Seguridad en Apache

LOGO

Seguridad en
Apache

Catedra: Redes de alta Prestacion
Profesor: Leopoldo Rios
Adscripto: Juan Francisco Bosco - LU: 39196

www.themegallery.com

Contenido

1 Historia y Concepto

2 Instalacion Win/Linux

3 Configuración

4 Lectura de Logs

Company Logo


Historia

La historia de Apache se remonta a febrero de 1995, donde
empieza el proyecto del grupo Apache, el cual esta basado
en el servidor httpd de la aplicación original de NCSA. El
desarrollo de esta aplicación original se estancó por algún
tiempo tras la marcha de Rob McCool por lo que varios
webmaster siguieron creando sus parches para sus
servidores web hasta que se contactaron vía email para
seguir en conjunto el mantenimiento del servidor web, fue
ahí cuando formaron el grupo Apache.
Fueron Brian Behlendorf y Cliff Skolnick quienes a través
de una lista de correo coordinaron el trabajo y lograron
establecer un espacio compartido de libre acceso para los
desarrolladores
El día 1 de diciembre del año 1995, apareció Apache 1.0,
que incluía abundante documentación y muchas mejoras
en forma de módulos que se podían incrustar

Company Logo


¿Que es Apache?

El servidor HTTP Apache es un servidor web
HTTP de código abierto para plataformas Unix
(BSD, GNU/Linux, etc.), Microsoft Windows,
Macintosh y otras, que implementa el protocolo
HTTP/1.1 (RFC 2616)

Company Logo


Caracteristicas

Corre en una multitud de Sistemas Operativos

Gratuita y codigo abierto

Apache Altamente configurable de diseño modular.

Muy confugirable en la creacion y gestion de Logs

Deja personalizar la resp. ante los posibles errores

Company Logo


Instalación Windows


Para trabajar sobre Windows,
descargamos el paquete AppServ, el
cual tiene incluido APACHE, PHP y
MySQL.


Link de descarga:
http://prdownloads.sourceforge.net/apps
erv/appserv-win32-2.5.10.exe?download

Company Logo


Instalación Windows

Company Logo


Instalación Linux


Para trabajar sobre Linux, descargamos
el paquete Lampp, el cual tiene incluido
APACHE, PHP y MySQL.


Link de descarga:
http://www.apachefriends.org/download.
php?xampp-linux-1.7.3a.tar.gz

Company Logo


Instalación Linux


Una vez descargado el paquete, abrimos
una shell, nos logueamos como root y
nos dirigimos donde esta el archivo,
luego ejecutamos el siguiente comando.

#tar xvfz xampp-linux-1.7.3a.tar.gz -C /opt


Acontinuación, para iniciar los servicios
ejecutamos como root


#/opt/lampp/lampp start

Company Logo


Instalación Linux

Los servicios de MySQL y ProFPTD están corriendo en forma default en Lampp
y no se tocará en esta clase, para mas información dirigirse a
http://www.apachefriends.org/en/faq-xampp-linux.html#sicherer

n

Company Logo


Configuracion

Company Logo


Configuración

 Determinar el puerto
 DocumentRoot
 Grupo y Usuario
 Permitir o Denegar Acceso a Directorios
 Impedir enlaces simbolicos y despliegue de directorio
 Borrar informacion de Version y Modulos instalados.
 Crear paginas de Errores 404–Not Found, 403-Fordibben
 Autenticacion Basica: httpasswd
 Lectura y formato de Logs – Error_logs y access_logs

Company Logo


Determinar el puerto

Desde ahora en adelante todas las
modificaciones se realizaran sobre el
archivo de configuracion httpd.conf, para
que Apache tome los valores modificados,
se lo tiene que reiniciar.
Desde Linux con lampp seria:

#/opt/lampp/lampp restart

Company Logo



El puerto 80 está establecido al protocolo http, por lo que apache lo usa
como default . Esta caracteristica se puede cambiar en el httpd.conf.
¿Para que puede servir esto? Hay algunas veces, que se puede llegar a
querer tener un servidor HTTP con salida a internet, pero un poco
confidencial, pues en este caso podriamos usar un puerto
relativamente alto para que no sea tan facil encontrarlo. (Aunque
para un atacante, con conocimiento no seria ningun impedimiento.
Leer sobre Nmap).
Otra caracteristica real que suele suceder es que aveces nuestro ISP
cierra los puertos de root hacia el publico, desde el 1023 hacia abajo,
por lo cual para utilizarlo hacia afuera tendremos que colocar uno
puerto arriba de ese.

