Problem z apache2 i grsec

jacki

unread,

May 10, 2013, 4:27:35 AM5/10/13

to

Hej,

Od kilku dni mam pewien problem, w logach pojawia siďż˝ coďż˝ takiego:

May 10 07:12:18 x kernel: [11163676.048754] ps[27128]: segfault at
40ed04 ip 00000000004059d2 sp 000070cd14ae1df8 error 7 in ps
(deleted)[400000+2b000]
May 10 07:12:18 x kernel: [11163676.048865] grsec: bruteforce prevention
initiated against uid 33, banning for 15 minutes

uid 33 to www-data

Po tym apache2 umiera i trzeba go zrestartowaďż˝. Nie mam pojďż˝cia gdzie
zaczďż˝ďż˝ szukaďż˝ rozwiďż˝zania.

# dpkg -l|grep apache|awk '{print $2" "$3}'
apache2 2.2.16-6+squeeze11
apache2-doc 2.2.22-13
apache2-mpm-prefork 2.2.16-6+squeeze11
apache2-prefork-dev 2.2.16-6+squeeze11
apache2-suexec 2.2.22-13
apache2-utils 2.2.16-6+squeeze11
apache2.2-bin 2.2.16-6+squeeze11
apache2.2-common 2.2.16-6+squeeze11
libapache2-mod-evasive 1.10.1-1
libapache2-mod-perl2 2.0.4-7+squeeze1
libapache2-mod-php5 5.3.3-7+squeeze15
libapache2-mod-suphp 0.7.1-3
libapache2-mod-wsgi 3.3-2
libapache2-reload-perl 0.12-1

# dpkg -l|grep php|awk '{print $2" "$3}'
libapache2-mod-php5 5.3.3-7+squeeze15
libapache2-mod-suphp 0.7.1-3
php-pear 5.3.3-7+squeeze15
php5-cgi 5.3.3-7+squeeze15
php5-cli 5.3.3-7+squeeze15
php5-common 5.3.3-7+squeeze15
php5-curl 5.3.3-7+squeeze15
php5-dev 5.3.3-7+squeeze15
php5-gd 5.3.3-7+squeeze15
php5-mcrypt 5.3.3-7+squeeze15
php5-mysql 5.3.3-7+squeeze15
php5-sqlite 5.3.3-7+squeeze15
php5-suhosin 0.9.32.1-1
phpmyadmin 4:3.4.11.1-2
suphp-common 0.7.1-3

/var/log/apache2# cat *.access.log|grep -e "07:12:17"
83.5.24.164 - - [10/May/2013:07:12:17 +0200] "GET /favicon.ico HTTP/1.1"
404 511
/var/log/apache2# cat *.access.log|grep -e "07:12:18"
/var/log/apache2# cat *.error.log|grep -e "07:12:17"
[Fri May 10 07:12:17 2013] [error] [client 83.5.24.164] File does not
exist: /home/dhn/public_html/favicon.ico
/var/log/apache2# cat *.error.log|grep -e "07:12:18"

Ma ktoďż˝ jakiďż˝ pomysďż˝ cďż˝ to moďż˝e siďż˝ dziaďż˝?

PS. post zamieszczony teďż˝ na pl.comp.os.linux.debian

WOJO

unread,

May 10, 2013, 4:44:30 AM5/10/13

to

Po tym apache2 umiera i trzeba go zrestartowaďż˝. Nie mam pojďż˝cia gdzie
zaczďż˝ďż˝ szukaďż˝ rozwiďż˝zania.

Na stronach:
http://php.net/
http://httpd.apache.org/
I do kompletu nie zapomnij o:
http://www.phpmyadmin.net/home_page/index.php
php - 5.3.25
apache - 2.2.24
phpmyadmin - 4.0.0
Pozdrawiam.
WOJO

jacki

unread,

May 10, 2013, 5:34:55 AM5/10/13

to

W dniu 2013-05-10 10:44, WOJO pisze:

ďż˝wietnie, ale nie zauwaďż˝yďż˝eďż˝ chyba, ďż˝e paczki debianowe mam w najwyďż˝szej
wersji ze squeeze, ktďż˝ra jest wersjďż˝ stabilnďż˝ i nie powinny one posiadaďż˝
tego typu bugďż˝w. Poza tym debian w wersji 7, ktďż˝ra wyszďż˝a jakoďż˝ na
dniach nie posiada paczek w wersjach, ktďż˝re przytoczyďż˝eďż˝.
Najnowszy!=najlepszy(najbardziej stabilny)

Mnie najbardziej interesuje to:

grsec: bruteforce prevention initiated against uid 33

Podejrzewam, ďż˝e to jest jakiďż˝ atak na serwer apache, ale nie wiem jak
namierzyďż˝ na co konkretnie.

