KLTP - Korean Linux Tips Project

처음으로 | 글 올리기 | 찾기 | 아카이브 | 투표 | RSS | 로그인

분류

- 데이타베이스
- 이메일
- 시스템관리
- 벤치마킹
- 배포본
- 멀티미디어
- 커널
- Development
- lilo, grub
- vi
- emacs
- 하드웨어
- 아파치
- sgml, docbook
- 파일 시스템
- 어플리케이션
- 보안
- 삼바
- 네트워크
- X11
- 프린팅
- 쉘
- rpm, dpkg
- php
- 기타
- KLTP 알림

전체 본문수: 853
전체 답장수: 2,805

Syndicate

RSS 2.0 / Atom
( 참고 )

마지막 답장

- more에서 v 눌러도 vi 안뜰 때는... (1)
- 구형 노트북에 리눅스 설치기 (12)
- grep 실행시 검색한 문자열 칼라로 보기 (2)
- FTP서버 vsftpd 설치와 운영 (한글로그 패치 포함) (4)
- stty 를 사용하여 백스페이스(backspace) 키 맵 조정하기. (3)

최근글

- yum 을 이용하여 그룹단위로 패키지 설치(1)
- 2개의 별도 디렉토리에 대한 보안 이상(0)
- 설치된 박스에 /tmp 실행권한 없앤 파티션 만들기(2)
- vim7.0 이상에서 tab window 사용하기(0)
- 리눅스에서 하드 추가하기(2)
- NDISwrapper를 이용한 윈도우 긴급설치 작업 mini-HOWTO(0)
- 이지영의 굿모닝팝스 다시듣기 자동받기 쉘스크립트입니다(0)
- UTF-8 상태에서 whois 한글깨짐 스크립으로 해결(1)
- grep 실행시 검색한 문자열 칼라로 보기(2)
- xterm 터미널 텍스트 색상 설정 변경하기(0)
- 계정 사용자에게 쉘 명령어 제한하기(0)
- 콘솔 영어 사전(2)
- 소스코드 파일에서 include 헤더 열기(0)
- 계정목록을 얻어낸 뒤 xargs를 이용하여 홈디렉토리에 파일 복사하기(1)
- mv 명령어로 특수문자 포함 파일 이름 변경하기(0)

KLTP sgml 문서

KLTP 팁,강좌등을 모은 리눅스 하우투 문서
마지막 수정일 10월 7일

KLTP-KLDP

SGML

html tar묶음

CODE RED 공격 로그에 남기지 말기. --;
글쓴이 : 김정균 (2001년 08월 06일 오후 05:44) 읽은수: 8,648 [ 아파치

]

요즘 CODE RED virus 때문에 말이 많습니다. 이 virus 는 WINDOG 2000/NT 의 IIS 5.0 을
공격하는 VIRUS 입니다. 그런데 리눅스에서는 아무 영향도 없느냐는 문의가 많이 들어오
는 군요.

CODE RED virus 는 리눅스는 물론 모든 OS에게 영향을 주게 됩니다. 물론 VIRUS 에 의한
감염 여부에는 별 상관은 없지만 대신 웹서버의 로그에 엄청나게 기록을 하게 되는 것이
문제라고 하겠지요. 보통 제 서버 같은 경우에는 하루 평균 6000 번의 접속 로그가 남아
있더군요. 이 로그가 무시못할 정도가 되어 버리고 있는 겁니다.

그래서 몇가지 생각을 해 보게 되었습니다. 일단 access_log 에 default.ida 에 대한 로
그를 남기지 않고, 그다음 이 공격을 그대로 MS 에게 돌려주는 방법을 생각해 보게 된것
이죠. 뭐 CODE RED 를 MS에서 만든것도 아닌데 왜 MS에게 응징을 하느냐 하는 것은 그만
큼 MS가 제 무덤을 팠다고 생각하면 될것 같네요 :-)

또는 이 query 를 보낸 서버로 되돌리는 방법도 있겠죠 ^^; 2 가지 방법 다 논해 보도록
하지요.

일단 apache 의 httpd.conf 을 열어서 다음의 라인을 찾도록 합니다.

LogFormat "%h %l %u %t \"%r\" %>s %b \"%{Referer}i\" \"%{User-Agent}i\"" combined
LogFormat "%h %l %u %t \"%r\" %>s %b" common
LogFormat "%{Referer}i -> %U" referer
LogFormat "%{User-agent}i" agent

이 라인을 찾았으면 이 아래에 다음과 같이 설정을 합니다.

SetEnvIf Request_URI \.ida CodeRed
SetEnvIf Referer \.ida CodeRed

Request_URI 는 서버로 들어오는 요청 중 Domain name 을 제외한 나머지 full 경로를 의
미합니다. 즉 CodeRed 라는 환경변수에 Request_URI 중 .ida 라는 문자가 있으면 적용하
라는 의미입니다. .을 \. 으로 사용하는 이유는 정규표현식 때문이라고만 알아두시면 되
고요. 그럼 이 설정에 대해서 조금 아시는 분들은 두번째 Referer 은 왜 설정 하느냐고
반문하실지 모르겠는데 제가 MS로 포워딩 시키는 것 처럼 제 서버로 포워딩 시키는 못된
놈이 있더군요. 제가 Request_URI 를 막아 놓았음에도 불구하고 로그가 남길래 잘보았더
니 \.ida 가 Referer에 남아 있어서 남는 거였습니다. 즉 다른놈이 해당 패킷을 제 서버
로 리다이렉팅을 하는 것이었죠. :-) 그러므로 일단 Request_URI 와 Referer 을 둘다 적
용을 해 주는 것이 좋습니다. 만약을 방지하기 위해서라도.