Company Logo



La directiva Listen le indica al servidor que acepte peticiones entrantes
solamente en los puertos y en las combinaciones de puertos y
direcciones que se especifiquen. Si solo se especifica un número de
puerto en la directiva Listen el servidor escuchará en ese puerto, en
todas las interfaces de red de la máquina

Listen 80

Para hacer que el servidor acepte conexiones en dos interfaces de red y
puertos específicos, use

Listen 192.170.2.1:80
Listen 192.170.2.5:8000

Company Logo


Determinar Ruta Logica

Apache tiene una raiz logica, que es donde empieza a leer los
documentos WEB.
Esta directiva se llama DocumenRoot. Para cambiarla nos dirigimos a la
linea.

Windows AppServ
DocumentRoot "C:AppSercwww”

Linux Lampp
DocumentRoot “/opt/lampp/htdocs”

Esto significa que una peticion a www.myhost.com/index.php equivaldria
/opt/lampp/htdocs/index.php
Company Logo


Grupo y Usuario

El demonio Apache ni bien es levantado, es ejecutado por el usuario root,
por el motivo de que el puerto donde se escucha es el 80, luego es
pasado a un usuario que se define en el httpd.conf. Este ultimo es un
usuaro con pocos privilegios, esto se realiza por motivos de que si un
atacante rompe alguna vulnerabilidad del host, este tenga los
minimos privilegios posibles.
Para realizar esto según Ivan Ristic en su libro “Apache Security”,
comenta que debemos crear un usuario y un grupo con estas 2 lineas
siguientes. (Estar como root)
#groupadd httpd
#useradd httpd -g httpd -d /dev/null -s /sbin/nologin.

En la primer linea creo un grupo llamado httpd. En la segunda creo un
usuario httpd con grupo en httpd, con un home en /dev/null y la shell
/sbin/nologin
Company Logo


Grupo y Usuario

“Apache nunca deberia correr como root”

Siguiendo con el ejemplo anterior, modificariamos el httpd.conf de
esta manera.

User httpd
Group httpd

Otras cuentas que se suelen usar son: nobody y www-data

Company Logo


Permitir o Denegar Acceso a Directorios
Cuando el visitante visita la pagina Web, Apache captura su nombre de
Dominio o IP y busca si este tiene permiso para acceder a ese
recurso, mediante la directiva <Directory> y </Directory>
allow: Allow especifica cual cliente pueda accesar a un directorio dado. El
solicitante puede ser all, un nombre de dominio, una dirección IP, una
dirección IP parcial, un par de red/máscara de la red, etc. El directorio
DocumentRoot esta configurado para permitir (Allow) peticiones desde
todos (all), es decir, que todos tienen acceso.
deny: Deny funciona igual que Allow, excepto que especifica a quién se le
niega el acceso. DocumentRoot no es configurado para negar (Deny)
peticiones a ninguno por defecto.
order:La directiva Order controla el orden en el cual las directivas allow y deny
son evaluadas. El servidor es configurado para evaluar las directivas Allow
antes de las directivas Deny para el directorio DocumentRoot.

Company Logo


Con estas directivas, podemos crear configuracion para permitir o
denegar a una ip, dominio o red. Por ejemplo para la carpeta
Metodos, puedo permitir solo ingresar a la IP 127.0.0.1 de esta
manera

<Directory /home/magno/www/Metodos>
Order deny,allow
Deny from all
Allow from 127.0.0.1
</Directory>

Reiniciamos Apache para que tome los valores

Company Logo


Company Logo



Otros ejemplos
order Deny, allow
allow from redes.unne.edu.ar sistemas.unne.edu.ar seguridad.unne.edu.ar
deny from all

order Deny, allow
allow from unne.edu.ar
deny from all

Order Deny,Allow
Deny from all
Allow from 176.16.0.0/16

Company Logo


Impedir enlaces simbolicos y despliegue de directorio

La directiva Options controla qué funcionalidades del servidor están
disponibles en un directorio en particular
Si la directiva esta como NONE, ninguna funcionalidad estara activa y
con ALL lo contrario. Las dos directivas que vamos a ver son

FollowSymLinks
El servidor seguirá los enlaces simbólicos en este directorio

Indexes
Si se produce una petición a una URL que se corresponde con un
directorio, y no hay DirectoryIndex (por ejemplo, index.html) en ese
directorio, entonces mod_autoindex devolverá una lista con los
contenidos del directorio.

