Forum |  HardWare.fr | News | Articles | PC | S'identifier | S'inscrire | Shop Recherche
1765 connectés 

 


 Mot :   Pseudo :  
 
 Page :   1  2  3  4  5  6
Auteur Sujet :

[Topic Unik] Securiser sa passerelle internet :)

n°252274
HuGoBioS
Posté le 20-04-2003 à 20:21:34  profilanswer
 

Reprise du message précédent :

Le passant a écrit :


 
Euh, pourquoi la Debian, je comprends po trop la ???
Ca m'échappe.
 
Utiliser une distri la plus légère possible sans tout le tintoin, ok.. (donc éviter si possible mandrake & Redhat ou y faire des coupe sombre).
Par tintoin, je comprends la désactivation des services ET la supressions de leurs executables !!!
 
Mais c'est pas d'utiliser Debian qui va nous sauver  :lol: !
 
Tu m'aurais dit un *BSD, ok, mais une Debian  :whistle: .
 
Le passant.
 
Ps : dsl pour le troll !

Bien sur il fallait voir le leger troll qui a pu montrer le bout de son nez ;-)
 
en fait j'aime bien la deb pr un serv pr apt-get update && apt-get upgrade ! Ca permet d'avoir un system tjs a jours et sans failles connues en un minimum de tps et d'efforts ! Celà dit d'autre distrib doivent le faire aussi bien je n'en doute pas !


---------------
-= In Kik00 101 I trust :o =-
mood
Publicité
Posté le 20-04-2003 à 20:21:34  profilanswer
 

n°252278
Mjules
Modérateur
Parle dans le vide
Posté le 20-04-2003 à 20:24:04  profilanswer
 

pour Mandrake et pour infos (no troll inside), après avoir configuré les sources security, c'est :
urpmi.update -a && urpmi --auto-select + urpmi kernel si besoin de MAJ le kernel.
 
EDIT : rectification d'une erreur sur la commande urpmi.update


Message édité par Mjules le 22-04-2003 à 11:47:27

---------------
Celui qui pose une question est idiot 5 minutes. Celui qui n'en pose pas le reste toute sa vie. |  Membre du grand complot pharmaceutico-médico-scientifico-judéo-maçonnique.
n°252287
le passant
Posté le 20-04-2003 à 20:49:42  profilanswer
 

Pour la mise à jour simple des composants, je comprends (je suis sous une Slack et c'est pas la joie pour ça dessus).
 
Mais rien que pour ça  :D  :D !
 
Le *BSD que je cherchais, c'était OpenBSD !!! Rien de mieux au niveau Secure. Mais comme ce n'est plus réellemnt du Nux  :whistle: .
 
Le passant.

n°252293
Tomate
Posté le 20-04-2003 à 21:10:25  profilanswer
 

ALORS MOI JE DIS STOP :fou:  
 
stop le troll :hello:


---------------
:: Light is Right ::
n°252308
Bitman
GRAB DA PUSSIES
Posté le 20-04-2003 à 22:18:35  profilanswer
 

qqun pour faire un nmap sur http://cit.timone.univ-mrs.fr/ voir si ya encore des troutrous ?
 
mycy
 
(ps : si yen a cassez ps tout siouplay je vais pas me taper la reinstall tous les jours :o)

n°252338
le passant
Posté le 20-04-2003 à 23:58:44  profilanswer
 

Bon, halte au troll, on a compris  :whistle: .
 
Par contre, je ne vois pas trop quoi ajouter à ce qui a été dit au préalable, sauf qu'il faut peut-être envisager de délocaliser tout serveur de mail - ftp - php - http sur une machine autre que la passerelle. On evite ainsi autant de possiblité d'intrusion sur la passerelle. (les balancer sur une machine dans une DMZ)
 
Ah ! Autre chose : le DNS !!! Il faut réellement y faire très attention.
Une règle du type :

Code :
  1. iptables -A INPUT -i $EXT_IFACE -p udp --sp 53 -j ACCEPT


est absolument à proscrire !!!
 
