Mod Secure

Segue um tutorial que preparamos para nossos clientes dedicados (não gerenciados) que acho interessante para todos: sobre atualização e instalação de regras do mod_secure.

Acessando via root execute:

cd /usr/local/apache/conf/
mkdir modsec_rules
cd modsec_rules
wget http://downloads.prometheus-group.com/delayed/rules/modsec-201002051427.tar.gz
tar zvxf modsec-201002051427.tar.gz
rm -fr zvxf modsec-201002051427.tar.gz

Mais info sobre o PG acesse: http://prometheus-group.com

Crie os diretórios abaixo, eles são necessários para gravação e leitura de arquivos temporários do ASL:

mkdir /var/asl
mkdir /var/asl/tmp
mkdir /var/asl/data
mkdir /var/asl/data/msa
mkdir /var/asl/data/audit
mkdir /var/asl/data/suspicious
mkdir /etc/asl

Corrija as permissões :

chown nobody.nobody /var/asl/data/msa
chown nobody.nobody /var/asl/data/audit
chown nobody.nobody /var/asl/data/suspicious
chmod o-rx -R /var/asl/data/*
chmod ug+rwx -R /var/asl/data/*

e crie o arquivo "lista branca":

touch /etc/asl/whitelist

Agora acesse o WHM e clique no "Mod Security", detetando as regras atuais e no lugar delas adicione:

SecComponentSignature 201002051427
SecRequestBodyAccess On
SecResponseBodyAccess On
SecResponseBodyMimeType (null) text/html text/plain text/xml
SecResponseBodyLimit 2621440
SecServerSignature Apache
SecUploadDir /var/asl/data/suspicious
SecUploadKeepFiles Off
SecAuditLogParts ABIFHZ
SecArgumentSeparator '&'
SecCookieFormat 0
SecRequestBodyInMemoryLimit 131072
SecDataDir /var/asl/data/msa
SecTmpDir /tmp
SecAuditLogStorageDir /var/asl/data/audit
SecResponseBodyLimitAction ProcessPartial

# ConfigServer ModSecurity - descomente caso vc use o ConfigServer CMC.
Include /usr/local/apache/conf/modsec2.whitelist.conf

#ASL Rules
Include /usr/local/apache/conf/modsec_rules/99_asl_jitp.conf
Include /usr/local/apache/conf/modsec_rules/50_asl_rootkits.conf
#Include /usr/local/apache/conf/modsec_rules/00_asl_rbl.conf
Include /usr/local/apache/conf/modsec_rules/00_asl_whitelist.conf
Include /usr/local/apache/conf/modsec_rules/05_asl_scanner.conf
Include /usr/local/apache/conf/modsec_rules/20_asl_useragents.conf

Caso você use o ConfigServer CMC (http://www.configserver.com/cp/cmc.html) deixe a linha "Include /usr/local/apache/conf/modsec2.whitelist.conf" liberada, caso não use, comente-a com um # no início.

Existem vários arquivos de regras específicas no /usr/local/apache/conf/modsec_rules/ - estas acima são sugestões.

Tome cuidado com o load do servidor - quanto mais regras forem adicionadas ao modulo mais o apache demorará a carrega-las em cada processo aberto. O que sugiro neste caso para usar são:

Include /usr/local/apache/conf/modsec_rules/99_asl_jitp.conf
Include /usr/local/apache/conf/modsec_rules/50_asl_rootkits.conf
Include /usr/local/apache/conf/modsec_rules/20_asl_useragents.conf

Após tudo isso salve e reinicie o apache. Acompanhe os logs do mo_secure para ver que tipo de tentativa de acesso indevido ocorre, em quais scripts e domínios de seu servidor.

Porque a LOCAWEB foi invadida

Esta é uma pergunta que 10 entre 10 profissionais da área (sem contarmos os inúmeros clientes) estão se fazendo. O problema já foi identificado, trata-se de um ataque "0day" (leia-se "novinho em folha") explorando uma falha no sistema LINUX 64 bits usado pelos servidores afetados. Parece que a possível causa da invasão pode ter sido uma vulnerabilidade no kernel do linux (kernel: IA32 System Call Entry Point Vulnerability).

Vamos antes relembrar o problema: http://webtags.com.br/midias-sociais/locaweb-fail-invadida-por-hackers

O exploit usado pelo hacket que invadiu a LOCAWEB esta descrito (assim como executá-lo) em http://seclists.org/fulldisclosure/2010/Sep/268

Informações mais técnicas (talvez para ajudar o pessoal técnico da LOCAWEB que parece meio perdido): http://sota.gen.nz/compat2/

Atualização: Finalmente a LOCAWEB dá o ar da graça: http://blog.locaweb.com.br/archives/5712/comunicado-2/

Evento sobre e-Mail Marketing

Sei que não tem relação direta com o objetivo deste BLOG, porém como recebemos muitas visitas de profissionais ligados ao mercado e de donos de empresas de Hospedagem de Sites achei legal também divulgar este evento, que será dia 9 de novembro aqui no Rio de Janeiro e também estarei participando.

Link do Evento: http://www.emmbrasil.com/

Soft4You: Gerenciador Financeiro para Empresas de Hospedagem

Recebi do Soft4You uma notícia (ótima por sinal):

Prezado CLiente.

Após um longo periodo sem atualizaçõess devido a problemas diversos, estaremos agora desenvolvendo a versão 3.0 do Soft4you com muitas novidades e correções de bugs. A previsão será para no máximo 2 meses, queremos terminar o quanto antes e testar com alguns clientes.

Estaremos dando enfase nos seguintes tópicos:

-Segurança
-Otimização
-Personalização

Estamos com varias sugestões gravas que irão ser implantadas, também iremos retirar algumas função que não muito usadas e acabam poluindo o sistema.

Contamos com sua paciência mais um pouco.

Caso tenha problemas com seu Soft4you, duvidas, pedimos que consulte nossa FAQ que também sera atualizada nos próximos dias e que envie um ticket.

Atenciosamente
Soft4you

Mais informações sobre o Soft4You: http://www.megahost.com.br/revenda/cobranca.php

Suporte HOTMAIL

O HOTMAIL é sem dúvida um dos pesadelos dos administradores de servidores de hospedagem, principalmente no que diz respeito ao seu sistema anti-spam. Sim o HOTMAIL tem um sistema anti-spam, embora chamar de sistema é ser bem educado.

Mas o problema é que a maioria dos usuários com certeza usam esta "coisa" chamada HOTMAIL, em vez de usarem o GMAIL por exemplo que tem o melhor anti-spam que conheço, pelo menos ele não bloqueia meia internet por nada causado o chamada "falso-positivo" ao classificar você como um SPAMMER.

Caso seus emails e/ou de seus clientes de hospedagem do servidor que você administra estejam com dificuldades para o envio de mensagens ao monstrengo HOTMAIL, acesse o link:

https://support.msn.com/eform.aspx?productKey=edfsmsbl&ct=eformts&st=1&wfxredirect=1

E depois REZE.