì xem BQT HVA có check đc ra nick người đó ko í :">

Em hiểu là thế.

P/S: Nếu mà có giấy tờ hợp pháp và bằng chứng đưa ra quyền sở hữu của domain đó thì bác có thể lấy lại dể dàng cho dù là ở đâu đi nữa. Vì sẻ có giấy tờ thanh toán hoặc là bác thanh toán bằng cái gì (ví dụ paypal, mb,...) thì vào acc thanh toán và send cho họ proof là đc. Còn bác không chứng minh đc thì chắc chắn là mua bằng bất hợp pháp smilie

Em chỉ đoán thế thôi sai sót mong bác bỏ qua smilie

Em đang muốn bảo vệ thư mục nằm ở
/var/www/html/admin
bằng file .htaccess
Em đã làm tạo 2 file .htaccess và .htpasswd có nội dung như sau và đặt vào trong thư mục admin kia.

1. File .htaccess là
Code:

AuthName "Restricted Area"
AuthType Basic
AuthUserFile /var/www/html/admin
require valid-user

2. File .htpasswd là
Code:

adminrotected By AskApache:0ae93684d8415e5b795020a7f9774fc1
admin:$apr1$P3SzDN.j$B7xkjvL5P1MaO6ENB4Kel.
admin:{SHA}FZ6i8oFX4QQAHgODjLsmSx6ZfpM=
admin:EJtuz/98aVcFE

Nhưng khi vào link admin kia bằng trình duyệt thì lại không hiện lên popup bắt nhập username và password.

Không biết em đã thiếu những gì để xác thực nó mong anh chị xem giúp?

@anh Quanta: Lỗi là sao anh? Em tail nó lên mà đc mỗi dòng smilie

. Nhưng ko liên quan thì phải. Chắc em chưa bật chức năng ghi log. Ko rỏ bật chổ nào lun :">

Các modules mà em đã cài đặt lên là:
Code:

[PHP Modules]
bz2
calendar
ctype
curl
date
dbase
exif
ftp
gd
gettext
gmp
hash
iconv
ionCube Loader
libxml
mbstring
mime_magic
mysql
mysqli
openssl
pcntl
pcre
PDO
pdo_mysql
pdo_sqlite
posix
pspell
Reflection
session
shmop
SimpleXML
sockets
SPL
standard
sysvmsg
sysvsem
sysvshm
tokenizer
wddx
xml
zlib
[Zend Modules]
the ionCube PHP Loader

Trên con này em mới chỉ cài cái ModSecurity. Không biết nó có ảnh hưởng gì không?

Câu hỏi của em có lẻ hơi chuối vì không phải không load đc ảnh mà thật sự thì nó ko hiện lên Captcha để gỏ. Mà captcha đó là ảnh. Nhưng khi up 1 file ảnh lên site thì chạy trên web vẩn được như thường.

P/S: Xin lỗi hôm nay mới rely đc các reply của mọi người.

Chào các anh chị. Em có con VPS mà nó không hiển thị đc ảnh để gỏ captcha.

Cơ bản là như này. Cùng 1 code đó, cùng 1 database đó mà up lên host nhà cung cấp Mắt Bảo và một số nhà cung cấp host khác thì nó hiện lên phần captcha. Nhưng khi up lên VPS thì nó ko hiện lên phần captcha để gỏ.

Cái này em nghĩ là nó ko load đc ảnh.

Trên con VPS thì em chỉ cấu hình đơn giản các dịch vụ vừa đủ để chạy code PHP và CSDL. Không biết còn thiếu gì mà nó không chạy đc. Anh chị ai gặp lỗi này rồi hoặc biết em thiếu chổ nào thì chỉ em vs.

Em cảm ơn!

Lục lại cái topic này phát.

Vấn đề giờ em muốn thay đổi cái hostname của em mãi mà ko đc. Em đã làm các bước như sau:

1. Vi cái file network bằng lệnh
Code:

vi /etc/sysconfig/network

Đã sửa file đó thành
Code:

NETWORKING="yes"
GATEWAY="191.255.255.1"
HOSTNAME="newdomain.net"
DOMAINNAME=newdomain.net

2. Tiếp đến em sửa trong
Code:

vi /etc/hosts

Code:

127.0.0.1 localhost.localdomain localhost
# Auto-generated hostname. Please do not remove this comment.
xx.xx.xx.xx newdomain.net vps

3. Tiếp đến gỏ
Code:

hostname vps

Kết quả sau khi reboot lại là vẩn quay về cái hostname củ. Ko hiểu tại sao luôn.

Em dùng trên vps không biết họ có cho mình thay đổi hostname hay ko? Vấn đề này em gặp khá nhiều mà chưa có câu trả lời.

Vào command gỏ lệnh
Code:

dhclient

là đc.