Lui préférer quelque chose ou on précise la source (en général les DNS des providers) et l'état (ESTABLISHED si LAN uniquement).
Donc, quelque chose du type :

Code :
  1. iptables -A INPUT -i $EXT_IFACE -p udp --sp 53 -s $server -m state --state ESTABLISHED -j ACCEPT
  2. $serveur : DNS du provider


 
Un panachage des état et des sources cibles est possible - et immaginable - suivant le type de cible (LAN, serveur Web, etc..).
 
Comme je n'heberge pas perso un site web, je n'ai pas encore pu tester le 2ème cas, mais syntaxiquement, cela me semble possible. Quelqu'un l'a t-il déjà fait ?
 
Le passant.

n°252892
Tomate
Posté le 22-04-2003 à 10:48:55  profilanswer
 

petite mise a jour ;)
 
 
n hesitez a apporter vos lumieres :hello:

n°252910
[Albator]
MDK un jour, MDK toujours !
Posté le 22-04-2003 à 11:16:08  profilanswer
 

Mjules a écrit :

pour Mandrake et pour infos (no troll inside), après avoir configuré les sources security, c'est :
urpmi -a && urpmi --auto-select + urpmi kernel si besoin de MAJ le kernel.


 
C'est pas plutot "urpmi.update -a" pour la 1ère commande ?

n°252915
Mjules
Modérateur
Parle dans le vide
Posté le 22-04-2003 à 11:37:39  profilanswer
 

si je m'en suis rendu compte en ruolant hier soir et j'ai pas encore mis à jour le post ;)


---------------
Celui qui pose une question est idiot 5 minutes. Celui qui n'en pose pas le reste toute sa vie. |  Membre du grand complot pharmaceutico-médico-scientifico-judéo-maçonnique.
n°252954
Tomate
Posté le 22-04-2003 à 12:27:01  profilanswer
 

[Albator] a écrit :


 
C'est pas plutot "urpmi.update -a" pour la 1ère commande ?


mis a jour ;)

mood
Publicité
Posté le 22-04-2003 à 12:27:01  profilanswer
 

n°253591
Zaib3k
Posté le 23-04-2003 à 17:35:00  profilanswer
 

root@zaibserver:/home/zaib# ls /etc/rc2.d/
S10sysklogd    S20ddclient  S20makedev            S20ssh        S91apache
S11klogd       S20exim      S20mysql              S60hdparm.sh  S99rmnologin
S14ppp         S20inetd     S20nfs-kernel-server  S89atd
S19nfs-common  S20lpd       S20samba              S89cron


 
voila ce que j'ai de lancé au demarrage, et ds le but de securiser un peu, je voudrais faire le menage.
 
j'ai deja viré bind que je n'utilisais plus, mais je voulais savoir si je devais ( et comment ) virer certain des trucs cidessus.
 
sysklogd : je sais pas ce que c'est
klogd : idem
ppp : idem
nfs-common : j'utilise pas nfs
lpd : je ne pense pas l'utiliser
makedev : chai pas ce que c'est
mfs-kernel... : je pense pas l'utiliser
rmnologin : connais pas.
 
qq1 peut m'eclairer ?


---------------
Le droit à la différence s'arrête là où ça commence à m'emmerder sérieusement.
n°253608
Tomate
Posté le 23-04-2003 à 18:19:09  profilanswer
 

Zaib3k a écrit :

root@zaibserver:/home/zaib# ls /etc/rc2.d/
S10sysklogd    S20ddclient  S20makedev            S20ssh        S91apache
S11klogd       S20exim      S20mysql              S60hdparm.sh  S99rmnologin
S14ppp         S20inetd     S20nfs-kernel-server  S89atd
S19nfs-common  S20lpd       S20samba              S89cron


 
voila ce que j'ai de lancé au demarrage, et ds le but de securiser un peu, je voudrais faire le menage.
 
j'ai deja viré bind que je n'utilisais plus, mais je voulais savoir si je devais ( et comment ) virer certain des trucs cidessus.
 