Mas info http://httpd.apache.org/docs/2.0/mod/core.html#options
Company Logo


Impedir enlaces simbolicos y despliegue de directorio

El problema de poder ejecutar enlaces simbolicos es que apache puede
leer archivos fuera del DocumentRoot, por seguridad la opcion
FollowSymlinks debe estar desactivada.
Otro tema importante es la opcion Indexes, con esta opcion hay que
tener cuidado cuando utilizarla y cuando no, ya que si Apache no
encunetra una archivo index.htm, index.html etc. Desplegaria todo el
contenido del directorio pudiendo revelar informacion sensible

<Directory /home/magno/www>
Options -Indexes -FollowSymlinks
</Directory>

Company Logo


Borrar informacion de Version y Modulos instalados.

Apache tiene formas de poder borrar la informacion en las paginas de
errores o cabeceras HTTP, para no dar tanta informacion a algun
curioso dando vueltas.
La directiva que realiza esta accion es ServerTokens. Esta nos permite
poder granular dicha informacion. Por defecto dicha configuracion
viene con la opcion “full”, que revela informacion interesante.

Apache/2.2.12 (Unix) DAV/2 mod_ssl/2.2.12 OpenSSL/0.9.8k PHP/5.3.0
mod_apreq2-20051231/2.6.0 mod_perl/2.0.4 Perl/v5.10.0

Colocando la directiva ServerTokens a “Prod”, Solo mostrara el producto
y filtraremos mucha informacion.

ServerTokens Prod

Company Logo


Crear paginas de Errores 404–Not Found, 403-Fordibben

En el protocolo HTTP como en la mayoria de todos, tenemos distintos estados
que arroja el servidor al cleinte informando la respuesta.

Codio de Estados HTTP

– 1xx Respuestas informativas: Esta clase de código de estatus indica
una respuesta provisional.
– 2xx Peticiones Correctas: Esta clase de código de estado indica que la
petición fue recibida correctamente, entendida y aceptada.
– 3xx Redirecciones: El cliente tiene que tomar una acción adicional para
completar la petición.
– 4xx Errores del Cliente: La solicitud contiene sintaxis incorrecta o no
puede procesarse.
– 5xx Errores del Servidor: El servidor falló al completar una solicitud
aparentemente válida.

Company Logo


Crear paginas de Errores 404–Not Found, 403-Fordibben

Directiva ErrorDocument: El servidor devuelve al cliente si se produce algún
error.

<Directory "/home/magno/www/zambonet">
ErrorDocument 500 http://foo.example.com/cgi-bin/tester
ErrorDocument 404 /error404.php
ErrorDocument 403 "No puedes Acceder a esta Pagina"
</Directory>

Company Logo


Autenticacion Basica: httpasswd

La auntenticacion basica consiste en poder proteger algun directorio pidiendo
un usuario y contraseña, si colocamos correctamente los dos datos, el
servidor nos arrojara un codigo 200 OK, permitiendo el acceso protegido, en
caso contrario nos arrojara un 401 ACCESO NO AUTORIZADO.

Company Logo


Para poder utilizar esta caracteristica nesesitamos crear un archivo llamado
.htpasswd, que es el que contendra el usuario y la contraseña en el formoto
estandar
user:pass
Para crear el archivo vamos a utilizar un binario llamado htpasswd, el cual desde
lampp se encuentra en /opt/lampp/bin/htpasswd.
Creamos un usuario magno y contraseña 123456 (La contraseña te la pide en
ejecucion del binario)
./htpasswd -cm /home/magno/www/.htpasswd magno
El parametro “c”, crea un nuevo archivo, “m” fuerza a que la encriptacion sea en
MD5 y lo guarda en el path /home/magno/www/.htpasswd

[.htpasswd]
magno:$apr1$EwtgbQPt$8srrX40QrKKoRihwCrsA1/

Company Logo



¿Que es son los archivos .htaccess?
Un archivo oculto, que contiene una o más directivas de configuración,
se coloca en un directorio determinado, y las directivas se aplican a
ese directorio, y todos los subdirectorios del mismo. ALLowOverride
controla qué diectivas se pueden situar el los ficheros .htaccess.