Ok. Em đã làm theo và thành công rồi anh à. smilie

. May quá. Loay hoay mãi. Cảm ơn anh nhé.

vitcon01 wrote:

--->khởi động lại dns server của bạn

/etc/init.d/named restart

tail -20 /var/log/messages

--->rồi đưa đoạn tail đó lên

-Cân cung cấp distro mà bạn đang sử dụng
-Xem thử đã cấu hình iptables chưa
allow-query { localhost; }; ---> //allow-query { localhost; };

1. Tail báo như sau:
Code:

[root@uniofl etc]# service named restart
Stopping named: . [ OK ]
Starting named: [ OK ]
[root@uniofl etc]# tail -20 /var/log/messages
2010-10-04T11:47:43.875305+09:00 uniofl named[32367]: found 8 CPUs, using 8 worker threads
2010-10-04T11:47:43.875983+09:00 uniofl named[32367]: using up to 4096 sockets
2010-10-04T11:47:43.883054+09:00 uniofl named[32367]: loading configuration from '/etc/named.caching-nameserver.conf'
2010-10-04T11:47:43.884665+09:00 uniofl named[32367]: using default UDP/IPv4 port range: [1024, 65535]
2010-10-04T11:47:43.885589+09:00 uniofl named[32367]: using default UDP/IPv6 port range: [1024, 65535]
2010-10-04T11:47:43.888434+09:00 uniofl named[32367]: listening on IPv6 interface lo, ::1#53
2010-10-04T11:47:43.888936+09:00 uniofl named[32367]: listening on IPv4 interface lo, 127.0.0.1#53
2010-10-04T11:47:43.889253+09:00 uniofl named[32367]: listening on IPv4 interface venet0:0, 38.127.225.69#53
2010-10-04T11:47:43.890997+09:00 uniofl named[32367]: command channel listening on 127.0.0.1#953
2010-10-04T11:47:43.891154+09:00 uniofl named[32367]: command channel listening on ::1#953
2010-10-04T11:47:43.891187+09:00 uniofl named[32367]: the working directory is not writable
2010-10-04T11:47:43.892021+09:00 uniofl named[32367]: zone 0.in-addr.arpa/IN/localhost_resolver: loaded serial 42
2010-10-04T11:47:43.892335+09:00 uniofl named[32367]: zone 0.0.127.in-addr.arpa/IN/localhost_resolver: loaded serial 1997022700
2010-10-04T11:47:43.892574+09:00 uniofl named[32367]: zone 255.in-addr.arpa/IN/localhost_resolver: loaded serial 42
2010-10-04T11:47:43.892789+09:00 uniofl named[32367]: zone 225.127.38.in-addr.arpa/IN/localhost_resolver: loaded serial 2010100101
2010-10-04T11:47:43.893040+09:00 uniofl named[32367]: zone 0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.ip6.arpa/IN/localhost_resolver: loaded serial 1997022700
2010-10-04T11:47:43.893232+09:00 uniofl named[32367]: zone localdomain/IN/localhost_resolver: loaded serial 42
2010-10-04T11:47:43.893410+09:00 uniofl named[32367]: zone localhost/IN/localhost_resolver: loaded serial 42
2010-10-04T11:47:43.893610+09:00 uniofl named[32367]: zone yourcomic.net/IN/localhost_resolver: loaded serial 2010100101
2010-10-04T11:47:43.894737+09:00 uniofl named[32367]: running
[root@uniofl etc]#

2. Em dùng

Code:

CentOS release 5.5 (Final)
i686

3. iptables đã stop và các port 80, 53 vẩn open bình thường.
4. đã làm theo cái này smilie

Code:

allow-query { localhost; }; ---> //allow-query { localhost; };

Mà giờ vẩn chưa đc smilie

Cảm ơn anh đã support và chờ anh xem xét thêm smilie

hmtaccess wrote:

CuteFTP wrote:

hmtaccess wrote:

Lỗi gì bạn đưa output lên xem thử

À vâng, quên mất lỗi là khi gỏ www.yourcomic.net nó ko phân giải ra website của em.

Khi start named lên nó có báo lỗi gì không
kiểm tra file /etc/resolv.conf chưa
Code:
cat /etc/resolv.conf

Khi start named thì không có lỗi gì.
Check trong file kia thì nó ra kết quả như này
Code:

[root@vps~]# cat /etc/resolv.conf
nameserver 38.113.205.124
nameserver 38.113.205.85

Cái này nói lên điều gì nhỉ?

hmtaccess wrote:

Lỗi gì bạn đưa output lên xem thử

À vâng, quên mất lỗi là khi gỏ www.yourcomic.net nó ko phân giải ra website của em.

