website defacement

[Cleuson De Oliveira Alves]

Boa tarde,

Estou precisando monitorar os sites e ser notificado em caso de defacement.

Uso o nagios Core 4.08; alguém no grupo já faz este procedimento e pode dar uma luz?

Att,

Desde Já Grato.

Cleuson de O.Alves - STI - Analista de TI

'if you can't restore it, you don't have a backup'

[Cleberson Borges]

Olá Cleuson, boa noite!

Acredito que com uma simples verificação do md5 do arquivo desejado resolverá o seu problema.

Exemplo: Site principal (index.html)

1 - Obter md5

cleberson@cleberson-desktop:/var/www/html$ md5sum index.html 

9ad421244b28db9cb4a6857edd297ef5  index.html

2 - Desenvolver um plugin que faz o download do arquivo e realiza a comparação do arquivo

wget -q http://www.globo.com/index.html -O /tmp/tmp.html && MD5=`md5sum /tmp/tmp.html`

if [ MD5 = "9ad421244b28db9cb4a6857edd297ef5" ]; hten

    echo "OK - Pagina encontra-se sem modificacao"

    exit 0

else

    echo "CRITICAL - Pagina teve o seu conteudo modificado"

    exit 1

fi

É só realizar umas verificações e ajustes no script, desta forma acredito que atenda a sua demanda.

Atenciosamente,

Cleberson Borges

--
Você recebeu essa mensagem porque está inscrito no grupo "Nagios" dos Grupos do Google.
Para cancelar inscrição nesse grupo e parar de receber e-mails dele, envie um e-mail para nagios-lab+...@googlegroups.com.
Para postar nesse grupo, envie um e-mail para nagio...@googlegroups.com.
Acesse esse grupo em https://groups.google.com/group/nagios-lab.
Para mais opções, acesse https://groups.google.com/d/optout.

[Jomar Xavier]

Mas se o ataque for um Sql Injection ele só altera no banco, não altera arquivos de site.

Para cancelar inscrição nesse grupo e parar de receber e-mails dele, envie um e-mail para nagios-lab+unsubscribe@googlegroups.com.

Para postar nesse grupo, envie um e-mail para nagio...@googlegroups.com.
Acesse esse grupo em https://groups.google.com/group/nagios-lab.
Para mais opções, acesse https://groups.google.com/d/optout.

--

Você recebeu essa mensagem porque está inscrito no grupo "Nagios" dos Grupos do Google.

Para cancelar inscrição nesse grupo e parar de receber e-mails dele, envie um e-mail para nagios-lab+unsubscribe@googlegroups.com.

Para postar nesse grupo, envie um e-mail para nagio...@googlegroups.com.
Acesse esse grupo em https://groups.google.com/group/nagios-lab.
Para mais opções, acesse https://groups.google.com/d/optout.

--

Atenciosamente,

 

Jomar Xavier

Brasilia - DF - Brazil

[Cleberson Borges]

Cleuson, boa noite!

Então neste caso não se trata de defacement. Não saberia como lhe ajudar para identificar um sql injection.

Atenciosamente,

Cleberson Borges

Em quinta-feira, 24 de maio de 2018 19:19:37 BRT, Jomar Xavier <jomar....@gmail.com> escreveu:

Mas se o ataque for um Sql Injection ele só altera no banco, não altera arquivos de site.

Em 24 de maio de 2018 18:24, 'Cleberson Borges' via Nagios <nagio...@googlegroups.com> escreveu:

Olá Cleuson, boa noite!

Acredito que com uma simples verificação do md5 do arquivo desejado resolverá o seu problema.

Exemplo: Site principal (index.html)

1 - Obter md5

cleberson@cleberson-desktop:/ var/www/html$ md5sum index.html 

9ad421244b28db9cb4a6857edd297e f5  index.html

2 - Desenvolver um plugin que faz o download do arquivo e realiza a comparação do arquivo

wget -q http://www.globo.com/index. html -O /tmp/tmp.html && MD5=`md5sum /tmp/tmp.html`

if [ MD5 = "9ad421244b28db9cb4a6857edd297 ef5" ]; hten

--

Atenciosamente,

 

Jomar Xavier

Brasilia - DF - Brazil

--

Você recebeu essa mensagem porque está inscrito no grupo "Nagios" dos Grupos do Google.

Para cancelar inscrição nesse grupo e parar de receber e-mails dele, envie um e-mail para nagios-lab+...@googlegroups.com.

[Cleuson De Oliveira Alves]

Obrigado. Vou testar.

Att,

Desde Já Grato.

Cleuson de O.Alves - STI - Analista de TI

'if you can't restore it, you don't have a backup'

Para cancelar inscrição nesse grupo e parar de receber e-mails dele, envie um e-mail para nagios-lab+unsubscribe@googlegroups.com.

Para postar nesse grupo, envie um e-mail para nagio...@googlegroups.com.
Acesse esse grupo em https://groups.google.com/group/nagios-lab.
Para mais opções, acesse https://groups.google.com/d/optout.

--

Você recebeu essa mensagem porque está inscrito no grupo "Nagios" dos Grupos do Google.
Para cancelar inscrição nesse grupo e parar de receber e-mails dele, envie um e-mail para nagios-lab+unsubscribe@googlegroups.com.

[Robson Alexandre]

Grande amigo Cleuson,

tenho usado esse check_hash para realizar o monitoramento de sites e alterações
https://gist.github.com/robsonalexandre/78da59e43145b50726f3ff41c22a72c3

Com relação ao assunto SQL Injection, também será efetivo visto que o script faz um dump da página e calcula o hash md5 desse conteúdo. Se houver qualquer alteração do conteúdo desta página, ele alertará CRITICAL.

Atenciosamente

Robson Alexandre

Para cancelar inscrição nesse grupo e parar de receber e-mails dele, envie um e-mail para nagios-lab+...@googlegroups.com.

Para postar nesse grupo, envie um e-mail para nagio...@googlegroups.com.
Acesse esse grupo em https://groups.google.com/group/nagios-lab.
Para mais opções, acesse https://groups.google.com/d/optout.

--
Você recebeu essa mensagem porque está inscrito no grupo "Nagios" dos Grupos do Google.

Para cancelar inscrição nesse grupo e parar de receber e-mails dele, envie um e-mail para nagios-lab+...@googlegroups.com.

Para postar nesse grupo, envie um e-mail para nagio...@googlegroups.com.
Acesse esse grupo em https://groups.google.com/group/nagios-lab.
Para mais opções, acesse https://groups.google.com/d/optout.

--
Você recebeu essa mensagem porque está inscrito no grupo "Nagios" dos Grupos do Google.

Para cancelar inscrição nesse grupo e parar de receber e-mails dele, envie um e-mail para nagios-lab+...@googlegroups.com.

Para postar nesse grupo, envie um e-mail para nagio...@googlegroups.com.
Acesse esse grupo em https://groups.google.com/group/nagios-lab.
Para mais opções, acesse https://groups.google.com/d/optout.

--

Atenciosamente

Robson Alexandre

[Kembolle Amilkar]

Dependendo da situação você pode usar um waf para aplicação, tipo modsecurity. 

--

Kembolle A. Oliveira;
Computer Forensic Science and IT Security Professional;
Contact: Home | Blog | Linkedin | Email | Owasp Cuiaba;