Cuando usarlos Por que no usarlos

Se recomienda no Rendimiento: El
utilizarlos, pero es archivo .htaccess se
esencial cuando no carga cada vez que un
tenemos permiso de documento se solicita.
escribir en el archivo Seguridad: se esta
httpd.conf. Nos da la permitiendo a los
ventaja de poder usuarios modificar la
colcar configuraciones configuración del
sin nesesidad de ser el servidor.
administrador del host
Company Logo



Creamos un archivo .htaccess con esta caracteristica

AuthUserFile /home/magno/www/.htpasswd
AuthName “Area renstringida ZamBonet”
AuthType Basic
require user magno

AuthUserFile: Especifica la ruta de donde ir a buscar el archivo de
contraseñas
AuthName: es una cadena de texto para el cuadro de dialogo del Login
AuthType: especifica el modo de autentificacion.

Company Logo


Lectura y formato de Logs
Apache tiene una alta configuracion de los archivos de Logs. Estos
archivos se encuentran en la ruta /var/log/apache2/, pero en este
paquete LAMPP con el que trabajamos se encuentran en
/opt/lampp/logs
Como primer medida de seguridad tenemos que asegurarnos que los
archivos de Log solo tengan permiso de escritura del usuario ROOT.

-rw-r--r-- 1 root root 179249 2010-06-06 00:50 access_log
-rw-rw-r--1root root 39792 2010-06-06 00:50 error_log
-rw-r--r-- 1 root root 670 2010-06-06 00:50 ip_log

Company Logo


Lectura y formato de Logs - Error Log

El registro de errores del servidor, cuyo nombre y ubicación se
especifica en la directiva ErrorLog, es el más importante de todos los
registros.

El primer lugar donde tiene que mirar cuando surja un problema al
iniciar el servidor o durante su operación normal, porque con
frecuencia encontrará en él información detallada de qué ha ido mal y
cómo solucionar el problema.

[Fri May 28 00:30:51 2010] [error] [client 190.189.24.101] Symbolic link
not allowed or link target not accessiblessible:
/home/magno/www/pass

Company Logo


Lectura y formato de Logs - Access Log
Lleva los registros de acceso al servidor, las directivas que se manejan en
este contexto son CustomLog y LogFormat.
LogFormat: Nos permite crear los formatos de los logs para almacenarlos.
El formato consiste en una serie de directivas con tantos por ciento,
cada una de las cuales le dice al servidor que registre una determinada
información en particular.
e.g
LogFormat "%h %u %t "%r" %>s %b" common nickname

CustomLog: crea un nuevo fichero de registro usando el apodo definido.

e.g
CustomLog logs/access_log common

Company Logo



127.0.0.1 magno [14/Jun/2010:17:21:27 -0300] "GET /zambonet/
HTTP/1.1" 200 5968

• 127.0.0.1 (%h): Direccion IP
• magno (%u): Identificador del Usuario
• [14/Jun/2010:17:21:27 -0300] (%t): Hora de peticion del servidor
• "GET /zambonet/ HTTP/1.1" ("%r"): Peticion del cliente
• 200 (%>s): Codigo de estado
• 5968 (%b): Bytes enviados

Company Logo



Para crear nuestro archivo log personalizado realizamos este paso
#cd /opt/lampp/logs
#touch ip_log
#chmod 644 ip_log

Editamos el archivo httpd.conf colocando y nos dirigimos a la seccion de
log y copiamos lo siguiente
Ejemplo:
LogFormat "IP %h UserAgent "%{User-agent}i"" supe
CustomLog logs/ip_log supe

Nos guardara las IP %h, y el User Agent %{User-agent}i del navegador
del cliente.

Company Logo

LOGO

Seguridad en
Apache

EOF

Seguridad en Apache

Más contenido relacionado

La actualidad más candente (19)

Destacado (20)

Similar a Seguridad en Apache (20)

Último (20)

Seguridad en Apache