Hix. Hình như chả ai giúp đc. smilie

Giờ em có một con vps và muốn nó làm chức năng dns server. Em có
Code:

1. Domain là yourcomic.net
2. IP của VPS là 38.127.225.69

Em đã vào Control của Domain và đã tạo
Code:

ns1.yourcomic.net trỏ về ip là 38.127.225.69
ns2.yourcomic.net trỏ về ip là 38.127.225.69

Trong con vps em đã cài Bind và em đã cấu hình trong đó tương ứng với mấy file như thế này

+ Ở file named.caching-nameserver.conf là:
Code:

//
// named.caching-nameserver.conf
//
// Provided by Red Hat caching-nameserver package to configure the
// ISC BIND named(8) DNS server as a caching only nameserver
// (as a localhost DNS resolver only).
//
// See /usr/share/doc/bind*/sample/ for example named configuration files.
//
// DO NOT EDIT THIS FILE - use system-config-bind or an editor
// to create named.conf - edits to this file will be lost on
// caching-nameserver package upgrade.
//
options {
listen-on port 53 { 127.0.0.1; 38.127.225.69;};
listen-on-v6 port 53 { ::1; };
directory "/var/named";
dump-file "/var/named/data/cache_dump.db";
statistics-file "/var/named/data/named_stats.txt";
memstatistics-file "/var/named/data/named_mem_stats.txt";
// Those options should be used carefully because they disable port
// randomization
// query-source port 53;
// query-source-v6 port 53;
allow-query { localhost; };
allow-query-cache { localhost; };
};
logging {
channel default_debug {
file "data/named.run";
severity dynamic;
};
};
view localhost_resolver {
match-clients { localhost; };
match-destinations { localhost; };
recursion yes;
include "/etc/named.rfc1912.zones";
};

+ Ở file named.rfc1912.zones là:
Code:

// named.rfc1912.zones:
//
// Provided by Red Hat caching-nameserver package
//
// ISC BIND named zone configuration for zones recommended by
// RFC 1912 section 4.1 : localhost TLDs and address zones
//
// See /usr/share/doc/bind*/sample/ for example named configuration files.
//
zone "." IN {
type hint;
file "named.ca";
};
zone "localdomain" IN {
type master;
file "localdomain.zone";
allow-update { none; };
};
zone "localhost" IN {
type master;
file "localhost.zone";
allow-update { none; };
};
zone "0.0.127.in-addr.arpa" IN {
type master;
file "named.local";
allow-update { none; };
};
// This is config DNS Server
zone "yourcomic.net" IN {
type master;
file "comic.for";
allow-update { none; };
};
zone "225.127.38.in-addr.arpa" IN {
type master;
file "comic.rev";
allow-update { none; };
};
// The End
zone "0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.ip6.arpa" IN {
type master;
file "named.ip6.local";
allow-update { none; };
};
zone "255.in-addr.arpa" IN {
type master;
file "named.broadcast";
allow-update { none; };
};
zone "0.in-addr.arpa" IN {
type master;
file "named.zero";
allow-update { none; };
};

+ Ở file comic.for là:
Code:

$TTL 86400
@ IN SOA ns1.yourcomic.net. root.ns1.yourcomic.net (
2010100101 ; serial (d. adams)
3H ; refresh
15M ; retry
1W ; expiry
1D ) ; minimum
IN NS ns1.yourcomic.net.
ns1 IN A 38.127.225.69
ns2 IN A 38.127.225.69
www IN A 38.127.225.69

+ Ở file comic.rev là:
Code:

$TTL 86400
@ IN SOA ns1.yourcomic.net. root.ns1.yourcomic.net (
2010100101 ; serial (d. adams)
3H ; refresh
15M ; retry
1W ; expiry
1D ) ; minimum
IN NS ns1.yourcomic.net.
69 IN PTR ns1.yourcomic.net.
69 IN PTR ns2.yourcomic.net.
69 IN PTR www.yourcomic.net.

Em đã làm trên mô hình Lap của Vmware thì ok. Nhưng khi triển khai trên này ko chạy.
Không biết em cấu hình sai chổ nào mong anh chị chỉ giúp.

Em cảm ơn và chờ reply...

Để nhìn rỏ hơn anh chị có thể vào http://38.127.225.69/named/ chứa danh sách các file.

quanta wrote:

1. Dựa vào đâu bạn cho rằng "iptables vẫn on"?
2. hostname thì phải sửa ở /etc/sysconfig/network hoặc /etc/sysconfig/network-scripts/ifcfg-ethx thì reboot nó mới không bị nhảy về cái cũ.

1. Cái này thì em nhầm. smilie

. Ở trên vmware của em thì khi stop iptables thì check status nó báo là stopped. Còn trên này check thì nó ra các rule thực chất cũng đã flush các rule rồi nên nó coi như iptables -F.

2. Cái này thử đã chỉnh trong /etc/sysconfig/network nhưng reboot vẩn thế.