sysklogd : je sais pas ce que c'est
klogd : idem
ppp : idem
nfs-common : j'utilise pas nfs
lpd : je ne pense pas l'utiliser
makedev : chai pas ce que c'est
mfs-kernel... : je pense pas l'utiliser
rmnologin : connais pas.
 
qq1 peut m'eclairer ?
 


 
ppp su pour les connexions ppp :D
lpd c est le daemon impression (imprimantes donc)
le reste a l air d etre des trucs plus compliques : utilises par le kernel ou autre ;)


---------------
:: Light is Right ::
n°253609
Tomate
Posté le 23-04-2003 à 18:23:42  profilanswer
 

je viens de regarder le fichier /etc/passwd et je me suis appercu ke j ai pas mal de users avec /bin/sh comme shell
alors je me demande : je leur mets /bin/false pour certains, et je vire les aurtes (irc par ex) ??
 
voilou :hello:


---------------
:: Light is Right ::
n°253610
Zaib3k
Posté le 23-04-2003 à 18:28:02  profilanswer
 

ok merci
 
 
sinon je viens de voir un truc de test de vulnerabilité : nessus
 
ca vaut qqc ou c de la merde ?


---------------
Le droit à la différence s'arrête là où ça commence à m'emmerder sérieusement.
n°253613
Tomate
Posté le 23-04-2003 à 18:32:06  profilanswer
 

Zaib3k a écrit :

ok merci
 
 
sinon je viens de voir un truc de test de vulnerabilité : nessus
 
ca vaut qqc ou c de la merde ?


je crois ke c est pas mal utilise par les audits de secu par les SSII
mais pour les tests de base
 
apres ds les audits y a aussi les tests d intrusion, et autres verification des serveurs ...


---------------
:: Light is Right ::
n°254517
HuGoBioS
Posté le 25-04-2003 à 16:48:33  profilanswer
 

Alors voilà, mon script de firewall c'es ca :
 
 

Routeur:/etc/init.d# cat firewall  
#! /bin/sh
# Firewall par HuGoBosS
 
 
flush(){
#on purge les tables
iptables -F
iptables -X
iptables -t nat -F
iptables -t nat -X
}
 
start(){
       echo -n "On met les regles en place : "
#On jete les packets par defaut
iptables -P INPUT DROP
iptables -P OUTPUT DROP  
iptables -P FORWARD DROP
 
iptables -t nat -P PREROUTING ACCEPT
 
#on autorise le traffic sur lo
iptables -A INPUT -i lo -j ACCEPT
iptables -A OUTPUT -o lo -j ACCEPT
 
#On accepte toutes les connexions venant du reseau local
iptables -A INPUT -i eth0 -j ACCEPT
iptables -A OUTPUT -o eth0 -j ACCEPT
iptables -A INPUT -i eth1 -j ACCEPT
iptables -A OUTPUT -o eth1 -j ACCEPT
 
#on met le nat et le masquerading en place
iptables -t nat -A POSTROUTING -o ppp0 -j MASQUERADE
 
# Toutes les connexions qui sortent du LAN vers le Net sont acceptées
iptables -A FORWARD -i eth0 -o ppp0 -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT
iptables -A FORWARD -i eth1 -o ppp0 -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT
 
# Seules les connexions déjà établies ou en relation avec des connexions établies sont acceptées venant du Net vers le LAN
iptables -A FORWARD -i ppp0 -o eth0 -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A FORWARD -i ppp0 -o eth1 -m state --state ESTABLISHED,RELATED -j ACCEPT
 
#on interdit le spoofing
if [ -e /proc/sys/net/ipv4/conf/all/rp_filter ]  
       then  
       for filtre in /proc/sys/net/ipv4/conf/*/rp_filter  
       do  
       echo 1 > $filtre  
done  
fi  
 