Stachu 'Dozzie' K.

unread,

May 10, 2013, 6:41:22 AM5/10/13

to

On 2013-05-10, jacki <coll...@idealan.pl> wrote:
[...]
> Świetnie, ale nie zauważyłeś chyba, że paczki debianowe mam w najwyższej
> wersji ze squeeze, która jest wersją stabilną

Już nie. Teraz już jest oldstable.
http://www.debian.org/News/2013/20130504

--
Secunia non olet.
Stanislaw Klekot

jacki

unread,

May 10, 2013, 6:46:31 AM5/10/13

to

W dniu 2013-05-10 12:41, Stachu 'Dozzie' K. pisze:

> On 2013-05-10, jacki <coll...@idealan.pl> wrote:
> [...]

>> ďż˝wietnie, ale nie zauwaďż˝yďż˝eďż˝ chyba, ďż˝e paczki debianowe mam w najwyďż˝szej
>> wersji ze squeeze, ktďż˝ra jest wersjďż˝ stabilnďż˝
>

> Juďż˝ nie. Teraz juďż˝ jest oldstable.
> http://www.debian.org/News/2013/20130504
>

Tak ja wiem, ale mimo wszystko chyba moďż˝na mďż˝wiďż˝ o niej jako o wersji
stabilnej.

Stachu 'Dozzie' K.

unread,

May 10, 2013, 8:13:00 AM5/10/13

to

On 2013-05-10, jacki <coll...@idealan.pl> wrote:
> W dniu 2013-05-10 12:41, Stachu 'Dozzie' K. pisze:
>> On 2013-05-10, jacki <coll...@idealan.pl> wrote:
>> [...]
>>> ďż˝wietnie, ale nie zauwaďż˝yďż˝eďż˝ chyba, ďż˝e paczki debianowe mam w najwyďż˝szej
>>> wersji ze squeeze, ktďż˝ra jest wersjďż˝ stabilnďż˝
>>
>> Juďż˝ nie. Teraz juďż˝ jest oldstable.
>> http://www.debian.org/News/2013/20130504
>>
>
> Tak ja wiem, ale mimo wszystko chyba moďż˝na mďż˝wiďż˝ o niej jako o wersji
> stabilnej.

Pďż˝ki mďż˝wimy o Debianie, to nie moďż˝na -- ze wzglďż˝du na niejednoznacznoďż˝ďż˝
znaczenia sďż˝owa "stable" (etap w cyklu ďż˝ycia wersji kontra
(subiektywna?) ocena jakoďż˝ci).

jacki

unread,

May 10, 2013, 8:34:09 AM5/10/13

to

W dniu 2013-05-10 14:13, Stachu 'Dozzie' K. pisze:

>>>> ďż˝wietnie, ale nie zauwaďż˝yďż˝eďż˝ chyba, ďż˝e paczki debianowe mam w najwyďż˝szej
>>>> wersji ze squeeze, ktďż˝ra jest wersjďż˝ stabilnďż˝
>>>
>>> Juďż˝ nie. Teraz juďż˝ jest oldstable.
>>> http://www.debian.org/News/2013/20130504
>>>
>>
>> Tak ja wiem, ale mimo wszystko chyba moďż˝na mďż˝wiďż˝ o niej jako o wersji
>> stabilnej.
>
> Pďż˝ki mďż˝wimy o Debianie, to nie moďż˝na -- ze wzglďż˝du na niejednoznacznoďż˝ďż˝
> znaczenia sďż˝owa "stable" (etap w cyklu ďż˝ycia wersji kontra
> (subiektywna?) ocena jakoďż˝ci).
>

Ok, wiedziaďż˝em, ďż˝e siďż˝ przyczepisz ;)

Co do problemu, masz moďż˝e pomysďż˝ w jaki sposďż˝b wykryďż˝ atakujďż˝cego?

Dokumentacja do grsec mďż˝wi, ďż˝e:

CONFIG_GRKERNSEC_BRUTE
If you say Y here, attempts to bruteforce exploits against forking
daemons such as apache or sshd, as well as against suid/sgid binaries
will be deterred. When a child of a forking daemon is killed by PaX or
crashed due to an illegal instruction or other suspicious signal, the
parent process will be delayed 30 seconds upon every subsequent fork
until the administrator is able to assess the situation and restart the
daemon.

In the suid/sgid case, the attempt is logged, the user has all their
processes terminated, and they are prevented from executing any further
processes for 15 minutes.

Zatem mam tu "suid/sgid case" ale nie wiem co z tym mogďż˝ zrobiďż˝