다음 아마 제가 생각하기에는 로그 설정을 다음의 2개중에 하나로 사용을 하실 것이라고
판단이 됩니다.

CustomLog logs/access_log common 또는
CustomLog logs/access_log combined 이 둘중의 하나를 사용하실 겁니다.

무엇을 사용하시든 간에 사용 하시는 로그 (여기서는 combined 를 예로 들겠습니다.) 설
정을 다음과 같이 수정해 주시면 됩니다.

CustomLog logs/acces_log combined env=!CodeRed

이까지 해 주시고 하나를 더 설정을 하도록 하지요. 이번 설정은 default.ida 의 경로가
어디에 위치해야 하느냐의 문제 일수도 있습니다. 이걸 한방에 해결 하기 위해서 우리는
다음의 설정을 이용하게 됩니다.

AliasMatch ^/.+default\.ida /home/httpd/html/CodeRed/codered.php

라는 설정을 하게 되면 서버의 어떠한 경로에 있는 default.ida 에 접근을 하게 되면 아
파치는 /home/httpd/html/CodeRed/codered.php 를 구동하게 됩니다.

그럼 이제 codered.php 를 만들어야 겠지요. 일단 codered.php 를 호출을 하면 MS 나 아
니면 query 를 요청한 호스트로 되돌리는 법을 설정하게 될 것인데 이 방법에는 3가지가
있습니다. 첫번째로는 Rewrite rule 을 쓰는 방법, 2번째는 Redirect 를 사용하는 방법,
3번째는 스크립트를 만들어서 사용하는 방법이 있습니다만 첫번째는 너무 복잡하고, 2번
째는 요청만 보내지 Request_URI를 전달할 길이 없기 때문에 복수를 못한다는 단점이 있
습니다. 그래서 여기서는 php 를 이용하는 방법을 설명해볼까 합니다. 물론 첫번째 방법
이 가장 화려하고 무언가를 한듯 하기는 하지만 말이죠 ^^;

여기까지 설정이 끝났으면 httpd.conf 를 저장하고 아파치를 재시작 하기 전에 httpd -t
명령으로 혹시 오타가 없는지 체크한 후에 아파치를 재시작 해 주도록 합니다.

다음 AliasMatch 에 지정한 경로대로 codered.php 를 생성 하도록 합니다. 생성한 다음
이 파일의 내용은 다음과 같게 합니다.

Hanterm - cat /home/httpd/html/CodeRed/codered.php

[root@bbuwoo CodeRed]$ cat codered.php

<?
# MS 로 보내려면 이 값을 1로, 아니면 보낸서버로 다시
# 되돌려 보내려면 0 으로 값을 지정
$ms = 1;

function move_page($path,$time = 0) {
# IE에서는 공백 문자를 인식 못하므로 공백 문자를 %20으로 치환
$path = eregi_replace(" ","%20",$path);
echo "<META HTTP-EQUIV=\"refresh\" CONTENT=\"$time;URL=$path\">";
}

$que[0] = getenv("REMOTE_ADDR");
$que[1] = getenv("REQUEST_URI");

$path = $ms ? "http://www.microsoft.com$que[1]" : "http://$que[0]$que[1]";

move_page($path);
?>

[root@bbuwoo CodeRed]$

위와 같이 설정을 마쳤다면 이제 $ms 의 값을 어떻게 정하느냐에 따라 내 서버에는 아무
런 로그도 남기지 않고 쓰윽 떠 넘기기를 할수 있는 것이죠. 비록 반대쪽에서도 같이 내
쪽으로 넘긴다고 해도 Referer 설정이 되어 있으니 아무런 기록없이 또 그쪽으로 넘겨버
리게 되겠죠 ^^;

제가 이 방법을 적어 보지만 그저 웃자고 적어 보는것 뿐입니다. 이렇게 해 봤자 네트
워크 부하만 가중되게 될 뿐이지요. 그저 로그만 남기지 않는 선에서 마치는 것이 좋은
방법이 아닐까 생각이 됩니다만 원한에 사무치신 분들께서는 그리고 네트워크 빵빵한
분들은 한번 해 보시기를..

그냥 전 이렇게도 할수 있다는 것을 보여드린것 뿐입니다. :-)

< 무단 링크 방지하기 | WEB Server 읽고 쓰기 (WEB-DAV) >

하니 (2001년 10월 17일 오후 08:01)

저는 코드레드/님다 바이러스 때문에..

http://sourceforge.net 에 있는 mod_antihak이란 아파치 모듈을 설치했습니다.

님다/코드레드의 침투(?)가 있을시엔 ipchains으로 그쪽 서버로 부터의 접속을 모두 차단해 버리더군요.

옵션(?)으로 mysql을 사용해서 어택 횟수도 카운팅하더군요.. 이외에 다른 프로그램도 있던데..(첨부된 파일이 바이러스일 때. 차단) 등등..

위의 프로그램은 소스포지에서 검색하면 바로 나옵니다. ^^

[ 이글에 답장 | 본문에 답장 | 책갈피 ]