####################################
#On verifie la validité des paquets#
####################################
iptables -N CHECK_VALID
iptables -A CHECK_VALID -p tcp -m state --state NEW,INVALID --tcp-flags ALL FIN,PSH,URG -j LOG --log-prefix '[IPTABLES X-max Packet] '  
iptables -A CHECK_VALID -p tcp -m state --state NEW,INVALID --tcp-flags ALL FIN,PSH,URG -j DROP
iptables -A CHECK_VALID -p tcp -m state --state NEW,INVALID --tcp-flags ALL NONE -j LOG --log-prefix '[IPTABLES NULL scan packet] '
iptables -A CHECK_VALID -p tcp -m state --state NEW,INVALID --tcp-flags ALL NONE -j DROP
iptables -A CHECK_VALID -p tcp -m state --state NEW,INVALID --tcp-flags ALL SYN,FIN -j LOG --log-prefix '[IPTABLES Syn-Fin packet] '
iptables -A CHECK_VALID -p tcp -m state --state NEW,INVALID --tcp-flags ALL SYN,FIN -j DROP
iptables -A CHECK_VALID -p tcp -m state --state NEW,RELATED ! --syn -j LOG --log-prefix '[IPTABLES ACK packet] '
iptables -A CHECK_VALID -p tcp -m state --state NEW,RELATED ! --syn -j REJECT
iptables -A CHECK_VALID -p tcp -m state --state ESTABLISHED --syn -j LOG --log-prefix '[IPTABLES SYN packet] '
iptables -A CHECK_VALID -p tcp -m state --state ESTABLISHED --syn -j REJECT
iptables -A CHECK_VALID -p tcp -m state --state NEW,INVALID,RELATED --tcp-flags ALL FIN -j LOG --log-prefix '[IPTABLES FIN packet]'
iptables -A CHECK_VALID -p tcp -m state --state NEW,INVALID,RELATED --tcp-flags ALL FIN -j REJECT
iptables -A CHECK_VALID -i ppp0 -m state --state INVALID -j LOG --log-prefix '[IPTABLES Paquet invalide] '
iptables -A CHECK_VALID -i ppp0 -m state --state INVALID -j DROP
 
#On se premunti contre les scans
iptables -A CHECK_VALID -i ppp0 -p tcp --syn -m limit --limit 10/m -j RETURN
iptables -A CHECK_VALID -i ppp0 -p tcp --syn -m limit --limit 1/m -j LOG --log-prefix '[IPTABLES syn flood] '
iptables -A CHECK_VALID -i ppp0 -p tcp --syn -j DROP
 
#on fait passer tous les paquets par la
iptables -A INPUT -i ppp0 -j CHECK_VALID
iptables -A FORWARD -o eth0  -j CHECK_VALID
iptables -A FORWARD -o eth1 -j CHECK_VALID
 
#on autorise les connections etablies
iptables -A INPUT -i ppp0 -m state --state ESTABLISHED -j ACCEPT
iptables -A OUTPUT -o ppp0 -m state --state ESTABLISHED -j ACCEPT
iptables -A FORWARD -m state --state ESTABLISHED -j ACCEPT
 
#################################
#Ouverture des ports specifiques#
#################################
 
#on autorise le ping
#iptables -A INPUT -p icmp -m state --state NEW,RELATED -j ACCEPT
iptables -A OUTPUT -p icmp -m state --state NEW,RELATED -j ACCEPT
 
#acces aux serveurs web
iptables -A INPUT -i ppp0 -p tcp --dport 80 -m state --state NEW -j ACCEPT
iptables -A OUTPUT -o ppp0 -p tcp --dport 80 -m state --state NEW -j ACCEPT
iptables -A INPUT -i ppp0 -p udp --dport 80 -m state --state NEW -j ACCEPT
iptables -A OUTPUT -o ppp0 -p udp --dport 80 -m state --state NEW -j ACCEPT
 
#acces aux serveurs https
#iptables -A INPUT -i ppp0 -p tcp --dport 443 -m state --state NEW -j ACCEPT
iptables -A OUTPUT -o ppp0 -p tcp --dport 443 -m state --state NEW -j ACCEPT
 
#acces aux serveurs ftp
iptables -A INPUT -i ppp0 -p tcp --sport 21 -m state --state ESTABLISHED -j ACCEPT
iptables -A OUTPUT -o ppp0 -p tcp --dport 21 -m state --state NEW,ESTABLISHED -j ACCEPT
iptables -A INPUT -i ppp0 -p tcp --sport 20 -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A OUTPUT -o ppp0 -p tcp --dport 20 -m state --state ESTABLISHED -j ACCEPT
iptables -A INPUT -i ppp0 -p tcp --sport 1024:65535 --dport 1024:65535 -m state --state ESTABLISHED -j ACCEPT
iptables -A OUTPUT -o ppp0 -p tcp --sport 1024:65535 --dport 1024:65535 -m state --state ESTABLISHED,RELATED -j ACCEPT  
 
#acces aux serveurs smtp
iptables -A OUTPUT -o ppp0 -p tcp --dport 25 -m state --state NEW -j ACCEPT
 
#acces aux serveurs pop3
iptables -A OUTPUT -o ppp0 -p tcp --dport 110 -m state --state NEW -j ACCEPT
iptables -A OUTPUT -o ppp0 -p udp --dport 110 -m state --state NEW -j ACCEPT
 
#acces aux serveurs ssh
iptables -A INPUT -i ppp0 -p tcp --dport 22 -m state --state NEW -j ACCEPT
iptables -A OUTPUT -o ppp0 -p tcp --dport 22 -m state --state NEW -j ACCEPT
iptables -A INPUT -i ppp0 -p tcp --dport 22 -m state --state NEW -j ACCEPT
iptables -A OUTPUT -o ppp0 -p tcp --dport 22 -m state --state NEW -j ACCEPT
 
#acces aux serveurs Yahoo
iptables -A OUTPUT -o ppp0 -p tcp --dport 5050 -m state --state NEW -j ACCEPT
 
#acces aux serveurs Icq
iptables -A OUTPUT -o ppp0 -p tcp --dport 5190 -m state --state NEW -j ACCEPT
iptables -A OUTPUT -o ppp0 -p tcp --dport 4000:4100 -m state --state NEW -j ACCEPT
 
#acces au serveur edk (desactivé car plus utilisé)
#iptables -A FORWARD -i ppp0 -p tcp --dport 4662 -j ACCEPT
#iptables -A PREROUTING -t nat -i ppp0 -p tcp --dport 4662 -j DNAT --to 192.168.0.2
#iptables -A INPUT -i ppp0 -p tcp --dport 4662 -j ACCEPT
 
#acces au serveur XXX
#iptables -A INPUT -i ppp0 -p tcp --dport XXX -m state --state NEW -j ACCEPT
#iptables -A OUTPUT -o ppp0 -p tcp --sport XXX -m state --state NEW -j ACCEPT
 
#on autorise le dns sur la passerelle
iptables -A OUTPUT -o ppp0 -p tcp -d 212.32.27.5 --dport 53 -j ACCEPT
iptables -A OUTPUT -o ppp0 -p udp -d 212.32.27.5 --dport 53 -j ACCEPT
iptables -A OUTPUT -o ppp0 -p tcp -d 213.228.0.168 --dport 53 -j ACCEPT
iptables -A OUTPUT -o ppp0 -p udp -d 213.228.0.168 --dport 53 -j ACCEPT
iptables -A INPUT -i ppp0 -p tcp -s 212.32.27.5 --dport 53 -j ACCEPT
iptables -A INPUT -i ppp0 -p udp -s 212.32.27.5 --dport 53 -j ACCEPT
iptables -A INPUT -i ppp0 -p tcp -s 213.228.0.168 --dport 53 -j ACCEPT  
iptables -A INPUT -i ppp0 -p udp -s 213.228.0.168 --dport 53 -j ACCEPT
 
 
       echo "Done."
}
 
passoire(){
#on purge les tables
iptables -F
iptables -X
iptables -t nat -F
iptables -t nat -X
 
#On accepte les packets par defaut
iptables -P INPUT ACCEPT
iptables -P OUTPUT ACCEPT  
iptables -P FORWARD ACCEPT
 
iptables -t nat -P PREROUTING ACCEPT
}
 
case "$1" in
  start)
       flush
       start
     ;;
 
  stop)
     flush
     ;;
  restart)
     flush && start
     ;;
  passoire)
     passoire
     ;;
  *)
  echo "Usage: /etc/init.d/firewall {start|restart|passoire|stop}"
  exit 1
     ;;
esac
 
exit 0

 
 
Et j'aimerai bien rajouter une regle qui bannit les ips qui scannent la machine ... qqn sait ce qu'il faut rajouter ?


---------------
-= In Kik00 101 I trust :o =-
n°254688
Aschrack
Vive Pen²
Posté le 26-04-2003 à 01:58:57  profilanswer
 

http://forum.hardware.fr/icones/flag1.gif


---------------
Je viens d'apprendre que les ventes de voitures ont encore baissé de 7% en France. Y'en a marre de ces pirates qui téléchargent les voitures sur internet ! (antp était prems et est admin) - "Le travail est l'opium du peuple et je ne veux pas mourir dr
n°255212
Zaib3k
Posté le 27-04-2003 à 14:13:24  profilanswer
 

tomate77 a écrit :

je viens de regarder le fichier /etc/passwd et je me suis appercu ke j ai pas mal de users avec /bin/sh comme shell
alors je me demande : je leur mets /bin/false pour certains, et je vire les aurtes (irc par ex) ??
 
voilou :hello:  


 
 [:yoyoz]  ca m'interresse aussi :D
 
et je voudrais savoir aussi comment lancé les services par un autre user que root  :??:


---------------
Le droit à la différence s'arrête là où ça commence à m'emmerder sérieusement.
n°255241
Tomate
Posté le 27-04-2003 à 15:15:31  profilanswer
 

Zaib3k a écrit :


 
 [:yoyoz]  ca m'interresse aussi :D
 
et je voudrais savoir aussi comment lancé les services par un autre user que root  :??:  


perso j ai foutu pas mal de users avec /bin/false ;)
 
pour les serives, ca depend comment tu les lances


---------------
:: Light is Right ::
n°255245
Zaib3k
Posté le 27-04-2003 à 15:18:43  profilanswer
 

les services sont lancés par init, les rcx.d.
 
et j'ai mon ftp par inetd


---------------
Le droit à la différence s'arrête là où ça commence à m'emmerder sérieusement.
n°255255
Tomate
Posté le 27-04-2003 à 15:28:23  profilanswer
 

Zaib3k a écrit :

les services sont lancés par init, les rcx.d.
 
et j'ai mon ftp par inetd


tu peux tjs modifier le script ki lance le service pour k il fasse un su user, ou voire meme un makejail (makejail, pas chroot de merde avec apache-ssl :fou: )


---------------
:: Light is Right ::
n°255257
Zaib3k
Posté le 27-04-2003 à 15:32:38  profilanswer
 

tomate77 a écrit :


tu peux tjs modifier le script ki lance le service pour k il fasse un su user, ou voire meme un makejail (makejail, pas chroot de merde avec apache-ssl :fou: )


 
ok donc par exemple je peux faire
 
su zaib
apache start
 
 
y'aura pas de probleme de droit ? c cool ca  :)


---------------
Le droit à la différence s'arrête là où ça commence à m'emmerder sérieusement.
n°255269
Tomate
Posté le 27-04-2003 à 15:45:23  profilanswer
 

Zaib3k a écrit :


 
ok donc par exemple je peux faire
 
su zaib
apache start
 
 
y'aura pas de probleme de droit ? c cool ca  :)  


pour apache ca marchera po :D
 
il doit etre lance en root ;)


---------------
:: Light is Right ::
n°255273
Zaib3k
Posté le 27-04-2003 à 15:50:33  profilanswer
 

tomate77 a écrit :


pour apache ca marchera po :D
 
il doit etre lance en root ;)


 
j'ai vu ca. ssh idem
 
ils sont lancé par un truc genre start-stop-daemon :/
 
comme tu as eu l'initiative de ce topic, tu pourrais nous faire la liste des users qui peuvent ne pas avoir de shell :D et la liste des services qui peuvent etre lancé par un user != root  [:bigsmiley]  
 
ca serait cool  [:yaisse]


---------------
Le droit à la différence s'arrête là où ça commence à m'emmerder sérieusement.
n°255300
Tomate
Posté le 27-04-2003 à 16:10:58  profilanswer
 

Zaib3k a écrit :


 
j'ai vu ca. ssh idem
 
ils sont lancé par un truc genre start-stop-daemon :/
 
comme tu as eu l'initiative de ce topic, tu pourrais nous faire la liste des users qui peuvent ne pas avoir de shell :D et la liste des services qui peuvent etre lancé par un user != root  [:bigsmiley]  
 
ca serait cool  [:yaisse]  


oue je vais essayer :D
 
la je fe mumuse avec makejail ;)


---------------
:: Light is Right ::
n°255350
Tomate
Posté le 27-04-2003 à 17:19:02  profilanswer
 

petit edit sur chroot et les shells des services ;)


---------------
:: Light is Right ::
n°255353
Zaib3k
Posté le 27-04-2003 à 17:27:35  profilanswer
 

tomate77 a écrit :

petit edit sur chroot et les shells des services ;)


 
cool
 
pour le shell d'apache, j'imagine que les script php qui utilisent shell_exec() ne marcheront plus avec /bin/false :/


---------------
Le droit à la différence s'arrête là où ça commence à m'emmerder sérieusement.
n°255354
Tomate
Posté le 27-04-2003 à 17:36:02  profilanswer
 

Zaib3k a écrit :


 
cool
 
pour le shell d'apache, j'imagine que les script php qui utilisent shell_exec() ne marcheront plus avec /bin/false :/
 


ah pitetre :D

n°255434
jamiroq
Oublies que t'as aucune chance
Posté le 27-04-2003 à 21:07:05  profilanswer
 

bitman a écrit :

qqun pour faire un nmap sur http://cit.timone.univ-mrs.fr/ voir si ya encore des troutrous ?
 
mycy
 
(ps : si yen a cassez ps tout siouplay je vais pas me taper la reinstall tous les jours :o)


des gros trous ..........
port 139 ............................ pas bien.


---------------
FFFF
n°255459
Zaib3k
Posté le 27-04-2003 à 21:56:36  profilanswer
 

nessus en console only, c possible ?
 
des deux coté.


---------------
Le droit à la différence s'arrête là où ça commence à m'emmerder sérieusement.
n°255489
Tomate
Posté le 27-04-2003 à 22:48:43  profilanswer
 

Zaib3k a écrit :

nessus en console only, c possible ?
 
des deux coté.


 
tu peux expliquer un peu plus ;)
 
sinon, normalement sous linux il y a tjs une version FE (front end = graphique) et une version ligne de commande ;)

n°255495
Zaib3k
Posté le 27-04-2003 à 22:55:38  profilanswer
 

tomate77 a écrit :


 
tu peux expliquer un peu plus ;)
 
sinon, normalement sous linux il y a tjs une version FE (front end = graphique) et une version ligne de commande ;)


 
ba en fait, avant d'installer nessus pour faire qq tests, j'essaie de savoir si je vais pouvoir l'utiliser en ligne de commande car j'ai que ca sur mon server.
 
ensuite j'installerais le serveur et le client sur mon ordi, un pote fera de meme, et on pourra tester ce soft qui semble tres interressant  [:yaisse]  
 
d'ailleur j'aimerais avoir + d'infos la dessus


---------------
Le droit à la différence s'arrête là où ça commence à m'emmerder sérieusement.
n°255600
Tomate
Posté le 28-04-2003 à 11:11:25  profilanswer
 

rajout de liens en fin du post de 1ere page ;)

n°255822
rizzla_tsa
Posté le 28-04-2003 à 17:22:09  profilanswer
 

Pour securiser ta passerelle :
c est bien de ne pas autoriser a se logger en root directement sur les differents terminaux !
pour se faire commenter toute les lignes qui font reference a un terminal dans le fichier /etc/securetty
 :hello:
 
 
edit : l abonne blague se logger en route au lieu de root chuis trop HS moi le lundi soir  :sleep:


Message édité par rizzla_tsa le 28-04-2003 à 17:22:53

---------------
"Douter de tout ou tout croire, ce sont les deux solutions également commodes qui l'une et l'autre nous dispensent de reflechir." Henri Poincaré.
n°255824
Mjules
Modérateur
Parle dans le vide
Posté le 28-04-2003 à 17:24:20  profilanswer
 

Rizzla_TSA a écrit :

Pour securiser ta passerelle :
c est bien de ne pas autoriser a se logger en root directement sur les differents terminaux !
pour se faire commenter toute les lignes qui font reference a un terminal dans le fichier /etc/securetty
 :hello:
 
 
edit : l abonne blague se logger en route au lieu de root chuis trop HS moi le lundi soir  :sleep:  


euh, déjà dit ça.


---------------
Celui qui pose une question est idiot 5 minutes. Celui qui n'en pose pas le reste toute sa vie. |  Membre du grand complot pharmaceutico-médico-scientifico-judéo-maçonnique.
n°256130
Tomate
Posté le 29-04-2003 à 16:44:26  profilanswer
 

fo me le dire si ca vous interesse pas [:sisicaivrai]


---------------
:: Light is Right ::
n°256131
vener
Posté le 29-04-2003 à 16:53:23  profilanswer
 

HuGoBioS a écrit :


Et j'aimerai bien rajouter une regle qui bannit les ips qui scannent la machine ... qqn sait ce qu'il faut rajouter ?


 
portsentry c'est pas fait pour ça ?


---------------
Quand toutes les rivieres auront été asséchées, toutes les forêts détruites et tous les animaux exterminés, alors l'homme réalisera que l'argent ne se mange pas...
n°256147
Tomate
Posté le 29-04-2003 à 17:54:20  profilanswer
 

vener a écrit :


 
portsentry c'est pas fait pour ça ?
 


je pense k il doit avoir moyen de faire ca avec iptables :)
 
mais c est risque, car si klk en ip dynamique (FAI) se fait ban, le prochain ki l aura le sera aussi :/


---------------
:: Light is Right ::
n°256213
- Fred -
007 Agent
Posté le 29-04-2003 à 21:39:55  profilanswer
 
n°256214
Zaib3k
Posté le 29-04-2003 à 21:41:24  profilanswer
 


 
g vu ca recemment sur je sais plus quelle news,
 
c bien ?


---------------
Le droit à la différence s'arrête là où ça commence à m'emmerder sérieusement.
n°256235
jamiroq
Oublies que t'as aucune chance
Posté le 29-04-2003 à 22:50:13  profilanswer
 

vener a écrit :


 
portsentry c'est pas fait pour ça ?
 


impossible de banir une ip qui te scanne intélligement !!!
 
c sure, un scan sauvage sans reglage de timeout ou avec de s port croissant etc ... ca facile a reperer ...
 
va chopper un scan dont l'empreinte differe (methode aléatoire de scan), l'outils retina (entre autre) permet, par ex., de genérer aletoirement une methode de scan ...
 
Le "petit" Superscan peut te scanner en 30 secondes tout tes port comme je peut le regler pour y passer une nuit entiére avec des timeout qui tourne et des ordres de test de port aleatoire : essaie de me reperer !!! :lol:
 
je ne parle meme pas d'un mec qui te scan en ligne de commmande avec nmap ... la c ingerable pour un ids.


---------------
FFFF
mood
Publicité
Posté le   profilanswer
 

 Page :   1  2  3  4  5  6

Aller à :
Ajouter une réponse
 

Sujets relatifs
Partager uine connexion internetDNS reseau local / internet ?
probléme de lecture de pages internet ????connexion internet mdk 9.1
besoin d'aide pour ma connexion Internetpartage connexion internet via le réseau intranet
[Mandrake9.1] Connection a internet , newbi j y arrive pas :/Désactivé pour de bon le partage de connexion Internet
Passerelle sous linux[Passerelle] - Envoi de mail lors de reconnexion de mon speedtouch usb
Plus de sujets relatifs à : [Topic Unik] Securiser sa passerelle internet :)


Copyright © 1997-2022 Hardware.fr SARL (Signaler un contenu illicite / Données personnelles) / Groupe LDLC / Shop HFR